Rimozione Indicatori dai Tool: Indicator Removal from Tools (T1027.005)
La tecnica T1027.005 - Indicator Removal from Tools descrive la pratica con cui un avversario, dopo aver constatato che il proprio strumento offensivo è stato rilevato, messo in quarantena o comunque neutralizzato da un sistema difensivo, procede a modificarlo per eliminare gli indicatori che ne hanno permesso l'identificazione. La versione ripulita viene poi riutilizzata contro lo stesso bersaglio o contro vittime successive che adottano soluzioni analoghe.
Questa tecnica si colloca all'interno della tattica TA0005 (Defense Evasion) e rappresenta un anello di retroazione fondamentale nel ciclo di sviluppo del malware: l'attaccante osserva il verdetto dell'antivirus, deduce la firma o l'euristica coinvolta e adatta il payload per neutralizzarla. Il caso più classico è la modifica di un file signature dopo la quarantena da parte di un motore AV, ottenuta cambiando byte non funzionali, rinominando mutex, alterando stringhe o ricompilando con packer differenti.
I dati MITRE ATT&CK documentano 7 gruppi APT, 9 famiglie di software e 2 campagne che hanno adottato in modo sistematico questo approccio. L'impatto operativo è duplice: da un lato riduce l'efficacia della threat intelligence basata su indicatori atomici (hash, mutex, stringhe), dall'altro allunga la finestra di persistenza dell'attaccante, che può reiterare l'accesso semplicemente rilasciando una nuova build. Non esistono mitigazioni MITRE dirette, il che sposta il peso della difesa su detection comportamentale e su threat hunting proattivo.
Per un red teamer, simulare T1027.005 significa costruire un ciclo di feedback tra il proprio payload e le difese del target. La prassi consolidata prevede tre fasi: analisi della firma, mutazione del binario, verifica dell'evasione.
Il punto di partenza è identificare quale porzione del binario viene flaggata. Su Windows lo strumento canonico è il modulo Find-AVSignature di PowerSploit (open source), che implementa la tecnica di bisection scanning suddividendo il file in blocchi progressivamente più piccoli e sottoponendoli al motore AV locale finché non si isola il byte-range responsabile della detection. La sintassi tipica prevede l'import del modulo e l'invocazione con path del sample, dimensione del chunk iniziale e cartella di output.
Una volta isolata la firma, la modifica può avvenire su tre livelli. Il primo livello è l'alterazione di byte non funzionali: aggiungere padding, cambiare timestamp del PE header, modificare la sezione .rsrc. Il gruppo Patchwork ha adottato questa tecnica su NDiskMonitor aggiungendo quattro byte casuali per alterare l'hash. Su Linux si ottiene lo stesso risultato con dd o con editor esadecimali come hexedit (open source) o radare2 (open source).
Il secondo livello riguarda stringhe e IoC atomici: nomi di mutex, named pipe, chiavi di registro, URL C2 hardcoded. Turla ha applicato questo approccio su Gazer, offuscando mutex e pipe. Tool come FLOSS di Mandiant (open source) permettono di estrarre le stringhe rilevanti che poi vanno riscritte o cifrate.
Il terzo livello è il repacking. Cobalt Strike (a pagamento) include nativamente la capacità di modificare il Beacon per eliminare firme note tramite Malleable C2 profiles e Artifact Kit. Per operazioni lab-safe si possono usare packer open source come UPX (open source), oppure crypter custom scritti in C o Nim.
La validazione va effettuata in ambiente isolato con VirusTotal (freemium, ma sconsigliato per operazioni reali perché condivide i sample) oppure con Kleenscan (freemium) o istanze locali di motori AV. OilRig ha documentato l'uso sistematico di questa pratica di test-and-refine. Un'accortezza operativa: mai sottoporre payload a VirusTotal durante un engagement reale, perché il sample entra nel dataset condiviso e brucia l'infrastruttura, esattamente come accadde all'autore di GravityRAT che caricò i propri sample per testarli.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo