Defacement Interno: Internal Defacement (T1491.001)

L'Internal Defacement consiste nella modifica deliberata di elementi visibili all'utente — sfondi desktop, banner di login, pagine intranet, etichette di volume — per intimidire, disorientare o forzare una risposta da parte delle vittime. La tecnica si colloca nella tattica Impact (TA0040), la fase della kill chain in cui l'avversario ha già raggiunto i propri obiettivi primari e passa a manipolare, interrompere o distruggere sistemi e dati.

Un aspetto cruciale: il defacement interno è quasi sempre un atto terminale. Modificare lo sfondo di centinaia di workstation con una nota di riscatto, o rinominare le etichette dei volumi con un indirizzo email per la negoziazione, equivale a dichiarare apertamente la propria presenza. Nessun attaccante razionale lo fa prima di aver completato la catena: esfiltrazione dati, cifratura file, disabilitazione dei backup.

Le statistiche del framework confermano una concentrazione significativa nell'ecosistema ransomware: 9 software documentati — quasi tutti ransomware — 3 gruppi APT con attribuzioni distinte, 0 campagne catalogate singolarmente e 1 mitigazione ufficiale incentrata sul backup. Il messaggio è chiaro: quando vedi il defacement, il danno è già fatto. La partita si gioca sulla capacità di ripristino e sulla profondità della detection nelle fasi precedenti.

La simulazione del defacement interno è utile per validare due cose: la capacità del SOC di rilevare modifiche massive ai file di sistema e la resilienza dei processi di ripristino. Non serve sofisticazione — serve realismo.

Cambio wallpaper su Windows via registry e PowerShell. Il metodo più comune nei ransomware documentati (Black Basta, BlackCat, Qilin, INC Ransomware, Diavol) è la modifica del wallpaper tramite chiamata alla API SystemParametersInfo o, più banalmente, tramite registry. In laboratorio puoi simularlo così:

Set-ItemProperty -Path "HKCU:\Control Panel\Desktop" -Name Wallpaper -Value "C:\temp\ransom.bmp"

rundll32.exe user32.dll, UpdatePerIDesktopLayout

Per un approccio più fedele alle TTP reali, usa la chiamata diretta in PowerShell:

Add-Type -TypeDefinition 'using System.Runtime.InteropServices; public class W { [DllImport("user32.dll")] public static extern int SystemParametersInfo(int uAction, int uParam, string lpvParam, int fuWinIni); }'; [W]::SystemParametersInfo(20, 0, "C:\temp\ransom.bmp", 3)

Questo replica esattamente il meccanismo utilizzato da Diavol, che dopo la cifratura cattura il desktop, imposta lo sfondo nero e sovrascrive il wallpaper con un bitmap contenente le istruzioni di riscatto.

Simulazione ransom note nei filesystem. Per replicare il comportamento di BlackByte, ROADSWEEP e RansomHub — che depositano note di riscatto in ogni directory cifrata — uno script iterativo è sufficiente:

Get-ChildItem -Path "C:\TestTarget" -Directory -Recurse | ForEach-Object { Set-Content -Path (Join-Path $_.FullName "README-FOR-DECRYPT.txt") -Value "SIMULATION - Ransom Note" }

Modifica del banner di login su Linux, per simulare ciò che un attaccante farebbe su server esposti o su host ESXi:

echo "SIMULATED DEFACEMENT - Security Test" | sudo tee /etc/motd

echo "SIMULATED DEFACEMENT - Security Test" | sudo tee /etc/issue

Rename delle etichette di volume, come fa ShrinkLocker che rinomina le label disco con l'indirizzo email dell'attaccante:

label C: YOURDATA-LOCKED

Su macOS, la modifica dello sfondo può essere simulata con osascript (open source, incluso nel sistema):

osascript -e 'tell application "Finder" to set desktop picture to POSIX file "/tmp/ransom.png"'

Per orchestrare l'intero scenario in un esercizio red team strutturato, Atomic Red Team (open source) include test specifici per T1491.001 che puoi eseguire con Invoke-AtomicTest (open source) su Windows. Questi test generano telemetria reale per validare le regole di detection del blue team.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo