File Nascosti: Hidden Files and Directories (T1564.001)

In un esercizio red team la tecnica è banale da implementare ma estremamente efficace se combinata con directory di sistema legittime. Su Windows il comando canonico resta attrib +h +s C:\ProgramData\, replicando esattamente ciò che FIN7 ha usato per nascondere una cartella SSH (attrib +h "C:\ProgramData\ssh") e DarkGate per occultare C:/rjtu/. Combinare +s rende la cartella invisibile anche con "Mostra file nascosti" attivo in Explorer, poiché richiede la disattivazione separata di "Nascondi file protetti di sistema".

Un pattern realistico osservato in Tropic Trooper consiste nel creare directory sotto path plausibili come C:\ProgramData\Apple\Updates\ o C:\Users\Public\Documents\Flash\. Per USB drop, Mustang Panda replica la naming convention RECYCLE.BIN nella root del volume, sfruttando il fatto che Windows tratta quel nome come cestino di sistema.

Su Linux la sintassi è più leggera: mkdir /tmp/.cache-systemd && cp implant /tmp/.cache-systemd/.helper. In scenari di privilege escalation è interessante il tool libprocesshider (open source, disponibile su GitHub), usato da Rocke: si tratta di una libreria caricata via /etc/ld.so.preload che intercetta readdir nascondendo processi e file con un prefisso configurabile. Per una simulazione più sofisticata, REPTILE (open source) implementa un LKM rootkit con capacità di occultamento a livello kernel, adatto a lab isolati per validare la copertura EDR.

Su macOS i comandi rilevanti sono chflags hidden /path/file e SetFile -a V /path/file (quest'ultimo richiede Xcode Command Line Tools installato). Per il naming con punto: mv payload .payload replica il pattern di FruitFly, iKitten e Dacls. ThiefQuest aggiunge nove caratteri random dopo il punto per rendere il nome non predicibile.

Per il tooling di supporto in lab: Sysinternals Streams (gratuito) enumera Alternate Data Streams su NTFS, utile per validare se il blue team rileva payload nascosti in ADS come file.txt:hidden.exe. SharPersist (open source) include moduli di persistenza che sfruttano file hidden. Un red teamer maturo evita di lasciare timestamp di creazione anomali: dopo aver piazzato il file, allinea ctime/mtime a quelli della directory padre con touch -r parent_dir /path/.payload per ridurre le anomalie di timeline.

La detection efficace di T1564.001 richiede correlazione tra eventi di process execution e file system, poiché il solo attributo hidden è troppo comune per essere trattato come segnale isolato. La strategia DET0032 fornisce tre analytic pertinenti alle tre piattaforme principali.

Su Windows (AN0091) la sorgente primaria è Sysmon, in particolare EventID 1 (Process Create) filtrato su attrib.exe con argomenti contenenti +h o +s, e EventID 11 (File Create) su path sensibili. La query deve intercettare anche l'invocazione via PowerShell del cmdlet Set-ItemProperty o dell'attributo [System.IO.FileAttributes]::Hidden, che bypassa attrib.exe. È fondamentale monitorare gli Alternate Data Streams tramite Sysmon EventID 15 (FileCreateStreamHash), che registra la creazione di ADS con hash del contenuto — un canale storicamente sfruttato per nascondere eseguibili all'interno di file apparentemente innocui.

Il tuning suggerito filtra su estensioni sensibili (.exe, .dll, .bat, .ps1, .vbs) per ridurre il rumore generato da software legittimo che usa attributi hidden per file di configurazione. Un pattern ad alto valore è la creazione di file hidden in directory ProgramData o Users\Public correlata a un processo genitore anomalo come winword.exe, outlook.exe o mshta.exe.

Su Linux (AN0092) la telemetria arriva da auditd con regole su FILE ed EXECVE. Una regola efficace intercetta openat con flag O_CREAT dove il basename inizia per punto in directory privilegiate come /etc, /var/spool, /usr/local/bin. Il filtro va limitato a queste directory perché /home e /tmp generano volumi ingestibili di eventi legittimi (.cache, .config, .ssh). Correlare con il contesto processo permette di isolare creazioni fatte da shell interattive lanciate da servizi di rete.

Su macOS (AN0093) il canale è lo unified logging system: filtrare eventi che riportano invocazioni di chflags con parametro hidden o SetFile -a V. La telemetria endpoint via Endpoint Security Framework (nativo) intercetta anche il flag UF_HIDDEN impostato via API, canale usato dal backdoor macOS di APT32 tramite chflags.

I falsi positivi principali derivano da installer software (Chrome, VS Code, package manager) che creano legittimamente directory con punto iniziale. La baseline per asset ruolo dovrebbe elencare i path attesi; ogni creazione fuori baseline in directory di sistema merita triage. Un secondo pattern ad alto segnale è la modifica della chiave HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced per disabilitare la visualizzazione di file nascosti, comportamento osservato in HIUPAN.

L'analisi forense di T1564.001 si fonda sul principio che l'attributo hidden è metadato: non altera il contenuto né la posizione fisica del file, quindi ogni artefatto resta pienamente recuperabile con tool standard che ignorano la vista utente.

