Certificati di Firma Codice: Code Signing Certificates (T1588.003)
La tecnica T1588.003 descrive l'acquisizione, tramite acquisto o furto, di certificati di firma del codice che verranno successivamente impiegati per firmare digitalmente eseguibili e script malevoli. Il code signing nasce come garanzia di autenticità e integrità: un binario firmato da un'autorità riconosciuta viene percepito come affidabile sia dagli utenti che dai controlli di sicurezza, che spesso allentano euristiche e sandboxing di fronte a una firma valida.
La tecnica si colloca nella tattica TA0042 (Resource Development), la fase in cui l'avversario prepara le risorse necessarie prima del contatto con la vittima. Nel modello kill chain corrisponde al weaponization, poiché il certificato è la componente che trasforma un payload grezzo in un artefatto pronto per aggirare i controlli di Defense Evasion (T1553.002 - Code Signing).
I numeri MITRE mostrano un fenomeno consolidato: 7 gruppi APT documentati, 1 famiglia malware (MegaCortex), 3 campagne rilevanti (Operation Dream Job, HomeLand Justice, APT41 DUST) e 1 mitigazione classificata come pre-compromise. La distribuzione geografica degli attori — Cina, Iran, Corea del Nord, Russia — evidenzia come il furto di certificati sia un investimento strategico condiviso da APT statuali e da gruppi cybercrime ad alto budget come Wizard Spider, con impatto diretto sulla catena di fiducia software globale.
In un contesto red team autorizzato, la simulazione di T1588.003 richiede attenzione: il furto reale di certificati è illegale, quindi il laboratorio deve basarsi su certificati self-signed o certificati di test acquisiti legittimamente per l'esercizio.
Per generare un certificato di test su Windows si utilizza New-SelfSignedCertificate in PowerShell, specificando -Type CodeSigningCert e un subject plausibile che imiti un vendor legittimo (scenario adversary emulation):
New-SelfSignedCertificate -Subject "CN=Contoso Software Ltd" -Type CodeSigningCert -CertStoreLocation Cert:\CurrentUser\My
Su Linux/macOS, OpenSSL (open source) genera la coppia chiave/certificato con openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365, mentre la conversione in formato PFX per la firma Authenticode passa per openssl pkcs12 -export.
La firma effettiva del binario avviene con SignTool (incluso nel Windows SDK, gratuito):
signtool sign /f cert.pfx /p password /tr
Su macOS il tool equivalente è codesign (incluso nell'OS), mentre per firmare script PowerShell si usa Set-AuthenticodeSignature con il certificato caricato nello store.
Per scenari più avanzati, il red team può esercitarsi sul furto simulato di materiale di firma da una workstation compromessa. I certificati con chiave privata esportabile risiedono nel registro sotto HKCU\Software\Microsoft\SystemCertificates\My\Certificates e nei file .pfx sparsi nei repository di sviluppo. Tool come Mimikatz (open source) con il modulo crypto::certificates /export permettono di estrarre certificati dallo store CryptoAPI in laboratorio controllato.
Un'altra catena istruttiva riguarda la verifica dell'affidabilità apparente: firmare un loader Cobalt Strike o Sliver (entrambi tool di C2, il primo a pagamento, il secondo open source) e osservare come cambia il tasso di rilevamento su piattaforme come VirusTotal (freemium) o su EDR di laboratorio. Questo esercizio dimostra empiricamente perché gruppi come BlackTech e Kimsuky investano in questa risorsa.
Infine, per emulare MegaCortex e la creazione di società di comodo per ottenere certificati EV, il red team può documentare via tabletop il processo OSINT che un avversario userebbe per identificare aziende dormienti registrabili, senza eseguire realmente l'acquisto — restando entro i confini legali del rules of engagement.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.