Compromissione di Servizi Web: Web Services (T1584.006)
La tecnica T1584.006 descrive la compromissione dell'accesso a servizi web di terze parti — piattaforme legittime come GitHub, Twitter, Dropbox, Google o SendGrid — per riutilizzarli come infrastruttura a supporto delle operazioni offensive. Anziché acquistare o registrare risorse proprie, l'attaccante si impossessa dell'accesso di un utente legittimo e ne sfrutta la reputazione.
La tecnica appartiene alla tattica TA0042 (Resource Development), la fase in cui l'avversario crea, acquista o compromette risorse — infrastrutture, account, capacità — che alimenteranno le fasi successive del ciclo d'attacco. Nella kill chain si colloca quindi a monte del contatto con la vittima finale.
Il valore di questa tecnica sta nel mimetismo: instradando traffico attraverso servizi affidabili e ampiamente usati, il traffico malevolo si confonde nel rumore atteso delle comunicazioni aziendali. Questo abuso emerge nelle fasi avanzate come Command and Control (Web Service), Exfiltration Over Web Service e Phishing, dove la fiducia associata a domini legittimi abbatte i sospetti.
L'impatto operativo è duplice. Da un lato rende estremamente difficile ricondurre fisicamente le operazioni all'attaccante, poiché l'infrastruttura appartiene a terzi ignari. Dall'altro, servizi email compromessi permettono di sfruttare la reputazione di domini legittimi per aggirare filtri anti-spam e controlli di autenticità. I dati censiscono 4 gruppi APT, 1 software, 1 campagna e 1 mitigazione associati alla tecnica.
Trattandosi di una tecnica pre-compromise (TA0042), l'obiettivo in un esercizio red team è simulare l'abuso di servizi web legittimi come infrastruttura, mantenendo il laboratorio isolato e senza mai compromettere account di terzi reali. Si registrano account dedicati all'esercizio o si allestiscono istanze self-hosted.
Un primo scenario replica l'uso di CMS compromessi per ospitare payload, tattica osservata con Gootloader (S1138), che inietta script malevoli in content management system vulnerabili. In laboratorio si allestisce un'istanza WordPress locale — con docker run wordpress — e si simula l'iniezione di JavaScript in una pagina o in un plugin, replicando lo schema di Turla e Winter Vivern che hanno usato siti WordPress compromessi come C2 e per ospitare payload scaricabili.
Per emulare l'uso di storage cloud come canale — pattern di Earth Lusca su Google Drive e degli attori di Operation MidnightEclipse che hanno sfruttato bucket AWS — si configurano bucket S3 o repository controllati dal team. Con la AWS CLI (open source) un semplice aws s3 cp payload.bin s3://bucket-lab/ riproduce lo staging di file, mentre l'esfiltrazione simulata usa aws s3 sync.
Per la parte C2 su web service legittimi, framework come Mythic (open source) e Sliver (open source) supportano profili che instradano il beacon attraverso servizi comuni, consentendo di testare quanto il traffico si confonde nel rumore atteso. Cobalt Strike (a pagamento) offre i Malleable C2 profiles per lo stesso scopo. Per canali basati su piattaforme social o gist, si costruiscono redirector con domain fronting o API pubbliche, sempre verso endpoint controllati.
Una catena d'attacco tipica da riprodurre:
- Staging del payload su un CMS o storage cloud del laboratorio.
- Consegna via phishing simulato che punta al servizio "fidato".
- Beacon C2 che dialoga con l'infrastruttura ospitata sul servizio web.
- Esfiltrazione dei dati di test verso lo stesso canale.
Sul fronte ricognizione, tool OSINT come SpiderFoot (freemium) e Recon-ng (open source) aiutano a identificare quali servizi e account esposti un attaccante potrebbe puntare, mentre truffleHog (open source) individua credenziali e token leak nei repository — la porta d'ingresso più comune verso l'account takeover. L'esercizio deve chiudersi con la rimozione di tutti gli artefatti di test.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.