Contrabbando HTML: HTML Smuggling (T1027.006)

La detection di HTML Smuggling richiede un approccio comportamentale poiché l'ispezione statica del traffico è strutturalmente cieca: il payload non attraversa la rete come binario. La strategia di detection DET0313 fornita da MITRE si articola su tre piattaforme e converge su un pattern unico — creazione di file da parte di processi browser o email client, seguita da esecuzione entro una finestra temporale ristretta.

Su Windows la fonte primaria è Sysmon, in particolare EventID 15 (FileCreateStreamHash) che intercetta la creazione dello stream alternato Zone.Identifier associato al Mark-of-the-Web. Un file scritto da chrome.exe, msedge.exe o OUTLOOK.EXE con HostUrl=about:internet o ReferrerUrl riconducibile a un dominio sospetto è il primo indicatore. Correlare con EventID 11 (FileCreate) per catturare il path completo del payload droppato e con EventID 1 (ProcessCreate) per l'esecuzione conseguente. Un segnale forte è l'assenza di un download HTTP di grandi dimensioni nei log del proxy per la stessa sessione — se il file esiste su disco ma il proxy non registra un GET corrispondente, il payload è stato assemblato localmente.

Su Linux le fonti sono auditd (regole su syscall open, openat, execve) e osquery con query periodiche sulla tabella file_events filtrate su path tipici come /tmp/ e ~/Downloads/. La lineage padre-figlio è cruciale: un processo lanciato con parent Firefox o Chromium in una finestra di 5-15 minuti dal download merita triage.

Su macOS il unified logging e la quarantine database (~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2) rivelano l'origine del file. L'assenza del flag com.apple.quarantine su un file scritto da un browser è un'anomalia notevole, così come l'aggiramento di Gatekeeper via bundle .app estratti da ZIP.

Le regole di tuning consigliate includono:

• Watchlist estensioni: .js, .hta, .exe, .iso, .img, .lnk, .vbs
• Finestra temporale tra apertura HTML e drop: 1-10 minuti
• Parent process: browser mainstream, client email, applicazioni Office

Sul piano preventivo, la mitigazione M1048 (Application Isolation and Sandboxing) suggerisce di applicare Content Security Policy che restringano inline JavaScript e blob URI, e di attivare le regole ASR di Microsoft Defender, in particolare quelle che bloccano la creazione di processi figli da parte di Office e la scrittura di eseguibili da parte di script. I falsi positivi principali derivano da web application legittime che generano report o export via Blob (dashboard BI, CRM, tool DevOps): la whitelist per dominio referrer riduce drasticamente il rumore.

L'analisi forense di un incidente HTML Smuggling ruota attorno a una timeline stringente che deve collegare la ricezione del vettore iniziale al drop del payload e alla sua esecuzione. Il punto di partenza tipico è la casella di posta della vittima o la cache browser.

Su Windows gli artefatti chiave includono:

• INetCache (%LOCALAPPDATA%\Microsoft\Windows\INetCache) per Edge/IE legacy e le cartelle profilo di Chrome/Firefox per il file HTML originale
• Zone.Identifier ADS sui file droppati, ispezionabile con Get-Item -Stream Zone.Identifier in PowerShell, che rivela HostUrl e ReferrerUrl
• Prefetch (C:\Windows\Prefetch) per l'esecuzione del payload droppato, con timestamp di prima e ultima esecuzione
• UserAssist e ShellBags per interazione utente con l'archivio contenitore
• ActivitiesCache.db (Timeline di Windows 10) per correlare apertura HTML e successiva esecuzione
• $MFT e $UsnJrnl per ricostruire l'ordine esatto di creazione file, essenziale quando il gap tra drop ed esecuzione è di pochi secondi

Per campagne attribuite ad APT29, l'artefatto distintivo è la presenza di un file ISO montato con contenuto minimale — tipicamente un LNK e una DLL — con timestamp di creazione coincidente con l'apertura dell'HTML. L'ISO permette di preservare il payload interno dal MOTW, poiché il flag di quarantena non si propaga ai file all'interno dell'immagine montata su versioni Windows precedenti alle mitigazioni introdotte con la CVE-2022-41091.

Su Linux la ricostruzione parte da auditd con ricerca su SYSCALL di tipo openat verso /tmp/ e ~/Downloads/, seguita da correlazione con execve successivi. La tabella process_events di osquery, se persistita, permette query retrospettive sulla catena parent-child. I log del browser (~/.mozilla/firefox/*/places.sqlite per Firefox, ~/.config/google-chrome/Default/History per Chrome) contengono la cronologia di visita che documenta l'URL sorgente.

