Impronta Browser Falsificata: Browser Fingerprint (T1036.012)

In un ingaggio red team, la simulazione di T1036.012 richiede di replicare fedelmente non solo la stringa User-Agent ma l'intero set di header che un browser reale invia, inclusi Accept, Accept-Language, Accept-Encoding, Sec-Fetch-*, e l'ordine con cui appaiono. Molti EDR e proxy moderni fanno TLS fingerprinting via JA3/JA3S e HTTP/2 fingerprinting via Akamai H2 fingerprint, quindi il solo User-Agent non basta.

Per un test controllato su Windows, un semplice PowerShell che imposta l'header replica il comportamento di FatDuke:

Invoke-WebRequest -Uri -Headers @{'User-Agent'='Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36'}

Su Linux o macOS il pattern equivalente con curl è:

curl -A 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.0 Safari/605.1.15'

Questi comandi però restano rilevabili perché la firma TLS di curl o di .NET WebRequest non coincide con quella di Chrome o Safari. Per un livello superiore di realismo, in laboratorio si usano librerie che imitano l'handshake TLS di browser reali: curl-impersonate (open source), che compila curl contro le librerie crypto di Chrome e Firefox riproducendone il ClientHello, e tls-client (open source) per Go/Python, ampiamente usato nella comunità automation.

Sul fronte C2, framework come Cobalt Strike (a pagamento) e Sliver (open source) permettono di definire Malleable C2 profiles che modellano interamente la conversazione HTTP: header, cookie, path, verbi, risposte. Un profilo ben costruito rende il beacon indistinguibile dal traffico di un aggiornamento software o di una CDN.

Per la fase di ricognizione delle impronte legittime, strumenti come Wireshark (open source) o mitmproxy (open source) permettono di catturare il traffico reale del browser target e replicarne fedelmente ogni dettaglio. La piattaforma BrowserLeaks (gratuito) e il sito amiunique.org (gratuito) sono utili per verificare quanto la propria impronta si discosti dalla popolazione media.

In un esercizio purple team, il valore aggiunto è dimostrare che uno stesso payload con e senza impersonation TLS produce due esiti radicalmente diversi nella detection: il primo taglia via i proxy con NGFW, il secondo viene bloccato immediatamente. Documentare la delta consente al SOC di tarare regole sulla combinazione processo-header, non sull'header isolato.

La detection di T1036.012 si fonda su un principio di coerenza: un User-Agent che dichiara Chrome deve provenire da chrome.exe, non da powershell.exe o wscript.exe. Le detection MITRE AN2029 (Windows), AN2031 (Linux) e AN2032 (macOS) formalizzano proprio questa correlazione tra processo emittente e header HTTP osservato in uscita.

Su Windows la pipeline di raccolta più efficace combina Sysmon (open source) con l'ETW provider Microsoft-Windows-Kernel-Process e la telemetria di flusso dell'NSM. L'EventID 3 di Sysmon fornisce l'associazione processo-connessione, mentre proxy web o firewall applicativi espongono il User-Agent. Una regola di correlazione in SIEM tipo Splunk o Elastic incrocia i due flussi: se il processo che ha aperto la connessione TCP verso la porta 443 non è nella lista dei browser installati (msedge.exe, chrome.exe, firefox.exe) ma l'header User-Agent dichiara un browser, viene generato un alert.

Esempio concettuale di logica in pseudocodice SPL:

index=sysmon EventCode=3 process_name NOT IN (msedge.exe, chrome.exe, firefox.exe) | join src_ip [search index=proxy user_agent="Mozilla"]

Su Linux, auditd con regole sulle syscall connect e execve consente di attribuire il traffico HTTP a binari come curl, wget o interpreti Python. Il campo SYSCALL correlato con i flussi Zeek (open source) permette di identificare interpreti che generano richieste con header browser. Su macOS il unified log con predicato su subsystem == "com.apple.network" traccia le connessioni originate da osascript o launch daemon.

Gli indicatori di tuning suggeriti dai dati MITRE sono tre: HeaderSignatureMatch per pattern di header anomali, UserAgentFingerprint per il match su famiglie di browser attesi, e NonBrowserProcessList come whitelist inversa dei processi che non dovrebbero mai emettere traffico web. Quest'ultima è la più efficace: mantenere aggiornata la lista di interpreti e utility di sistema che non hanno ragione di parlare HTTP verso l'esterno rende trascurabili i falsi positivi.

I falsi positivi principali derivano da software legittimo che imposta User-Agent personalizzati: agent di monitoraggio, aggiornatori come wuauclt.exe, client di telemetria, backup cloud. La baseline va costruita osservando due-quattro settimane di traffico e catalogando tutte le coppie processo-User-Agent ricorrenti. Detection complementari includono il monitoraggio di JA3 hash anomali via Zeek o Suricata (open source), che smaschera librerie di impersonation TLS anche quando l'User-Agent è perfettamente replicato.

L'analisi forense di T1036.012 parte dalla ricostruzione della catena processo-connessione-header. Su Windows gli artefatti primari risiedono nei log Sysmon (EventID 1 per la creazione processo, EventID 3 per la connessione, EventID 22 per query DNS) e nel journal ETW del kernel process provider. Il correlatore temporale è il ProcessGuid, che permette di legare univocamente un binario alla sua attività di rete anche quando il PID viene riassegnato.

Quando il traffico è cifrato in TLS, l'analista non può leggere direttamente l'header User-Agent dall'endpoint. Occorre allora incrociare i log di proxy o NGFW che effettuano SSL inspection con la telemetria host, usando la tupla (src_ip, src_port, timestamp) come chiave di join. In assenza di ispezione, il fingerprint JA3 calcolato da Zeek o Suricata sui pacchetti ClientHello fornisce un'impronta persistente della libreria TLS usata: la presenza di un JA3 tipico di python-requests o curl associato a un flusso che il proxy vede con User-Agent Chrome è un indicatore forense forte di spoofing.

Per casi documentati di S0512 (FatDuke), che riprende esplicitamente lo User-Agent del browser installato sulla macchina compromessa, l'analista deve estrarre dalla registry di Windows le tracce dei browser presenti nel momento dell'attività sospetta. La chiave HKLM\SOFTWARE\Clients\StartMenuInternet elenca i browser registrati; HKCU\Software\Microsoft\Windows\Shell\Associations traccia le associazioni utente. Correlare la versione del browser presente al momento T con lo User-Agent osservato in uscita permette di verificare se il malware ha effettivamente riflesso la versione locale o ha usato una stringa hardcoded, differenziando tra i due comportamenti di FatDuke.

Su Linux, la timeline si costruisce da auditd con regole -a exit,always -F arch=b64 -S connect -S execve attive prima dell'incidente. In post-incident, l'analisi dei file ~/.bash_history, dei log di cron e dei timestamp MAC sui binari in ~/.local/bin o /tmp consente di identificare script che effettuano chiamate HTTP con header camuffati. Il comando ausearch -sc connect --start recent estrae le syscall di connessione recenti; incrociando con la tabella process tree ricostruita da pstree o dai log si risale al padre malevolo.

Su macOS il unified log è la fonte primaria. Il comando log show --predicate 'subsystem == "com.apple.network"' --last 24h estrae le connessioni con contesto di processo. Le persistence via LaunchAgents (~/Library/LaunchAgents/, /Library/LaunchDaemons/) vanno inventariate confrontando i plist con una baseline nota.

La timeline finale deve documentare: momento di esecuzione del payload, hash del binario, coppia User-Agent osservata e User-Agent atteso, destinazione contattata e JA3 associato.

I dati MITRE ATT&CK per T1036.012 riportano un unico software documentato, S0512 (FatDuke), e nessun gruppo o campagna esplicitamente mappata su questa sotto-tecnica. Questa scarsità di attribuzione non riflette una scarsa diffusione della tecnica, ma piuttosto la sua natura ancillare: il camuffamento dell'impronta browser è raramente il tratto distintivo di un'intrusione, e viene inglobato nell'analisi del canale C2 complessivo senza essere isolato come TTP a sé stante.

FatDuke è documentato come malware che imita il traffico dell'utente compromesso riutilizzando lo stesso User-Agent del browser installato localmente. Questo comportamento è tecnicamente sofisticato perché richiede al codice malevolo di enumerare i browser presenti sul sistema (via registry query o System Information Discovery, T1082) prima di costruire la richiesta HTTP. Il risultato è che ogni infezione produce un pattern C2 leggermente diverso a seconda del contesto: se la vittima usa Edge, il beacon parla Edge; se usa Firefox, parla Firefox. Questa personalizzazione per-host complica la scrittura di firme di rete generalizzabili e costringe i difensori a puntare sulla coerenza processo-header piuttosto che sui contenuti dell'header stesso.

Dal punto di vista dell'analisi di intelligence, l'assenza di gruppi APT mappati formalmente su questa sotto-tecnica indica che va cercata come pattern trasversale nelle analisi di malware, più che come indicatore di attribuzione. Framework di implant moderni includono per default meccanismi di personalizzazione dell'User-Agent: la sotto-tecnica va quindi assunta come baseline operativa per qualunque attore con capacità intermedia, non come tratto discriminante.

Il trend evolutivo osservabile è lo spostamento dalla semplice manipolazione dell'User-Agent verso il fingerprint completo della sessione TLS. Le librerie di impersonation come curl-impersonate e tls-client sono ormai integrate anche in strumenti a bassa soglia di ingresso, spesso disponibili su marketplace criminali insieme a residential proxy. Questa combinazione rende sempre più difficile distinguere traffico automatico malevolo da traffico legittimo di utenti reali dietro NAT, con impatto diretto su fraud detection, credential stuffing e operazioni di scraping ostile.

Per un team di threat intelligence, il valore pratico consiste nel tracciare non l'User-Agent di per sé ma la coppia (User-Agent, JA3, JA4) osservata nelle campagne. Piattaforme come MISP (open source) e OpenCTI (open source) permettono di correlare questi indicatori compositi. Il monitoraggio dei repository curl-impersonate e simili fornisce anticipazione sulle firme TLS che entreranno prossimamente nei kit offensivi, permettendo aggiornamenti proattivi delle blocklist JA3 su NGFW e proxy.

MITRE ATT&CK — T1036.012 Browser Fingerprint, tattica TA0005. Software: S0512 (FatDuke). Mitigazione: M1047 (Audit). Detection: DET0898 con analytic AN2029 (Windows), AN2031 (Linux), AN2032 (macOS). MITRE D3FEND per tecniche difensive correlate a Network Traffic Analysis e Process Tree Analysis. Il documento integra conoscenza professionale di cybersecurity per la parte relativa a tool operativi (curl-impersonate, tls-client, Sysmon, Zeek, Suricata, MISP, OpenCTI, mitmproxy, Cobalt Strike, Sliver) e comandi di detection e analisi forense su Windows, Linux e macOS.