Occultamento Artefatti: Hide Artifacts (T1564)
La tecnica Hide Artifacts raccoglie l'insieme dei metodi con cui un attaccante sfrutta funzionalità legittime del sistema operativo per rendere invisibili file, directory, account, task pianificati o chiavi di registro. L'obiettivo è mantenere la persistenza e l'operatività senza che utenti, amministratori o strumenti di sicurezza possano notare la presenza di componenti malevoli.
Mappata sotto la tattica TA0005 Defense Evasion, questa famiglia di tecniche interviene trasversalmente lungo la kill chain: dopo l'Initial Access, durante l'Execution, ma soprattutto nelle fasi di Persistence e Command & Control, dove la longevità dell'impianto dipende dalla capacità di sottrarsi alla visibilità dell'operatore umano e degli strumenti automatici.
I meccanismi abusati sono profondamente diversi tra piattaforme. Su Windows si sfruttano attributi hidden/system, Alternate Data Streams (ADS), chiavi di registro con Security Descriptor manipolato e task pianificati invisibili. Su Linux si ricorre al prefisso . nei nomi file, all'utility chattr per impostare flag immutabili o append-only. Su macOS si usa chflags hidden insieme a LaunchAgents piazzati in percorsi non standard. Su ESXi si nascondono file VMFS critici come VMDK e VMX. Il framework MITRE documenta 5 famiglie malware che implementano varianti di questa tecnica e 4 mitigazioni che spaziano dall'audit periodico alle policy antivirus. L'impatto operativo è significativo perché ritarda la detection e allunga il dwell time medio di settimane o mesi.
In un esercizio di red teaming, l'occultamento degli artefatti va simulato su ciascuna piattaforma con tecniche che riflettano l'abuso reale.
Su Windows, l'approccio classico è impostare gli attributi hidden e system con attrib +h +s C:\Users\Public\payload.exe. Un livello ulteriore si ottiene con gli Alternate Data Streams: il comando type payload.exe > legit.txt:hidden.exe nasconde un binario dentro un file di testo, ed è eseguibile con wmic process call create facendo riferimento allo stream. Per la persistenza tramite scheduled task invisibili — tecnica documentata da Tarrask (S1011) — si può replicare la cancellazione del valore SD (Security Descriptor) sotto HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree<TaskName> usando PsExec in contesto SYSTEM. Il task rimane funzionante ma non appare più in schtasks né in Task Scheduler MMC.
Per testare l'occultamento del PEB (Process Environment Block) usato da WarzoneRAT (S0670) per abusare di IFileOperation ed elevare privilegi bypassando UAC, framework come PEBmasq o moduli custom in Cobalt Strike (a pagamento) e Sliver (open source) permettono di sperimentare la manipolazione delle strutture in memoria che l'EDR ispeziona.
Su Linux, l'approccio più semplice resta il prefisso punto: mkdir /var/tmp/.cache && cp implant /var/tmp/.cache/.helper. Per rendere persistente e resistente alla rimozione un file, chattr +i /etc/systemd/system/backdoor.service imposta il flag immutable che blocca anche root fino a rimozione esplicita con chattr -i. La verifica avviene con lsattr.
Su macOS, il comando chflags hidden ~/Library/LaunchAgents/com.apple.systemd.plist rende il file invisibile in Finder pur restando eseguibile da launchd. Le famiglie OSX/Shlayer (S0402) e Bundlore (S0482) usano invece mktemp -d /tmp/XXXXXXXXXXXX per generare directory con nomi randomici che sfuggono a regole statiche di detection basate su path noti.
Su ESXi, con accesso shell abilitato, si possono spostare file VMDK in datastore secondari o rinominarli aggiungendo un punto iniziale, sfruttando il fatto che l'interfaccia vSphere non mostra file hidden per default.
Per emulare DarkTortilla (S1066) è utile testare la creazione di chiavi di registro con nomi placeholder tipo %HiddenReg% che offuscano l'analisi statica di runtime configs.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo