Nomi Legittimi, Intenti Malevoli: Match Legitimate Resource Name or Location (T1036.005)

Rinominare un eseguibile malevolo con il nome di un processo di sistema, oppure piazzarlo in una directory fidata come C:\Windows\System32, è una delle tecniche di evasione più longeve e trasversali nel panorama delle minacce. T1036.005 — Match Legitimate Resource Name or Location è una sotto-tecnica di Masquerading che ricade nella tattica Defense Evasion (TA0005): l'avversario non modifica il comportamento del malware, ma ne cambia l'apparenza per mimetizzarsi tra i processi e i file legittimi dell'ambiente compromesso.

La logica è disarmante nella sua semplicità: un analista che vede svchost.exe in esecuzione o un file chiamato GoogleUpdate.exe in una cartella di programma tende a ignorarlo. La tecnica si estende oltre Windows — copre ambienti Linux (binari rinominati come cron o java), macOS (falsi installer Flash Player), container Kubernetes (pod con nomi che imitano workload legittimi) e persino hypervisor ESXi.

I numeri confermano la pervasività: 59 gruppi APT, 130 famiglie software, 13 campagne documentate e 3 mitigazioni la mappano. Si tratta di una tecnica quasi universale che attraversa settori, geografie e livelli di sofisticazione — dal ransomware opportunistico allo spionaggio di stato.

La simulazione di questa tecnica in laboratorio è essenziale per validare le capacità di detection del Blue Team. L'obiettivo è verificare se gli strumenti difensivi sono in grado di distinguere un binario legittimo dal suo impostore, basandosi su metadati, hash e contesto di esecuzione piuttosto che sul solo nome file.

Il punto di partenza più immediato su Windows è la copia e rinomina di un payload in una directory fidata. Si può partire con un semplice binario di test — la calcolatrice va benissimo come proxy iniziale, ma per un test realistico conviene usare un payload C2 vero. Con Cobalt Strike (a pagamento) o Sliver (open source), genera un beacon e rinominalo:

copy beacon.exe C:\Windows\System32\svchost.exe

Poi eseguilo e osserva se il SIEM solleva alert. Il test è efficace perché svchost.exe legittimo viene avviato esclusivamente da services.exe — qualsiasi altra parent process è anomala. Un secondo scenario prevede di imitare un software di terze parti, come facevano Chimera rinominando malware in GoogleUpdate.exe o APT32 usando install_flashplayers.exe:

rename payload.exe GoogleUpdate.exe move GoogleUpdate.exe "%LOCALAPPDATA%\Google\Update"

Su Linux la simulazione richiede un approccio diverso. Rocke e TeamTNT rinominavano miner come java o sostituivano script di sistema. Per replicare:

cp ./miner /usr/bin/java chmod +x /usr/bin/java

Verificare poi se auditd cattura la discrepanza tra hash del binario e quello atteso. Lo strumento osquery (open source) è particolarmente utile per questa validazione: una query come SELECT name, path, sha256 FROM processes WHERE name='java' permette di confrontare rapidamente l'hash in esecuzione con quello legittimo.

Per ambienti containerizzati, si può creare un pod con un nome che imita un componente di sistema — ad esempio kube-proxy-helper in un namespace privilegiato — e verificare se le policy di admission control (OPA Gatekeeper, open source; Kyverno, open source) lo intercettano.

Un framework utile per orchestrare questi test è Atomic Red Team (open source), che include test atomici specifici per T1036.005. Il test T1036.005 copia un binario rinominato e verifica la reazione dell'endpoint. Su macOS, il test può coinvolgere la creazione di un'applicazione .app con un bundle name che imita un software noto, verificando se Gatekeeper e i log unificati segnalano l'anomalia.

Il consiglio pratico: non limitare il test al singolo file rinominato. Costruisci una catena che includa persistenza (scheduled task con nome legittimo, come faceva RedCurl con MicrosoftCurrentupdatesCheck) e movimento laterale. È la correlazione multi-step che mette davvero alla prova il SOC.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo