Offuscamento dei Comandi: Command Obfuscation (T1027.010)

L'offuscamento dei comandi è una tecnica attraverso cui un avversario manipola la sintassi delle istruzioni eseguite su un sistema — senza alterarne la funzionalità — allo scopo di eludere i motori di detection basati su firma e analisi statica. La tecnica rientra nella tattica Defense Evasion (TA0005), la fase della kill chain in cui l'attaccante punta a restare invisibile dopo aver ottenuto un punto d'appoggio nel perimetro compromesso.

Le forme di offuscamento sono sorprendentemente variegate. Si va dalla semplice codifica Base64 di script PowerShell alla sostituzione di variabili d'ambiente, dalla frammentazione delle stringhe (string splitting) all'inserimento di caratteri di escape (^, %, $) che i parser di sistema ignorano ma che spezzano le signature statiche. Tecniche più sofisticate includono il directory traversal nelle invocazioni di binari, il globbing con percorsi fittizi, l'inversione dell'ordine dei caratteri con rev, e l'uso di tool dedicati come Invoke-Obfuscation e Invoke-DOSfuscation.

I numeri confermano la pervasività: 28 gruppi APT, 31 famiglie software, 6 campagne documentate e 2 mitigazioni censite. L'offuscamento dei comandi non è un'eccentricità di pochi attori sofisticati — è una commodity tecnica usata indifferentemente da gruppi state-sponsored, operatori ransomware e cybercriminali finanziari. Comprendere le varianti e le tracce che lasciano è essenziale per ogni ruolo nella difesa.

La simulazione dell'offuscamento comandi in laboratorio è un esercizio fondamentale per validare le capacità di detection del blue team. L'obiettivo non è creare malware, ma generare campioni realistici di command-line offuscate che riproducano i pattern osservati nelle campagne reali.

Invoke-Obfuscation (open source) è il punto di partenza naturale. Si tratta del framework PowerShell creato da Daniel Bohannon, lo stesso strumento adottato da APT32, MuddyWater e dal malware QUADAGENT e RogueRobin. Dopo averlo importato in una sessione PowerShell, il menu interattivo permette di selezionare diverse tecniche — TOKEN, STRING, ENCODING, COMPRESS, LAUNCHER — e applicarle a un payload arbitrario:

Import-Module ./Invoke-Obfuscation.psd1 Invoke-Obfuscation

Dall'interno del framework, si specifica il comando da offuscare con SET SCRIPTBLOCK e si seleziona la tecnica desiderata. La modalità ENCODING/1 produce output Base64, replicando il comportamento di almeno 18 dei 28 gruppi censiti. La modalità TOKEN frammenta variabili e stringhe, simulando le tecniche di FIN7 e Silence.

Per il versante CMD/batch, Invoke-DOSfuscation (open source) è il complemento ideale. Genera varianti offuscate di comandi DOS usando FOR loop, variabili d'ambiente e concatenazione, replicando le tattiche di FIN8 che sfrutta proprio stdin e variabili d'ambiente per mascherare gli argomenti.

Su Linux, l'offuscamento si simula manualmente con costrutti nativi della shell. Alcuni esempi operativi che riproducono pattern documentati:

  • Inversione con rev: echo 'dwssap/cte/ tac' | rev — ricostruisce cat /etc/passwd al contrario.
  • Base64 encoding: echo "whoami" | base64 seguito da echo "d2hvYW1p" | base64 -d | bash — replica l'approccio di decine di gruppi, da Aquatic Panda a TA505.
  • String splitting con variabili: assegnare frammenti del comando a variabili distinte e concatenarle al momento dell'esecuzione, come a="who"; b="ami"; $a$b.

Per test su macOS, osascript consente l'esecuzione di AppleScript con stringhe offuscate. Il tool pyminifier (open source), usato dal malware PoetRAT, offusca script Python ed è utile per generare campioni di test cross-platform.

Un esercizio red team completo prevede di eseguire queste varianti contro un endpoint monitorato da Sysmon (open source) configurato con logging della command line (EventID 1), verificando quali campioni vengono rilevati e quali sfuggono. Il tool Revoke-Obfuscation (open source), sempre di Bohannon, permette al blue team di rispondere calcolando l'entropia e la complessità AST dei comandi PowerShell intercettati.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo