Esclusione Selettiva: Selective Exclusion (T1679)
La tecnica Selective Exclusion descrive il comportamento di attaccanti — tipicamente operatori ransomware — che escludono deliberatamente file, cartelle, estensioni o componenti di sistema dal processo di cifratura o manomissione. Estensioni come .dll, .exe e .lnk vengono frequentemente saltate perché la loro corruzione renderebbe il sistema inutilizzabile prima ancora che la vittima possa leggere la nota di riscatto.
MITRE ATT&CK colloca questa tecnica nella tattica TA0005 (Defense Evasion), poiché l'obiettivo primario è ridurre la superficie di rumore generato dall'esecuzione del payload. Un sistema che continua a rispondere, con l'interfaccia grafica funzionante e i servizi core in esecuzione, genera meno allarmi immediati sia lato utente sia lato EDR rispetto a un host che collassa dopo pochi secondi.
Nella kill chain, l'esclusione selettiva si manifesta durante la fase di Impact (esecuzione del ransomware) ma è pianificata già in fase di sviluppo del malware, dove liste hardcoded o espressioni regolari definiscono cosa risparmiare. Tre famiglie documentate implementano questo pattern: Medusa Ransomware, InvisibleFerret e Embargo, quest'ultimo con un motore basato su regex. L'impatto operativo è duplice: mantiene la vittima capace di pagare (il browser, la rete e l'OS restano vivi) e complica la detection comportamentale, perché il volume di scritture su disco è più basso e mirato rispetto a una cifratura indiscriminata.
In un esercizio red team che simuli la fase finale di una catena ransomware, la logica di esclusione selettiva va riprodotta in laboratorio isolato per validare le detection difensive senza causare danni. L'approccio consigliato è sviluppare un payload benigno di simulazione che enumeri il filesystem applicando le stesse regole di skip usate dalle famiglie reali, senza cifrare nulla o scrivendo solo su file marker in una directory dedicata.
Su Windows, l'enumerazione preliminare che precede l'esclusione può essere emulata con PowerShell nativo:
Get-ChildItem -Path C:\ -Recurse -ErrorAction SilentlyContinue | Where-Object { $_.Extension -notin '.dll','.exe','.sys','.lnk' }
Questo comando riproduce il pattern di scansione ricorsiva con filtro per estensione che caratterizza famiglie come Embargo e Medusa. Per simulare la logica regex tipica di Embargo si può usare:
Get-ChildItem -Recurse | Where-Object { $_.FullName -notmatch '(Windows\System32|Program Files|.exe$|.dll$)' }
Su Linux e ESXi, dove diverse varianti ransomware hanno portato i loro binari, l'equivalente è find / -type f ! -regex '..(so|ko|conf)$' 2>/dev/null* per emulare l'esclusione di librerie condivise e file di configurazione critici.
Per la fase di manipolazione delle esclusioni antivirus — comportamento correlato in cui l'attaccante aggiunge path alla whitelist di Defender prima di deployare il payload — il comando reale è:
Add-MpPreference -ExclusionPath "C:\Temp\payload"
e per le estensioni:
Add-MpPreference -ExclusionExtension ".locked"
Questi comandi sono documentati nel modulo Defender di PowerShell e generano eventi tracciabili, quindi sono utili per validare la telemetria del SOC.
Come framework di orchestrazione per la simulazione, Atomic Red Team (open source) contiene test mappati su tecniche di Defense Evasion e permette di eseguire in modo controllato le modifiche alle esclusioni. Caldera (open source) di MITRE consente di concatenare la fase di discovery del filesystem con la modifica delle esclusioni in un playbook automatizzato. Per riprodurre payload ransomware in sandbox si può usare Ransomware Simulator di KnowBe4 (gratuito) o sviluppare un binario custom in Go che accetti una lista di regex da riga di comando e logghi le decisioni di skip senza toccare i file. Ogni esecuzione va confinata in VM snapshot con rete isolata e disco secondario dedicato ai file esca.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo