Mascheramento: Masquerading (T1036)
Il Masquerading è una delle tecniche di Defense Evasion più trasversali dell'intero framework MITRE ATT&CK, catalogata sotto la tattica TA0005. Consiste nella manipolazione di attributi che caratterizzano un artefatto — nome file, estensione, icona, metadata PE, path di installazione, firma digitale — per farlo apparire legittimo agli occhi di utenti e strumenti di sicurezza.
La tecnica attraversa quasi tutte le fasi della kill chain: si trova nell'Initial Access quando un allegato malevolo si presenta come PDF, nella Execution quando un binario rinominato viene lanciato al posto dell'originale, nella Persistence quando un servizio adotta un nome plausibile, fino alla fase di Impact quando ransomware come Ryuk mascherano DLL con contenuti RTF.
I numeri parlano chiaro: 20 gruppi APT documentati, 31 famiglie malware, 7 campagne e 8 mitigazioni ufficiali. Il ventaglio va da attori state-sponsored come APT28, Sandworm Team e Volt Typhoon (nella campagna KV Botnet) fino a operazioni criminali come C0015 con Conti e C0018 con AvosLocker. L'impatto operativo è enorme: un'icona Word applicata a un eseguibile riduce drasticamente la resistenza dell'utente al doppio click, mentre un procdump rinominato dump64.exe aggira regole di detection basate su nome del processo. Comprendere il Masquerading significa quindi ripensare la detection spostandola da attributi statici a coerenza semantica tra ciò che un file dichiara e ciò che realmente fa.
In un esercizio red team la simulazione del Masquerading si articola su più superfici. Su Windows l'approccio classico è la rinomina di utility legittime: APT28 e PLATINUM hanno rinominato rar.exe per esfiltrare archivi senza allarmare i controlli, mentre Ember Bear ha usato dump64.exe al posto di procdump.exe. Riprodurre questo pattern in laboratorio richiede semplicemente di copiare il binario Sysinternals originale con nome alternativo e verificare quali regole EDR reagiscono al comportamento anziché al nome.
Per la manipolazione di icone e metadata PE lo strumento di riferimento è Resource Hacker (gratuito), che permette di sostituire l'icona di un eseguibile con quella di Adobe Reader o Microsoft Word — pattern usato da BRONZE BUTLER, Windshift e dal downloader di TrickBot. Per modificare invece il campo OriginalFilename nella sezione VERSIONINFO del PE si può ricompilare la risorsa con rcedit (open source) tramite la sintassi rcedit-x64.exe payload.exe --set-version-string OriginalFilename svchost.exe.
Un secondo scenario riguarda l'abuso di estensioni. OilRig ha impacchettato eseguibili con estensione .doc, Flagpro rinomina file da .tmp a .exe prima dell'esecuzione, StrelaStealer usa .com al posto di .exe. In lab si può testare l'appending di estensioni multiple (fattura.pdf.exe) sfruttando il comportamento predefinito di Explorer che nasconde le estensioni note. Per simulare tecniche più raffinate come l'inversione visiva del testo tramite Unicode Right-to-Left Override (RLO), basta inserire il carattere U+202E in un filename per far apparire malwareexe.doc al posto di malwaredoc.exe.
Su Linux, replicando il pattern di TeamTNT, i binari possono essere posti in /tmp o /dev/shm con nomi docker-, containerd- o kube-proxy per confondersi con processi legittimi di orchestrazione. Su macOS l'esercizio si concentra sulla creazione di bundle .app con Info.plist manipolato: XCSSET imita Safari, Dacls si presenta come file .nib. L'uso di plutil -convert xml1 Info.plist consente di editare CFBundleIdentifier e CFBundleName per far corrispondere metadata a un'app di sistema.
Per scenari ESXi, seguendo il pattern KV Botnet, si può testare la registrazione di servizi con nomi plausibili in /etc/rc.local.d/ verificando quali soluzioni di monitoraggio riconoscono deviazioni dalla baseline. Framework come Cobalt Strike (a pagamento) e Sliver (open source) offrono nativamente opzioni di spoof process name utili per stager mascherati, coerentemente con quanto fatto da APT32 che ha camuffato un beacon Cobalt Strike da installer Flash.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo