Defacement Interno: Internal Defacement (T1491.001)
Internal Defacement rappresenta una tecnica di impatto catalogata sotto la tattica TA0040 (Impact) del framework MITRE ATT&CK, con codice T1491.001. Si tratta di una manipolazione deliberata di risorse visive interne all'organizzazione — sfondi del desktop, banner di login, pagine intranet, messaggi MOTD — finalizzata a intimidire gli utenti, screditare l'integrità dei sistemi o comunicare richieste estorsive.
A differenza di altre tecniche di impatto che colpiscono la disponibilità dei dati, il defacement interno agisce sul piano psicologico e comunicativo. L'attaccante ha già ottenuto accesso privilegiato e sceglie di rivelare la propria presenza, spesso come atto conclusivo di una campagna ransomware o distruttiva. Non è raro che l'immagine sostitutiva contenga contenuti disturbanti o offensivi, pensati per amplificare la pressione sulle vittime.
Le statistiche MITRE documentano 3 gruppi APT noti per l'impiego di questa tecnica, 9 famiglie malware che l'automatizzano — in larga misura ransomware moderni — e 1 mitigazione ufficiale (M1053 Data Backup). La collocazione tardiva nella kill chain la rende un indicatore ad alta confidenza di compromissione già avvenuta: quando viene osservata, la fase di detection preventiva è ormai fallita e occorre attivare risposta all'incidente, contenimento e procedure di ripristino da backup immutabili.
In un contesto red team autorizzato, la simulazione del defacement interno serve a validare la capacità del blue team di rilevare modifiche non autorizzate a risorse UI e a testare la reazione dell'organizzazione a scenari post-exploitation. L'obiettivo non è provocare disagio reale, ma dimostrare il livello di accesso raggiunto e misurare i tempi di risposta.
Su Windows, la modifica dello sfondo desktop si effettua attraverso la chiave di registro HKCU\Control Panel\Desktop\Wallpaper combinata con una chiamata a SystemParametersInfoW con parametro SPI_SETDESKWALLPAPER. Un one-liner PowerShell tipico è:
reg add "HKCU\Control Panel\Desktop" /v Wallpaper /t REG_SZ /d "C:\temp\redteam.jpg" /f
seguito da RUNDLL32.EXE USER32.DLL,UpdatePerUserSystemParameters. Per scenari di dominio, la stessa modifica può essere veicolata via GPO su OU di test, simulando propagazione massiva. Per la modifica del logon banner si agisce su HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System con i valori LegalNoticeCaption e LegalNoticeText.
Su Linux, i target classici sono /etc/motd, /etc/issue e /etc/issue.net per i banner, mentre per il defacement di siti intranet si sovrascrivono file in /var/www/html/index.html. Uno script Bash minimale può essere echo "CONTENT" | sudo tee /etc/motd seguito dalla modifica dello sfondo GNOME tramite gsettings set org.gnome.desktop.background picture-uri file:///tmp/img.jpg.
Su macOS si ricorre ad AppleScript eseguito via osascript: il comando osascript -e 'tell application "System Events" to set picture of every desktop to "/tmp/img.jpg"' modifica lo sfondo per la sessione attiva. Per il login window si interviene su /Library/Preferences/com.apple.loginwindow.plist con defaults write.
Su ESXi, l'accesso SSH consente la modifica diretta di /etc/motd e /etc/issue, mentre il banner SSH si configura via esxcli system welcomemsg set.
Per l'orchestrazione dello scenario in laboratorio si utilizzano framework come Atomic Red Team (open source), che include test dedicati a T1491.001, Caldera (open source) di MITRE per catene automatizzate, e Metasploit Framework (open source) per i moduli post-exploitation post/windows/manage/set_wallpaper. La regola d'ingaggio impone sempre di operare su host isolati, notificare il SOC prima del test e ripristinare lo stato originale al termine dell'esercizio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.