Masquerading per Nome Legittimo: Match Legitimate Resource Name or Location (T1036.005)
La tecnica T1036.005 descrive una forma di masquerading in cui l'attaccante assegna a file, chiavi di Registro, servizi o risorse container nomi e percorsi che imitano o corrispondono a elementi legittimi del sistema. L'obiettivo è mimetizzarsi nel rumore operativo, aggirando controlli visivi degli analisti e regole di detection basate su path o naming convention.
Sul piano tattico la tecnica si colloca in TA0005 (Defense Evasion) ma la sua utilità si estende trasversalmente lungo tutta la kill chain: dal drop iniziale del payload alla persistenza tramite servizi e scheduled task, fino all'esfiltrazione con archivi rinominati per assomigliare a pacchetti Windows Update. Un binario chiamato svchost.exe eseguito da %TEMP% o una DLL denominata wercplsupporte.dll accanto alla legittima wercplsupport.dll sfrutta la difficoltà cognitiva dell'analista nel distinguere l'anomalia in liste di centinaia di processi.
I numeri raccontano l'ubiquità del comportamento: 59 gruppi APT, 130 famiglie malware e 13 campagne documentate. Compaiono attori statali di primo piano come APT29, APT41, Lazarus Group, Sandworm Team, Turla e Volt Typhoon, insieme a operatori criminali di ransomware quali Akira, INC Ransom, Black Basta e REvil. La superficie di abuso spazia da Windows a Linux, macOS, container e persino appliance di rete come i router Juniper compromessi nella campagna J-magic.
In un ingaggio red team la simulazione di T1036.005 richiede attenzione all'ecosistema target. Su Windows il pattern classico consiste nel deployare un implant con nome di processo di sistema in un percorso legittimo. La preparazione può includere l'estrazione dei metadati del binario originale (versione, azienda, descrizione) da copiare nel proprio payload tramite editor di risorse come Resource Hacker (open source) o direttamente in fase di build con la direttiva VERSIONINFO del compilatore.
Un approccio realistico prevede tre fasi. Prima si mappa il target: quali processi girano nativamente, quali percorsi ospitano binari firmati, quali servizi sono attesi. Strumenti come Sysinternals Autoruns e Process Explorer (gratuiti) aiutano a costruire una baseline. Poi si sceglie il cover name: svchost.exe, msdtc.exe, wuauclt.exe, taskhostw.exe sono candidati abusati storicamente, ma in ambienti moderni con EDR maturi conviene selezionare nomi meno noti ma comunque presenti (es. sihost.exe, SearchProtocolHost.exe). Infine si posiziona il file: percorsi come *C:\ProgramData*, *C:\Windows\Temp* o sottocartelle di Program Files con vendor plausibili (Adobe, VMware, Realtek) offrono copertura, come dimostrato da Ke3chang e PlugX.
Per il side-loading di DLL il pattern operativo richiede un eseguibile legittimo firmato che carichi una DLL con nome atteso ma path controllato dall'attaccante. Tool come Koppeling (open source) e Spartacus (open source) automatizzano l'enumerazione di applicazioni vulnerabili a DLL search order hijacking, permettendo di generare stub proxy che preservano l'ABI originale.
Su Linux la simulazione riprende pattern osservati in RotaJakiro e Cyclops Blink: rinominare il proprio processo tramite prctl(PR_SET_NAME, ...) o sovrascrivendo argv[0] per apparire come [kworker/0:1], systemd-daemon o cron. Un semplice programma C che invoca prctl dopo il fork replica efficacemente la tecnica in laboratorio.
In ambienti containerizzati l'esercizio consiste nel deployare pod con nomi che imitano workload di sistema (kube-proxy-, coredns-) in namespace come kube-system, sfruttando ClusterRoleBinding permissive. Su ESXi il pattern osservato in RedPenguin e VIRTUALPITA prevede binari collocati in /usr/libexec/ con nomi come ksmd o jdosd per mimare demoni kernel legittimi.
La regola d'oro del red teamer resta la coerenza: metadati, timestamp, dimensioni e firma devono convergere verso la finzione scelta, altrimenti l'inganno cade al primo controllo automatizzato.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.