Offuscamento dei Comandi: Command Obfuscation (T1027.010)

L'offuscamento dei comandi è una tecnica di Defense Evasion (TA0005) che consiste nel manipolare la sintassi delle istruzioni eseguite via shell o interprete per renderle difficili da analizzare, pur mantenendo la funzionalità originale. L'attaccante interviene sulla stringa di comando prima o durante l'esecuzione, sfruttando caratteristiche native del linguaggio: caratteri di escape (^, +, $, %), concatenazione di stringhe ("Wor"+"d.Application"), inversione di caratteri, globbing, variabili d'ambiente, traversal di directory e codifiche standard come Base64 o URL encoding.

La tecnica compare tipicamente nelle fasi di Initial Access (payload da phishing o drive-by), Execution tramite interpreti come PowerShell, cmd.exe, bash o JScript, e in tutte le fasi successive dove serve mascherare comandi interattivi o script post-exploitation. L'obiettivo è duplice: eludere motori signature-based che cercano stringhe note e rallentare l'analisi manuale da parte di analisti e reverse engineer.

I numeri del framework ATT&CK confermano la centralità del pattern: 28 gruppi APT, 31 famiglie di malware e 6 campagne documentate impiegano questa tecnica, contro appena 2 mitigazioni standardizzate. La diffusione trasversale — da attori state-sponsored come Turla, Sandworm Team e APT32 fino a operatori ransomware come Play, Medusa Group e GOLD SOUTHFIELD — riflette il costo marginale quasi nullo dell'adozione e l'efficacia contro EDR non maturi sull'analisi comportamentale delle command-line.

Per un red team, l'offuscamento dei comandi va testato lungo l'intera catena, dal delivery al post-exploitation, per verificare la resilienza dei controlli SOC.

Sul fronte PowerShell, il riferimento operativo è Invoke-Obfuscation (open source) di Daniel Bohannon, usato da attori come APT32, MuddyWater e integrato in Empire (open source). Il framework offre pipeline di offuscamento su token, AST, stringhe e codifica; le tecniche COMPRESS e ENCODING sono le più impiegate in the wild (es. RogueRobin). Un flusso tipico in lab prevede: import del modulo, caricamento del payload Cobalt Strike o Empire, applicazione sequenziale di più layer (token → string → encoding) e test contro AMSI e Defender aggiornati.

Per generare rapidamente comandi Base64 — pattern dominante osservato in FIN6, TA505, Kimsuky, Wizard Spider, Aquatic Panda e Play — la sintassi nativa è:

powershell.exe -EncodedCommand

Ricordando che PowerShell si aspetta UTF-16 LE, non UTF-8. In laboratorio conviene combinare l'encoding con string splitting e concatenazione runtime ($a='Inv';$b='oke';iex ($a+$b+'-Expression ...')) per superare regole naïve.

Sul lato cmd.exe e batch, Invoke-DOSfucation (open source) implementa le tecniche descritte da Bohannon: escape con ^, sostituzione variabili con %VAR:~n,m%, FOR loop per ricostruire stringhe, path traversal per mascherare la binary invocata (es. il classico C:\voi\pcw....\Windows...\system32...\wbem...\wmic.exe shadowcopy delete). Il tool BatchEncryption (open source), usato da LazyScripter e KOCTOPUS, automatizza offuscamento avanzato di script batch.

Su Linux/macOS le tecniche shell native includono rev, base64 -d, here-string, brace expansion e globbing con caratteri speciali (mkdir -p '/tmp/:&$NiA'). Utili in lab: Bashfuscator (open source) per generazione automatica di one-liner offuscati, pyobfuscate e pyminifier (open source) per script Python — pattern osservato in Machete e PoetRAT.

Per il codice compilato o driver kernel, Medusa Group ha impiegato Safengine Shielden (a pagamento) con mutazioni di codice e VM interpreter embedded; in lab si può sostituire con VMProtect (a pagamento) o Themida (a pagamento) per stressare i controlli.

Durante l'engagement è essenziale documentare quali layer bypassano AMSI, ASR rules e regole Sigma del cliente, così da fornire raccomandazioni misurabili.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.