Su Windows NTFS l'artefatto primario è la MFT (Master File Table). Ogni record contiene il campo $STANDARD_INFORMATION con i flag di attributo, inclusi FILE_ATTRIBUTE_HIDDEN (0x02) e FILE_ATTRIBUTE_SYSTEM (0x04). Strumenti come MFTECmd di Eric Zimmerman (open source) parsano la MFT esportando CSV con tutti i flag, permettendo query rapide su file hidden creati in una finestra temporale sospetta. La correlazione con $LogFile e $UsnJrnl:$J (parsabili con MFTECmd stesso) ricostruisce l'ordine esatto delle operazioni: creazione file, impostazione attributi, eventuale rename. Per gli Alternate Data Streams il tool AlternateStreamView di NirSoft (gratuito) enumera tutti gli stream non-default, mentre dir /r dalla riga di comando fornisce un check rapido.

Gli artefatti di esecuzione secondari sono cruciali per la timeline: Prefetch (C:\Windows\Prefetch\) registra l'esecuzione di attrib.exe, Amcache.hve conserva hash e path di eseguibili lanciati, e ShimCache contribuisce con evidenze aggiuntive. Il registro HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced va ispezionato per verificare manomissioni dei valori Hidden e ShowSuperHidden, come documentato per HIUPAN.

Su Linux la timeline si costruisce con Sleuth Kit (open source): fls -r -m / image.dd | mactime produce una timeline completa che ignora la vista utente e mostra tutti i file con punto iniziale. I log di auditd in /var/log/audit/audit.log — se attivi — contengono le syscall openat e creat con path e UID. Per implant kernel-mode come REPTILE, l'analisi live è compromessa: serve acquisizione di memoria con AVML (open source, di Microsoft) e analisi con Volatility 3 (open source) usando plugin come linux.check_syscall e linux.check_modules per rilevare hooking.

Su macOS i file con flag UF_HIDDEN si enumerano con ls -lO (opzione capital-O mostra i flag BSD). Il FSEvents database in /.fseventsd/ registra eventi di creazione anche per file hidden, e va acquisito con FSEventsParser (open source). L'unified log si esporta con log collect e si analizza offline con log show.

Per campagne come C0047 (RedDelta), la timeline forense su host compromessi mostra il pattern PlugX di Mustang Panda: creazione di directory hidden per payload cifrati, con correlazione tra EventID 11 di Sysmon e record MFT che indicano la sequenza esatta drop → attrib → esecuzione.

L'uso di T1564.001 attraversa quasi ogni cluster di threat actor tracciato in ATT&CK, ma emergono pattern regionali e operativi distinti che aiutano l'attribuzione.

Mustang Panda (G0129), gruppo allineato agli interessi cinesi, mostra il pattern più maturo: durante la campagna C0047 (RedDelta Modified PlugX Infection Chain Operations), attiva da metà 2023 a fine 2024 contro entità in Est e Sudest asiatico, gli operatori hanno stoccato payload PlugX cifrati in directory hidden. Il tratto distintivo è la creazione di cartelle RECYCLE.BIN nascoste su USB drive per propagazione e storage, tecnica che replica volumetria di malware storico (Stuxnet, Conficker) ma con implementazione moderna. LuminousMoth (G1014), che condivide TTP e possibile overlap operativo con Mustang Panda, adotta lo stesso vettore USB con binari malevoli in directory hidden.

Lazarus Group (G0032), cluster nordcoreano, opera prevalentemente cross-platform con enfasi su macOS: usa macro VBA per impostare attributi System e Hidden su Windows, mentre su macOS applica il naming con punto iniziale per nascondere payload dalla Finder. Il malware Dacls (S0497) e la famiglia AppleJeus (S0584) — quest'ultima associata a operazioni finanziarie contro exchange crypto — condividono lo stesso pattern di leading dot su .plist, indicando riuso di codice o playbook interno.

APT32 (G0050), gruppo allineato al Vietnam, mostra maturità macOS con il backdoor che invoca chflags per nascondere il file clientID, e con OSX_OCEANLOTUS.D (S0352) che imposta attributi hidden sul loader principale. Questa specializzazione macOS distingue APT32 dalla maggior parte dei gruppi asiatici, orientati primariamente a Windows.

FIN7 (G0046) e FIN13 (G1016), cluster cybercriminali con focus finanziario, condividono l'uso di attrib.exe per occultare directory su Windows. FIN13 estende la tecnica a Linux creando file hidden in /tmp, evidenziando adattamento a target ibridi tipici di ambienti retail e hospitality. RedCurl (G1039), attivo in spionaggio corporate, ha aggiunto l'attributo hidden a file originali per manipolare le vittime a cliccare su LNK malevoli — una variante creativa che sfrutta la tecnica per ingegneria sociale piuttosto che pura evasion.

HAFNIUM (G0125), associato all'exploitation di Exchange, e Tropic Trooper (G0081), attivo contro target APAC, completano il quadro con uso opportunistico di directory hidden in path ProgramData plausibili.

Il trend osservabile è la convergenza cross-platform: gruppi storicamente Windows-only (Lazarus, APT32) hanno esteso arsenali a macOS mantenendo la stessa tecnica di occultamento, semplicemente adattandone la primitiva OS-specific.

MITRE ATT&CK: tecnica T1564.001, tattica TA0005, gruppi G0007, G0032, G0046, G0050, G0081, G0106, G0125, G0129, G0134, G1014, G1016, G1039, software S0013–S1236, campagna C0047, detection DET0032 (AN0091–AN0093). MITRE D3FEND per mapping difensivi su file attribute analysis. Conoscenza professionale utilizzata per tool di analisi forense (MFTECmd, Sleuth Kit, Volatility, AVML, FSEventsParser), Sysinternals Streams, AlternateStreamView, libprocesshider, SharPersist, con pricing e disponibilità verificati.