Compressione Payload: Compression (T1027.015)

In un esercizio red team la compressione è uno strumento versatile per costruire payload che superano gateway email e AV di prima linea. La catena tipica prevede tre fasi: generazione del payload, packaging in archivio (spesso protetto da password) e delivery via phishing.

Per la fase di packaging su Windows, 7-Zip (open source) offre CLI flessibile. Un archivio protetto con cifratura degli header dei nomi file si costruisce con:

7z a -p -mhe=on payload.7z beacon.exe

Il flag -mhe=on cifra anche la lista file, impedendo ai gateway di leggere i nomi senza la password. Per gli SFX, 7-Zip fornisce moduli 7z.sfx e 7zSD.sfx che trasformano l'archivio in eseguibile autoestraente. Su Linux, la combinazione classica tar czf payload.tar.gz ./stager && gpg -c payload.tar.gz aggiunge cifratura simmetrica al pacchetto compresso.

Per simulare la ZIP concatenation — tecnica osservata in campagne reali — è sufficiente concatenare due archivi validi:

cat innocuo.zip malevolo.zip > combined.zip

Alcuni parser aprono il primo archivio, altri il secondo, creando ambiguità utile in fase di bypass. Per validare quale reader estrae cosa, testare con WinRAR (a pagamento), 7-Zip (open source) e lo unzip nativo di Windows.

Per la compressione diretta di shellcode in memoria, utile per fileless storage o loader multi-stadio, Donut (open source, censito come S0695) genera shellcode posizione-indipendente da PE, .NET assembly o script, con opzioni di compressione (aPLib, LZNT1, Xpress) ed encoding. La sintassi base è:

donut -i beacon.exe -c 2 -o beacon.bin

dove -c 2 seleziona la compressione aPLib. Il blob risultante può essere memorizzato in una chiave di registro e caricato runtime tramite reflective loader.

Per il delivery, il payload va incapsulato in un vettore credibile: documento Office con macro che scarica ed espande l'archivio, LNK file, HTA, o ISO/IMG mount che eludono il Mark-of-the-Web. Strumenti come MacroPack (freemium) o Nim-shellcode-loader (open source) permettono di prototipare la catena. In laboratorio, verificare sempre il comportamento con AV signature (test con file EICAR compresso ricorsivamente) e sandbox behavior (Any.Run freemium, Joe Sandbox a pagamento) per confermare quale strato di ispezione viene bypassato. Documentare per il cliente esattamente dove la catena si è fermata o è passata, così da guidare investimenti in ispezione ricorsiva.

La detection di T1027.015 richiede un approccio comportamentale che correli l'uso di utility di compressione con successive attività sospette: estrazione, drop di eseguibili in path anomali ed esecuzione ravvicinata. La sola presenza di archivi non è indicatore utile; conta la sequenza temporale e il contesto di user/process.

Su Windows la telemetria primaria è Sysmon con configurazione che catturi almeno EventID 1 (process creation), EventID 11 (file create) e EventID 3 (network). Le regole devono correlare l'esecuzione di 7z.exe, WinRAR.exe, makecab.exe o expand.exe con il drop di file .exe, .dll, .js, .hta seguito da process creation dello stesso file entro una finestra breve (tipicamente 30-120 secondi). La detection AN0782 suggerisce di trattare come sospetto ogni SFX che esegue payload immediatamente dopo l'unpacking.

Su Linux la fonte è auditd con regole su execve, monitorando gzip, tar, bzip2, xz, 7z quando l'estrazione avviene in /tmp, /dev/shm o home directory utente, seguita da esecuzione di binari ELF appena scritti. La detection AN0783 privilegia questa correlazione. Su macOS il Unified Log e fs_usage permettono di tracciare ditto, unzip, xar, pkgutil con estrazione in ~/Library/ o /private/tmp/, correlando chmod +x e spawn di processi dal path decompresso (AN0784).

Lato email gateway, configurare l'ispezione ricorsiva degli archivi con limite di profondità ragionevole (5-7 livelli) e alert su archivi protetti da password ricevuti da mittenti esterni non whitelisted. La mitigazione M1049 (Antivirus/Antimalware) raccomanda soluzioni capaci di unpack ricorsivo e analisi di SFX. Verificare che l'AV in uso gestisca ZIP concatenati, poiché diversi parser commerciali ignorano central directory secondarie.

Queries utili in un SIEM con Sysmon: cercare pattern dove il ParentImage è un client email (OUTLOOK.EXE, Thunderbird) o un browser, e il ChildImage è un'utility di compressione, seguito da un ChildImage eseguibile in path utente. Strumenti come Elastic Security (freemium) o Splunk Enterprise Security (a pagamento) offrono correlazione temporale nativa.

I falsi positivi più frequenti derivano da sysadmin che pacchettizzano log o backup, sviluppatori che estraggono dipendenze, e software di deployment. Ridurli restringendo la detection a utenti non-admin interattivi ed escludendo path noti di build system e directory di lavoro DevOps.

L'analisi forense di T1027.015 ricostruisce la catena archivio → estrazione → esecuzione, un percorso che lascia tracce distribuite tra filesystem, registro, log applicativi e artefatti utente. La finestra temporale tra download dell'archivio e prima esecuzione del payload estratto è l'elemento discriminante.

Su Windows, il punto di partenza è l'evidenza del download: cronologia browser (History SQLite in %LocalAppData%), Zone.Identifier Alternate Data Stream che marca il file come Mark-of-the-Web, e la cartella Downloads. Segue l'analisi dell'estrazione tramite ShellBags (chiavi NTUSER.DAT\Software\Microsoft\Windows\Shell\BagMRU) che registrano navigazione dell'utente dentro l'archivio, e JumpLists (%AppData%\Microsoft\Windows\Recent\AutomaticDestinations) che tracciano file recenti aperti da 7-Zip o WinRAR. Le chiavi NTUSER.DAT\Software\7-Zip\Extraction e Software\WinRAR\ArcHistory conservano path e nomi degli archivi processati.

La Prefetch (C:\Windows\Prefetch*.pf) fornisce timeline di prima ed ultima esecuzione dei binari estratti, mentre Amcache.hve (C:\Windows\AppCompat\Programs*) e UserAssist registrano hash SHA1 e conteggi di esecuzione. Per correlare drop ed esecuzione, la MFT ($MFT*) offre timestamp $STANDARD_INFORMATION e $FILE_NAME con risoluzione al nanosecondo; anomalie di timestomping sono un red flag ulteriore. Sysmon EventID 11 e 1, se disponibili nei log salvati, chiudono il cerchio.

Per i casi di fileless storage con shellcode compresso in registro (osservato in Pillowmint, S0517), esaminare chiavi non standard in *HKLM\Software\Microsoft\Windows\CurrentVersion* o HKCU con valori binari di grande dimensione. Estrarre il blob e tentare decompressione con algoritmi comuni (aPLib, LZNT1 via RtlDecompressBuffer, LZSS, QuickLZ) per validare l'ipotesi. Volatility 3 (open source) con plugin windows.registry.printkey facilita l'estrazione da memory dump.

Su Linux, controllare ~/.bash_history, ~/.zsh_history, log di auditd in /var/log/audit/audit.log e artefatti in /tmp, /dev/shm, /var/tmp. Il comando stat su file estratti confronta atime/mtime/ctime per ricostruire la sequenza di unpacking. Su macOS, ~/Library/Preferences/com.apple.recentitems.plist, QuarantineEventsV2 (~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2) e Unified Log filtrato su subsystem com.apple.securityd documentano download ed estrazione.

Per analisi dei sample, binwalk (open source) identifica archivi annidati e ZIP concatenati, 7z l -slt elenca central directory multiple, CyberChef (open source) supporta decompressione di algoritmi rari. Costruire una super-timeline con Plaso/log2timeline (open source) unifica tutte le fonti in ordine cronologico.

L'uso della compressione come tecnica di evasione è trasversale a threat actor di origine, motivazione e sofisticazione diverse. I dati MITRE mostrano una convergenza operativa tra gruppi state-sponsored dell'Asia orientale, attori mediorientali e cluster crime-oriented, con differenze significative nei livelli implementativi.

Threat Group-3390 (G0027), attore cinese associato a operazioni di cyber-espionage industriale e strategico, impiega la compressione LZNT1 nei propri impianti. LZNT1 è l'algoritmo nativo di Windows accessibile via RtlCompressBuffer/RtlDecompressBuffer, scelta che riduce l'impronta del malware evitando librerie di terze parti e sfruttando API di sistema per la decompressione runtime. La stessa preferenza per algoritmi Windows-native emerge in altri impianti attribuiti ad attori cinesi come PcShare (S1050, LZW) e Pandora (S0664, QuickLZ).

Gamaredon Group (G0047), attore russo attivo contro obiettivi ucraini e con operazioni continue di lungo periodo, usa archivi compressi come vettore standard di delivery via spearphishing. L'approccio è ad alto volume e bassa sofisticazione, coerente con un modello operativo che privilegia persistenza e ampiezza di targeting rispetto a evasione avanzata. Molerats (G0021), attore arabo-parlante focalizzato su target mediorientali, adotta pattern analogo con ZIP contenenti eseguibili compressi.

Leviathan (G0065), attore cinese orientato a target marittimi, difesa e ricerca accademica, offusca codice con gzip, tecnica frequente in payload web-based e stager JavaScript. Higaisa (G0126), attore associato alla penisola coreana, combina compressione con Base64 encoding, pattern replicato in SUNBURST (S0559, campagna SolarWinds) e in Samurai (S1099), suggerendo che la catena compressione+Base64 sia un design pattern ricorrente per payload trasportati in canali testuali.

Mofang (G0103) impacchetta il proprio impianto ShimRat (S0444) in email attachment compressi, con DLL e shellcode dentro file .dat. TA2541 (G1018), attore crime-oriented specializzato in settore aviation, distribuisce script compressi e char-encoded, indicando adozione della tecnica anche in ecosistemi cybercrime a scopo di data theft e RAT deployment.

Sul fronte tooling, si osserva convergenza su algoritmi ricorrenti: aPLib (BADHATCH S1081, Donut S0695), LZSS (Ninja S1100), QuickLZ (Pandora), Lempel-Ziv (HermeticWiper S0697). L'adozione di Donut — framework open source per shellcode generation con compressione integrata — abbassa la barriera d'ingresso e favorisce riuso cross-actor, rendendo l'attribuzione basata su sola compressione poco affidabile. Il trend consolidato è la combinazione di compressione, cifratura ed encoding in catene multi-stadio, dove ciascun livello viene rimosso runtime per frustrare analisi statica e sandbox superficiali.

MITRE ATT&CK T1027.015 (Compression), tattica TA0005. Gruppi: G0021, G0027, G0047, G0065, G0103, G0126, G1018. Software citati: S0141, S0148, S0444, S0453, S0466, S0499, S0517, S0559, S0585, S0662, S0664, S0665, S0666, S0673, S0695, S0697, S1050, S1081, S1099, S1100, S1124. Mitigazione M1049. Detection DET0281 (AN0782-AN0784). Integrata conoscenza professionale su tool forensi (Volatility, Plaso, binwalk), Sysmon, auditd e utility di compressione per contestualizzare procedure operative.