Cancellazione File: File Deletion (T1070.004)
La cancellazione dei file rappresenta una delle tecniche di Defense Evasion più diffuse e trasversali del catalogo MITRE ATT&CK. Classificata sotto la tattica TA0005, T1070.004 descrive la rimozione deliberata di artefatti lasciati durante l'intrusione: payload, tool ausiliari, script batch, file di configurazione, log applicativi e output di ricognizione.
L'obiettivo è duplice. Da un lato ridurre la superficie disponibile per la detection nel momento in cui il difensore osserva il sistema, dall'altro complicare l'analisi forense post-incidente eliminando le tracce che permetterebbero di ricostruire la kill chain. La cancellazione può avvenire durante l'operazione stessa, per igiene operativa, o nella fase conclusiva come pulizia sistematica.
Gli attaccanti sfruttano tanto utility native del sistema operativo — del e erase su Windows, rm e unlink su Linux, macOS ed ESXi — quanto strumenti dedicati alla sovrascrittura sicura come SDelete o binari custom che invocano direttamente le API DeleteFileA e DeleteFileW.
I numeri raccontano la centralità di questa tecnica: 46 gruppi APT documentati, 239 famiglie di malware che integrano funzionalità di auto-rimozione o cancellazione remota e 11 campagne in cui la pulizia degli artefatti è stata elemento distintivo del modus operandi. Praticamente ogni operazione mirata, dalle intrusioni ransomware a quelle di spionaggio a lungo termine, include una qualche forma di file deletion.
Per un red team la cancellazione degli artefatti è disciplina operativa. Una simulazione realistica di T1070.004 deve replicare sia la rimozione tattica durante l'operazione sia la pulizia finale sistematica, distinguendo tra cancellazione ordinaria e sovrascrittura sicura.
Su Windows la baseline è il comando nativo del /F /Q
sdelete64.exe -p 3 -nobanner C:\Windows\Temp\payload.exe
Da PowerShell si replicano i pattern di Kimsuky con Remove-Item -Force -Recurse, eventualmente preceduto da sovrascrittura manuale con byte casuali tramite [System.IO.File]::WriteAllBytes(). Bumblebee e altri loader usano comandi interni tipo Sdl per auto-cancellarsi: nel lab si può replicare con uno script batch dropato in %TEMP% che elimina il parent e sé stesso.
Su Linux e macOS il flusso tipico usa rm -rf
Su ESXi, dove UNC3886 opera con vSphere Installation Bundle malevoli, la rimozione avviene tramite esxcli software vib remove combinato con rm sulle directory /tmp/, /scratch/ e /var/core/.
Per catene end-to-end integrare framework di post-exploitation come Sliver (open source), Mythic (open source) o Cobalt Strike (a pagamento), tutti con comandi built-in di file removal che rispecchiano il comportamento di malware reali. Nelle esercitazioni purple team è utile lasciare comunque marker forensi concordati (es. hash noti, file canary in path monitorati) per permettere al blue team di misurare la propria capacità di rilevamento.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo