Bypass del Mark-of-the-Web: Mark-of-the-Web Bypass (T1553.005)

La simulazione di questa tecnica in laboratorio parte dalla creazione di un contenitore che ospiti un payload senza propagazione del MOTW. Il vettore più efficace resta l'immagine disco ISO o VHD, perché Windows la monta automaticamente con un doppio clic e i file interni ereditano attributi da filesystem non-NTFS (tipicamente UDF o FAT), privi di supporto ADS.

Su Windows la generazione di un VHD si effettua con diskpart (built-in) o con PowerShell tramite il modulo Hyper-V, ad esempio New-VHD -Path C:\lab\payload.vhd -SizeBytes 10MB -Fixed seguito da Mount-VHD e formattazione. Per costruire ISO in modo scriptabile su Linux si usa mkisofs o genisoimage (open source), con sintassi tipo genisoimage -o payload.iso -J -r ./contenuto/. Il red teamer inserisce nel contenitore un file .lnk che punta a un binario o a cmd.exe con argomenti offensivi, oppure un documento Office con macro: entrambi, una volta estratti dal container montato, sfuggono a Protected View e SmartScreen.

Per catene più elaborate si può usare PackMyPayload (open source, repository GitHub di mgeeky), tool Python dedicato proprio al packaging di payload in ISO, IMG, VHD, ZIP e altri container ai fini della simulazione di MOTW bypass. Il comando tipico è python PackMyPayload.py output.iso payload.exe. In alternativa, 7-Zip (open source) permette di generare archivi personalizzati e testare quali formati vengono ancora esclusi dalla propagazione MOTW introdotta da Microsoft.

Il workflow completo in un esercizio red team prevede: hosting del container su web server controllato, delivery via phishing con link o allegato, verifica lato client che il file scaricato riceva effettivamente il tag Zone.Identifier (visibile con Get-Item file.iso -Stream Zone.Identifier in PowerShell), montaggio e conferma che i file interni ne siano privi.

Una variante osservata in-the-wild consiste nella manipolazione diretta dell'ADS: eliminarlo con Remove-Item -Path file.exe -Stream Zone.Identifier o azzerarlo scrivendo ZoneId=0 con Set-Content. Sul lato macOS ed ESXi la tecnica non è applicabile perché MOTW è una feature esclusiva Windows/NTFS; l'equivalente concettuale su macOS è l'attributo esteso com.apple.quarantine, con dinamiche di bypass distinte. Per operazioni di team esteso, Cobalt Strike (a pagamento) e Sliver (open source) supportano la generazione di payload facilmente incapsulabili in questi container.

La detection efficace di questa tecnica richiede la correlazione tra eventi di download, montaggio o estrazione di contenitori e successiva esecuzione di processi figli non attesi. Il dettato MITRE nella regola AN0712 indica proprio questo: osservare file contenitore provenienti da Internet i cui contenuti risultino privi di Zone.Identifier, seguiti da esecuzione di binari non firmati.

Le fonti di log primarie sono Sysmon (open source, Microsoft Sysinternals) e il Security log di Windows. Sysmon è indispensabile: l'EventID 15 registra la creazione di file con hash e con il campo Contents dello stream Zone.Identifier, permettendo di sapere se un file scaricato è marcato correttamente. L'EventID 1 traccia la creazione di processi con parent e command line, essenziale per correlare explorer.exe o 7zFM.exe con l'esecuzione di eseguibili estratti da archivi. L'EventID 11 registra la creazione di file su disco, utile per identificare estrazioni da ISO montate su lettere di unità inusuali.

Una regola comportamentale efficace osserva la sequenza: creazione di un file .iso, .vhd, .img, .vhdx con stream Zone.Identifier presente (indicante origine Internet), seguita entro pochi minuti dal montaggio (visibile come nuovo volume mount) e dall'esecuzione di un processo il cui path risieda sul drive appena montato. In KQL per Microsoft Defender for Endpoint, la tabella DeviceFileEvents permette il filtro su FileName endswith ".iso" combinato con DeviceProcessEvents dove FolderPath contiene una lettera di drive non abituale. Gli eventi EventID 4688 (process creation) del Security log offrono visibilità simile in ambienti senza Sysmon, ma senza il dettaglio dello stream ADS.

Controlli preventivi da implementare in parallelo alla detection includono policy AppLocker o Windows Defender Application Control che blocchino l'esecuzione di binari da path corrispondenti a mount di immagini disco, e la disabilitazione dell'auto-mount di file .iso e .vhd via registry (chiave HKCR\Windows.IsoFile\shell\mount).

I falsi positivi principali derivano da software di deployment enterprise che distribuisce installer via ISO (system management, hypervisor management, alcuni installer Microsoft come Visual Studio o SQL Server), da sviluppatori che lavorano con immagini VHD, e da tool di backup. Il tuning richiede whitelist esplicite per hash o path noti di questi processi, oltre a una finestra temporale di correlazione (parametro TimeWindow nella regola AN0712) tra estrazione ed esecuzione che tipicamente si assesta tra 60 secondi e 5 minuti. L'estensione della lista WatchedExtensions dipende dal profilo d'uso: .7z, .rar e .gz meritano attenzione in ambienti dove il traffico legittimo di questi formati è limitato.

L'analisi forense di un incidente che coinvolge il bypass MOTW ruota attorno alla ricostruzione della catena download → montaggio → esecuzione. L'artefatto centrale è lo stream NTFS Alternate Data Stream Zone.Identifier, leggibile con Get-Item -Stream Zone.Identifier in PowerShell o estraibile con AlternateStreamView di NirSoft (gratuito). Il contenuto tipico è un file INI con campi ZoneId (3 = Internet, 4 = Untrusted), ReferrerUrl e HostUrl, che rivelano l'origine esatta del contenitore scaricato.

La timeline si costruisce partendo dagli artefatti browser. Per Chrome ed Edge il database SQLite History e Downloads fornisce timestamp del download, URL sorgente e path locale. Per Firefox l'equivalente è places.sqlite. Strumenti come DB Browser for SQLite (open source) o Hindsight (open source, di Ryan Benson) automatizzano l'estrazione. Il timestamp del download va poi correlato con la creazione del file sul filesystem visibile nella $MFT, analizzabile con MFTECmd di Eric Zimmerman (open source) che restituisce timestamp $STANDARD_INFORMATION e $FILE_NAME.

Il montaggio di un'immagine ISO o VHD lascia tracce nel Registry sotto HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices e negli hive utente in NTUSER.DAT alla chiave Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2. Il tool RegRipper (open source) automatizza il parsing. Ulteriore evidenza proviene dagli eventi Microsoft-Windows-VHDMP-Operational per i VHD e dai log Partition e Storage-ClassPnP che registrano l'attach del dispositivo virtuale.

Gli ShellBags (chiave BagMRU in UsrClass.dat) documentano la navigazione dell'utente nel contenuto montato, indicando quali cartelle sono state aperte in Explorer. L'esecuzione dei payload interni si ricostruisce da Prefetch (in C:\Windows\Prefetch, parsabile con PECmd di Zimmerman, open source), da Amcache.hve e da UserAssist, che registrano hash, path e primo tempo di esecuzione. Se Sysmon era attivo, l'EventID 1 fornisce command line completa e parent process; altrimenti EventID 4688 del Security log offre versione ridotta.

Per verificare quali file interni al container erano privi di MOTW post-estrazione, l'analista può ricostruire il container originale dal path noto e ispezionarlo in un ambiente controllato. Le campagne documentate mostrano pattern ricorrenti: APT29 ha incapsulato ISO e VHDX in HTML per delivery via web, APT38 ha usato ISO e VHD in operazioni finanziarie, TA505 ha distribuito .lnk dentro ISO. Il malware QakBot è stato ripetutamente veicolato in ISO, mentre Amadey modifica direttamente lo stream Zone.Identifier portandolo a zero: la presenza di un file eseguito con ADS presente ma ZoneId=0 è essa stessa un indicatore forte di compromissione.

L'adozione del bypass MOTW è trasversale tra attori di natura molto diversa, segno che l'efficacia della tecnica supera i confini di motivazione e geografia. I dati MITRE documentano tre gruppi principali con impieghi distinti ma convergenti sul medesimo obiettivo: consegnare payload che sfuggano ai controlli built-in di Windows.

APT29, gruppo attribuito al servizio di intelligence estera russo (SVR) e attivo in operazioni di cyberespionage contro governi, think tank e organizzazioni sanitarie, ha adottato la tecnica embeddando immagini ISO e VHDX in file HTML. Il vettore HTML smuggling combinato con container disk image consente di aggirare sia i filtri email sia i controlli MOTW, generando il file contenitore direttamente lato client via JavaScript e presentandolo all'utente come download locale privo di zona Internet. Questa raffinatezza tecnica è coerente con il profilo storico del gruppo, noto per campagne come SolarWinds.

APT38, cluster nordcoreano parte del più ampio ecosistema Lazarus e specializzato in operazioni finanziarie contro banche e infrastrutture SWIFT, ha impiegato ISO e VHD come parte delle proprie catene di intrusione. L'obiettivo qui è economico: garantire l'esecuzione affidabile del malware bancario evitando che le protezioni endpoint blocchino il primo stadio.

TA505, gruppo criminale russofono attivo da anni nella distribuzione di banking trojan, ransomware e loader come Dridex e Clop, ha utilizzato .iso come contenitore per file .lnk malevoli. Il pattern è caratteristico del cybercrime finanziario: volumi elevati, phishing di massa e monetizzazione rapida. L'uso di LNK dentro ISO è una signature ricorrente anche di altre operation criminali che hanno adottato la tecnica dopo il blocco delle macro Office da parte di Microsoft nel 2022.

Sul fronte malware, QakBot (banking trojan e loader modulare, oggi disrotto da operazioni law enforcement ma con varianti successive) è stato packaged in ISO in numerose campagne. Amadey, loader minimale usato come dropper di ulteriori payload, presenta un approccio diverso: modifica direttamente l'ADS Zone.Identifier portandolo a zero, tecnica che opera post-download anziché sul contenitore.

Il trend osservabile è chiaro: dopo il blocco delle macro nei file Office scaricati da Internet, container ISO/VHD e archivi con LNK sono diventati il vettore di initial access dominante. Microsoft ha risposto estendendo la propagazione MOTW ad alcuni formati archive, ma la copertura resta incompleta e i gruppi ruotano rapidamente verso formati non ancora coperti. Le organizzazioni con esposizione ad avversari state-sponsored (settore governativo, difesa, sanità) devono considerare APT29 come riferimento primario; quelle nel settore finanziario devono monitorare pattern TA505 e cluster Lazarus. La disabilitazione dell'auto-mount di ISO/VHD tramite policy è la misura preventiva a maggiore rapporto costo/beneficio.

MITRE ATT&CK T1553.005 (Mark-of-the-Web Bypass), tattica TA0005. Gruppi G0016 (APT29), G0082 (APT38), G0092 (TA505). Software S0650 (QakBot), S1025 (Amadey). Mitigazioni M1038, M1042. Detection DET0257, analytic AN0712. Framework MITRE D3FEND per artefatti Zone.Identifier e File Analysis. Contenuti tecnici su tool operativi (PackMyPayload, Sysmon, MFTECmd, RegRipper, Hindsight, PECmd) integrati da conoscenza professionale di cybersecurity con verifica di disponibilità e sintassi.