Mascheramento di Task e Servizi: Masquerade Task or Service (T1036.004)
La tecnica T1036.004 – Masquerade Task or Service descrive la manipolazione dei metadati di task pianificati e servizi di sistema per farli apparire legittimi agli occhi di operatori umani e strumenti di sicurezza. Un attaccante che crea un servizio Windows chiamato WinDefService o un'unità systemd denominata networks.service sfrutta la familiarità del difensore con nomi noti per ridurre il rischio di ispezione manuale.
La tecnica si colloca in TA0005 (Defense Evasion) e opera trasversalmente alle fasi di persistenza ed esecuzione della kill chain. Non è un vettore di compromissione iniziale ma un moltiplicatore di sopravvivenza: una volta ottenuto il foothold, il threat actor sceglie con cura service name, display name e description per mimetizzarsi tra le migliaia di componenti che popolano un endpoint aziendale medio.
I numeri raccontano la maturità di questo pattern: 22 gruppi APT documentati, 61 famiglie malware e 7 campagne rilevanti hanno impiegato varianti di mascheramento nomenclaturale. Il ventaglio spazia dal ransomware (Maze, Black Basta, Egregor) allo spionaggio statale (APT29, APT41, Sandworm, Lazarus), fino a botnet moderne come KV Botnet che rinomina il proprio stage iniziale in [kworker/0:1] per confondersi con i thread del kernel Linux. L'assenza di mitigazioni MITRE dirette conferma che la contromisura è squisitamente detection-driven, non prevenibile con hardening architetturale.
In un ingaggio red team, il mascheramento di un servizio o task è un passaggio quasi obbligato dopo aver piazzato un impianto. L'obiettivo è produrre un artefatto che superi una prima ispezione visuale in services.msc, schtasks /query o systemctl list-units.
Su Windows, la creazione di un servizio malevolo con display name camuffato può essere simulata con utility native. Il comando sc.exe create accetta il parametro DisplayName= separato dal service name interno:
sc.exe create WinDefService binPath= "C:\ProgramData\update.exe" DisplayName= "Windows Defender System Service" start= auto
È possibile poi arricchire la descrizione tramite sc.exe description WinDefService "Provides real-time protection...". Per i task pianificati, schtasks /create /tn "\Microsoft\Windows\SoftwareProtectionPlatform\EventCacheManager" /tr ... replica pattern osservati durante il SolarWinds Compromise (C0024), dove APT29 collocava task in path che imitavano la gerarchia Microsoft legittima.
Un trucco documentato in APT32 consiste nell'aggiungere caratteri Unicode non stampabili — tipicamente lo zero-width no-break space U+FEFF — al nome di un servizio esistente, ottenendo due entità coesistenti indistinguibili nella colonna nomi. In PowerShell si può generare la stringa con [char]0xFEFF + "svchost".
Su Linux la simulazione passa per la creazione di unit file in /etc/systemd/system/ o, per persistenza utente, in ~/.config/systemd/user/. Un file chiamato networks.service invece di network.service è il pattern classico osservato in C0034 (2022 Ukraine Electric Power Attack) con GOGETTER. La procedura richiede systemctl daemon-reload seguita da systemctl enable --now networks.service.
Su macOS, i LaunchAgent con label com.apple.openssl.plist — pattern di OSX_OCEANLOTUS.D — vanno depositati in ~/Library/LaunchAgents/ e caricati con launchctl load.
Strumenti utili in laboratorio includono Impacket (open source), che con psexec.py e smbexec.py mostra come i servizi remoti vengano rinominati (FIN6 ha rinominato psexec in mstdc); Atomic Red Team (open source) che fornisce test T1036.004 pronti; SharPersist (open source) per l'automazione della persistenza mimetizzata; e Covenant (open source) come C2 framework per orchestrare l'intera catena. Per validare l'efficacia del camuffamento, confrontare l'output di Get-Service con e senza filtri di firma digitale evidenzia quanto un nome ben scelto possa ritardare l'individuazione anche in ambienti con EDR di fascia alta.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo