Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Bypass del Mark-of-the-Web: Mark-of-the-Web Bypass (T1553.005)
Ogni file scaricato da Internet su Windows riceve un'etichetta invisibile chiamata Mark-of-the-Web (MOTW), memorizzata in un Alternate Data Stream NTFS denominato Zone.Identifier. Questa etichetta è il primo anello della catena di protezione: attiva la Protected View nei documenti Office, innesca la valutazione di Windows Defender SmartScreen sugli eseguibili e, più in generale, segnala al sistema operativo che quel file proviene da una zona non fidata.
La tecnica T1553.005 appartiene alla tattica Defense Evasion (TA0005) e sfrutta un limite strutturale: molti formati contenitore — file ISO, VHD, VHDX, archivi compressi — non supportano gli Alternate Data Stream NTFS. Di conseguenza, quando un utente monta un'immagine disco o estrae un archivio, i file interni perdono il MOTW e vengono trattati come file locali, liberi di eseguirsi senza alcun avviso.
L'impatto operativo è significativo: 3 gruppi APT documentati, 2 famiglie malware note e 2 mitigazioni specifiche delineano una superficie d'attacco concreta e attivamente sfruttata. Il bypass del MOTW trasforma un meccanismo di difesa nativo di Windows in un punto cieco, rendendo questa tecnica un pilastro delle catene di infezione moderne basate su phishing con allegati contenitore.
Il cuore di questa tecnica è semplice: confezionare un payload all'interno di un contenitore che l'utente aprirà con un doppio click, facendo sì che i file interni sfuggano al MOTW. Per replicarla in laboratorio servono due passaggi distinti: la creazione del contenitore e la verifica che il MOTW non venga ereditato.
Scenario ISO con payload .lnk — Questa è la catena più utilizzata in the wild. Su una macchina Linux si può creare un'immagine ISO contenente un file .lnk malevolo e un eseguibile, utilizzando il tool mkisofs (open source), parte del pacchetto cdrtools:
mkisofs -o payload.iso -J -R ./staging/
La directory staging conterrà il .lnk (che punta all'eseguibile nella stessa root ISO) e il payload vero e proprio. Una volta che la vittima monta l'ISO su Windows, il contenuto appare come un disco locale e il .lnk si esegue senza intervento di SmartScreen.
Scenario VHD con disco virtuale — Per creare un VHD si può usare direttamente diskpart su Windows, utile per dimostrare che non servono tool esotici:
diskpart create vdisk file=C:\temp\test.vhd maximum=100 type=fixed select vdisk file=C:\temp\test.vhd attach vdisk create partition primary format fs=fat32 quick assign letter=Z
Dopo aver copiato il payload nella partizione Z:, si smonta il disco e si distribuisce il file .vhd. FAT32 è una scelta deliberata: non supportando ADS, garantisce che nessun MOTW venga applicato al contenuto.
Verifica dell'assenza del MOTW — Per confermare che il bypass funzioni, si usa il tool Streams di Sysinternals (gratuito):
*streams.exe -s Z:*
Se non compare alcun Zone.Identifier, il bypass è riuscito. In alternativa, da PowerShell:
Get-Content -Path "Z:\payload.exe" -Stream Zone.Identifier
Un errore di tipo "stream non trovato" conferma l'assenza del MOTW.
Scenario Amadey-style: azzeramento diretto — Per replicare la tecnica di manipolazione diretta dell'ADS (come documentato per il malware Amadey), si può sovrascrivere il valore del Zone.Identifier da PowerShell:
Set-Content -Path "C:\Users\test\Downloads\file.exe" -Stream Zone.Identifier -Value "[ZoneTransfer]`nZoneId=0"
Il valore ZoneId=0 corrisponde alla zona "Local Machine", eliminando di fatto ogni restrizione.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo