Certificati di Firma del Codice: Code Signing Certificates (T1587.002)

Trattandosi di una tecnica pre-compromise, l'obiettivo in un esercizio red team è simulare in laboratorio la produzione di un certificato di firma auto-firmato e osservarne l'effetto sulla catena d'esecuzione, sempre in ambiente isolato.

Su Windows il toolkit di riferimento è quello dei Windows SDK. Con PowerShell si può generare un certificato di test:

New-SelfSignedCertificate -Type CodeSigningCert -Subject "CN=Contoso Software Inc" -CertStoreLocation Cert:\CurrentUser\My

L'esportazione in PFX avviene con Export-PfxCertificate, mentre la firma del binario si effettua con signtool sign /f cert.pfx /p password /fd SHA256 payload.exe (signtool fa parte del Windows SDK, gratuito). Per finalità didattiche esiste anche makecert nelle versioni legacy dell'SDK, oggi sostituito dal cmdlet PowerShell.

Su Linux e per binari cross-platform, il generatore universale è OpenSSL (open source): openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes -subj "/CN=Fake Vendor Ltd". Il materiale così prodotto può poi essere convertito in PKCS#12 con openssl pkcs12 -export.

Per i file macOS — scenario adottato da Daggerfly per firmare payload destinati ad Apple — si usa la toolchain nativa. La firma ad-hoc o con identità self-signed si esegue con codesign -s "Fake Identity" -f app.app e si verifica con codesign -dv --verbose=4 app.app (strumenti inclusi negli Xcode Command Line Tools, gratuiti). In laboratorio è utile confrontare l'esito con spctl --assess per capire come Gatekeeper reagisce a un'identità non notarizzata.

Per scenari di virtualizzazione ESXi, gli attaccanti tendono invece a disabilitare l'enforcement delle firme piuttosto che firmare, ma un red team può testare la reazione dell'host a VIB firmati con certificati custom.

La catena d'attacco tipica riproduce quanto osservato in Operation Dream Job, dove Lazarus Group firmò sia il malware sia l'utility legittima dbxcli: si genera il certificato, si firma un installer o un LOLBin trojanizzato, e si misura quanti controlli di reputazione vengono superati. Per la fase OSINT preliminare, tool come SpiderFoot (freemium) e Recon-ng (open source) aiutano a identificare i vendor da impersonare. La regola d'oro resta l'uso esclusivo di infrastruttura di test e certificati mai destinati a produzione.

Il monitoraggio diretto della creazione di un certificato self-signed è praticamente impossibile, perché avviene sull'infrastruttura dell'avversario, fuori dalla visibilità aziendale. La strategia di detection efficace, coerente con l'indicazione MITRE DET0833, consiste nel concentrarsi sul comportamento follow-on: l'uso del certificato durante Code Signing ed eventuale Install Root Certificate.

Il primo pilastro è l'analisi delle firme dei binari eseguiti. Su Windows conviene arricchire la telemetria di Sysmon (open source): l'Event ID 1 (process creation) espone i campi relativi allo stato della firma, mentre l'Event ID 7 (image load) registra caricamenti di DLL con dettagli su firmatario e validità. Un certificato self-signed, con catena non verificabile fino a una CA attendibile, è di per sé un forte indicatore quando accompagna un eseguibile scaricato da Internet.

Gli elementi comportamentali su cui costruire alert includono:

• eseguibili firmati con common name che imita vendor legittimi ma con thumbprint sconosciuto;
• binari il cui certificato ha validità anomala o algoritmi deboli;
• installazione di certificati radice nel trust store, tracciabile su Windows tramite gli eventi EventID 4688 con certutil.exe -addstore e le modifiche alle chiavi di registro dei certificati.

Una fonte preziosa è rappresentata dai Malware Repository citati in AN1965: piattaforme come VirusTotal (freemium) permettono di pivotare da un thumbprint sospetto verso altri campioni firmati con lo stesso certificato, ricostruendo i pattern che un gruppo riutilizza.

Sul fronte falsi positivi, occorre cautela: molte software house interne, script PowerShell aziendali e tool di sviluppo usano legittimamente certificati self-signed. Una baseline dei certificati attesi nell'organizzazione riduce drasticamente il rumore. È utile distinguere tra codice firmato con certificati enterprise interni approvati e certificati mai visti prima associati a processi che partono da cartelle temporanee o download.

Sul piano preventivo, coerente con la mitigazione M1056 (Pre-compromise), il SOC può alimentare i propri controlli con threat intelligence su thumbprint e identità note tramite piattaforme come MISP (open source). L'enforcement di WDAC o AppLocker con policy basate su publisher realmente attendibili, unito al blocco dell'esecuzione di codice firmato da CA non riconosciute, sposta il costo dell'attacco verso l'alto anche quando il payload risulta formalmente firmato.

Nell'analisi forense di questa tecnica occorre partire da una premessa: la generazione del certificato è avvenuta altrove e non lascia tracce sull'endpoint della vittima. Gli artefatti utili emergono dopo il contatto con il codice firmato, e vanno integrati con fonti esterne per ricostruire la genesi del certificato.

Su Windows l'artefatto centrale è il binario stesso e la sua firma incorporata. Estraendo il certificato Authenticode dal PE — con strumenti come Sigcheck della suite Sysinternals (gratuito), sigcheck -a -h -i file.exe — si ricavano thumbprint, common name, periodo di validità e algoritmo, esattamente i tratti che AN1965 suggerisce di correlare. Questi valori diventano pivot per la timeline. Vanno inoltre esaminate le chiavi di registro del trust store (HKLM\SOFTWARE\Microsoft\SystemCertificates) per verificare se un certificato radice malevolo sia stato installato, artefatto tipico quando l'avversario vuole far validare la propria catena.

La correlazione temporale si costruisce incrociando i timestamp di firma del binario, le tracce di download presenti nella cache del browser e nei metadati Zone.Identifier dei flussi ADS, e i tempi di prima esecuzione ricavabili da Prefetch, ShimCache e Amcache. Amcache in particolare conserva l'hash SHA1 dei binari eseguiti, prezioso per legare un file firmato a un momento preciso.

Su macOS, scenario impiegato da Daggerfly per i propri file, l'analisi verte sui metadati di codesign. Il comando codesign -dv --verbose=4 rivela l'identità firmataria e l'assenza di notarizzazione; i log unificati (log show --predicate 'subsystem == "com.apple.securityd"') documentano le valutazioni di Gatekeeper. L'attributo esteso com.apple.quarantine indica la provenienza da Internet e aiuta a datare il primo contatto.

Su Linux, dove la firma Authenticode non si applica, l'attenzione si sposta su eventuali payload cross-platform e sui certificati embedded nei package.

Per risalire alla creazione del certificato si ricorre a fonti esterne: i Malware Repository come VirusTotal (freemium) consentono di individuare altri campioni firmati con lo stesso thumbprint, delineando cluster di attività. Questo approccio è coerente con quanto documentato nella campagna Operation Dream Job, dove Lazarus Group firmò sia il malware sia l'utility dbxcli: la ripetizione di identità firmatarie tra campioni diversi diventa una firma investigativa. Altri gruppi come Patchwork, che ha usato certificati intestati a società di software fittizie o contraffatte, mostrano pattern riconoscibili nei common name.

I dati MITRE ATT&CK collegano la creazione di certificati di firma auto-firmati a tre gruppi con profili operativi distinti, uniti dallo stesso obiettivo: rivestire il codice malevolo di un'apparente legittimità.

Patchwork (G0040) rappresenta il caso più didattico di ingegneria della fiducia. Il gruppo ha generato certificati intestati a società di software fittizie e a vendor legittimi contraffatti, riutilizzandoli poi per firmare il malware. Questa scelta rivela una strategia deliberata di social engineering tecnico: non basta firmare, si imita un marchio credibile per abbassare la guardia di utenti e analisti.

PROMETHIUM (G0056) ha adottato un approccio focalizzato sugli installer malevoli, firmando i propri pacchetti di installazione con certificati auto-generati. È un pattern coerente con operazioni che puntano sulla distribuzione tramite finti aggiornamenti o software trojanizzato, dove la firma dell'installer è il punto di contatto decisivo con la vittima.

Daggerfly (G1034) sposta il baricentro sull'ecosistema Apple, creando certificati per firmare file macOS malevoli. La sua presenza in questo elenco segnala che la firma del codice non è più un problema esclusivamente Windows: gli avversari investono per superare Gatekeeper e le verifiche di identità dei sistemi macOS, storicamente percepiti come più protetti.

A questi si aggiunge la campagna Operation Dream Job (C0022, 2019-2020), attribuita con buona probabilità a Lazarus Group. Operazione di cyber-spionaggio contro i settori difesa, aerospazio e governo in Stati Uniti, Israele, Australia, Russia e India, ha usato esche di finte offerte di lavoro. Sul piano tecnico, gli attori hanno firmato digitalmente sia il malware sia l'utility legittima dbxcli, dimostrando come la firma venga applicata anche a strumenti reali per mascherarne l'abuso. I ricercatori hanno poi ricondotto sotto Dream Job anche Operation Interception e Operation North Star, per sovrapposizione di TTP, esche e somiglianze di codice.

Il pattern trasversale è chiaro: gruppi con motivazioni diverse — spionaggio geopolitico nel caso di Patchwork e Lazarus, capacità multi-piattaforma per Daggerfly — convergono sull'uso del certificato self-signed come moltiplicatore di successo. Il trend più significativo è l'espansione verso macOS e la crescente professionalizzazione nell'imitazione di identità aziendali reali, segnale che gli avversari trattano il certificato come un asset riutilizzabile e curato nel dettaglio.

MITRE ATT&CK: tecnica T1587.002 (Code Signing Certificates), tattica TA0042. Gruppi G0040 (Patchwork), G0056 (PROMETHIUM), G1034 (Daggerfly). Campagna C0022 (Operation Dream Job). Mitigazione M1056. Detection DET0833 / AN1965 (fonte log: Malware Repository). Per comandi, artefatti e strumenti operativi (signtool, OpenSSL, codesign, Sysmon, Sigcheck, VirusTotal, MISP, SpiderFoot) è stata integrata conoscenza professionale di cybersecurity basata su documentazione ufficiale e repository pubblici.