Su macOS il unified log estratto con log collect fornisce eventi TCC, Gatekeeper e LaunchServices. La query alla QuarantineEventsV2 con sqlite3 rivela l'origine dell'ostilità:

sqlite3 ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2 "SELECT * FROM LSQuarantineEvent;"

Per campagne QakBot, il pattern ricorrente è un ZIP scaricato via HTML smuggling che contiene un LNK o un container ISO/IMG, con successiva esecuzione di regsvr32.exe o rundll32.exe per caricare la DLL malevola. Il malware EnvyScout di APT29 lascia tracce specifiche: script HTML con funzioni JavaScript denominate coerentemente e blob decodificati in path predicibili sotto il profilo utente. La preservazione dell'HTML originale è prioritaria per l'analisi statica successiva del payload embedded.

Nel panorama degli attori che hanno adottato HTML Smuggling come vettore stabile, la firma più matura resta quella di APT29 (noto anche come Cozy Bear, Midnight Blizzard, The Dukes), gruppo attribuito al servizio di intelligence estera russo SVR. APT29 ha integrato la tecnica in operazioni di spear phishing sofisticate contro obiettivi governativi, diplomatici e think tank in Europa e Nord America, incapsulando file ISO all'interno di allegati HTML per bypassare simultaneamente content filter e Mark-of-the-Web. Il loader EnvyScout (S0634), associato a operazioni APT29, contiene codice JavaScript che estrae un blob codificato dal corpo HTML e lo scrive su disco: rappresenta l'implementazione canonica della tecnica ed è stato osservato in catene di infezione che portano a impianti custom come Cobalt Strike riconfigurati e famiglie proprietarie come BoomBox e NativeZone.

Sul fronte cybercrime, la famiglia QakBot (S0650) — banking trojan evoluto in loader modulare e piattaforma di Initial Access Broker — ha adottato HTML Smuggling per la distribuzione di payload compressi in ZIP. L'operazione QakBot, prima dell'operazione di takedown Duck Hunt condotta dall'FBI, rappresentava uno dei principali fornitori di accesso iniziale per gruppi ransomware, inclusi affiliati di Conti, BlackBasta e altre operazioni RaaS. L'adozione di HTML Smuggling da parte di QakBot ha coinciso con l'irrigidimento di Microsoft sulle macro VBA di Office, dimostrando come la tecnica sia diventata soluzione di ripiego universale per bypassare le nuove mitigazioni sulla catena di consegna documentale.

Il pattern strategico emergente è chiaro: HTML Smuggling colma il vuoto lasciato dalla progressiva disattivazione delle macro. La tecnica presenta caratteristiche ideali per l'ecosistema attuale — nessuna interazione server-side sospetta, MIME type benigni, compatibilità cross-browser, capacità di trasportare qualsiasi tipologia di payload (eseguibili, ISO, LNK, script). L'overlap tool tra APT nation-state (APT29 con EnvyScout) e criminalità organizzata (QakBot) segnala una convergenza tecnica in cui le innovazioni migrano rapidamente attraverso i segmenti.

Sotto il profilo geografico, le vittimologie divergono: APT29 privilegia settore diplomatico, difesa e tecnologia in paesi NATO, mentre QakBot ha colpito indiscriminatamente PMI e grandi aziende in Nord America ed Europa occidentale con focus sul settore finanziario e manifatturiero. Per un analista di threat intelligence il segnale rilevante è la presenza, in un allegato HTML, di stringhe caratteristiche come msSaveBlob, createObjectURL, download.href o array di byte di grande dimensione: questi indicatori consentono di sviluppare regole YARA su corpus di allegati email per identificare campagne emergenti prima della loro diffusione massiva.

MITRE ATT&CK T1027.006 (HTML Smuggling), tattica TA0005. Gruppi e software citati: G0016 (APT29), S0634 (EnvyScout), S0650 (QakBot). Mitigazione M1048 (Application Isolation and Sandboxing). Detection strategy DET0313 con analytic AN0872, AN0873, AN0874. Framework difensivo di riferimento: MITRE D3FEND. Parte del contenuto operativo su comandi, tool di laboratorio e artefatti forensi deriva da conoscenza professionale di cybersecurity applicata al framework ATT&CK.