Codice Polimorfico: Polymorphic Code (T1027.014)

Simulare polimorfismo in laboratorio richiede strumenti che dimostrino l'evasione di controlli signature-based senza produrre malware realmente dannoso. L'approccio corretto è generare payload benigni (calc.exe launcher, beacon di test) e osservarne la mutazione tra iterazioni.

Per test controllati su Windows, msfvenom (open source, incluso in Metasploit Framework) offre encoder iterativi. Un esempio classico per generare un payload con encoding multiplo:

msfvenom -p windows/x64/exec CMD=calc.exe -e x64/xor_dynamic -i 10 -f exe -o payload_test.exe

Rigenerando il payload più volte, l'hash SHA-256 cambia a ogni iterazione mantenendo il comportamento. Va sottolineato che gli encoder Metasploit non sono veramente polimorfici — sono statici e ben noti agli AV moderni — ma servono a dimostrare il concetto.

Per simulazioni più realistiche, Donut (open source, TheWover/donut su GitHub) converte PE, .NET assembly e shellcode in loader shellcode-only con opzioni di cifratura variabile. Il flag -e 3 abilita cifratura AES con chiave generata dinamicamente, producendo output diversi a ogni build. Freeze.rs (open source) genera loader in Rust che eseguono shellcode con syscall dirette, aggirando gli hook userland dei prodotti EDR.

Su Linux, la mutazione ELF può essere simulata con UPX (open source) in combinazione con script di post-processing che iniettano sezioni casuali. Un workflow tipico prevede compilazione, strip dei simboli, packing UPX e aggiunta di padding entropico:

upx --best --ultra-brute ./payload_bin

Per macOS, theZoo (open source, a scopo esclusivamente didattico) contiene campioni storici utili a comprendere strutture Mach-O mutanti, mentre dylib-injection proof-of-concept può essere combinato con offuscatori come Obfuscator-LLVM (open source) per generare varianti binarie funzionalmente equivalenti.

Un esercizio red team completo dovrebbe includere: generazione di 20-50 varianti dello stesso payload, upload controllato su VirusTotal (freemium — attenzione: mai caricare payload reali di clienti) o su sandbox private come CAPE Sandbox (open source) per misurare il detection rate, e infine test contro l'EDR target in ambiente isolato.

Strumenti come AMSI Bypass techniques e ScareCrow (open source) permettono di studiare come i loader moderni combinino polimorfismo, sideloading di DLL firmate e syscall unhooking. Ogni test va documentato con hash pre/post mutazione, entropia calcolata via ent o binwalk -E, e comportamento osservato in sandbox.

Rilevare codice polimorfico richiede di abbandonare la logica signature-based e abbracciare detection comportamentale e statistica. La strategia MITRE DET0324 propone tre analytics distinte per piattaforma, tutte incentrate su entropia, mutazione di hash e pattern di esecuzione anomali.

Su Windows, la telemetria di riferimento è Sysmon (open source, Microsoft Sysinternals). L'analytic AN0919 suggerisce di correlare EventID 1 (Process Create), EventID 7 (Image Load) e EventID 11 (File Create) per identificare binari che si auto-modificano o mostrano cambiamenti di hash tra esecuzioni successive. Un indicatore forte è la presenza di un processo padre scripting (powershell.exe, wscript.exe, cscript.exe) che spawna un eseguibile con entropia elevata — tipicamente superiore a 7.2 su scala Shannon 0-8, soglia che segnala payload cifrati o compressi.

Query Splunk esemplificativa per correlare spawn rapidi e drop di file ad alta entropia:

*index=sysmon EventCode=11 | eval file_ext=lower(mvindex(split(TargetFilename,"."),-1)) | search file_ext IN (exe,dll,scr) | join Image [search index=sysmon EventCode=1 ParentImage="powershell.exe"]

Parametri di tuning critici indicati da MITRE: EntropyThreshold calibrato sul baseline del parco applicativo, TimeWindow per catturare sequenze rapide process spawn + image load tipiche dei mutation engine, e ParentProcessPatterns per definire catene padre-figlio sospette (es. script runner che genera PE codificati).

Su Linux la fonte primaria è auditd con regole SYSCALL. L'analytic AN0920 monitora sequenze write → chmod +x → execve in rapida successione, con deviazione entropica significativa rispetto al baseline degli ELF di sistema. Una regola auditd utile:

-a always,exit -F arch=b64 -S execve -F auid>=1000 -k exec_monitor

Su macOS, la telemetria proviene da unified log, fs_usage e soprattutto dal framework EndpointSecurity (nativo). L'analytic AN0921 traccia mutazioni di binari Mach-O e dylib tra esecuzioni consecutive, particolarmente rilevante quando engine di scripting (Python, Swift, AppleScript) o JIT compiler sono coinvolti.

Sul piano preventivo, le mitigazioni M1040 (Behavior Prevention on Endpoint) e M1049 (Antivirus/Antimalware) raccomandano EDR con machine learning e regole Attack Surface Reduction (ASR) su Windows 10+ per bloccare esecuzione di payload potenzialmente offuscati. Regole ASR come "Block executable files from running unless they meet a prevalence, age, or trusted list criterion" sono particolarmente efficaci contro varianti polimorfiche appena generate.

Attenzione ai falsi positivi: installer legittimi (InstallShield, NSIS), packer commerciali (VMProtect, Themida usati da software genuino) e software di protezione DRM producono alta entropia. Un baseline accurato per whitelist di publisher firmati riduce significativamente il rumore.

L'analisi forense di codice polimorfico impone di ricostruire il comportamento più che identificare il campione, poiché ogni istanza è unica per definizione. La timeline dell'incidente deve concentrarsi su artefatti di esecuzione, non su hash statici.

Su Windows, gli artefatti chiave includono le Prefetch files in C:\Windows\Prefetch, che registrano ogni eseguibile lanciato con timestamp di prima e ultima esecuzione. Strumenti come PECmd (open source, Eric Zimmerman) permettono estrazione strutturata:

PECmd.exe -d C:\Windows\Prefetch --csv output.csv

Il confronto tra prefetch per lo stesso nome file ma hash differenti è un indicatore diretto di mutazione. Amcache.hve (C:\Windows\AppCompat\Programs\Amcache.hve) conserva SHA-1 dei binari eseguiti con timestamp di prima esecuzione, permettendo di identificare più varianti dello stesso payload apparso a distanza di ore. AmcacheParser (open source) automatizza l'estrazione.

I ShimCache (AppCompatCache in registry) e UserAssist completano il quadro di execution evidence. Per ricostruzione della memoria, Volatility 3 (open source) con il plugin windows.malfind individua regioni con permessi RWX e alta entropia, tipiche di payload decifrati in memoria:

vol.py -f memory.dmp windows.malfind.Malfind

Il plugin windows.vadinfo consente di dumpare le regioni sospette per analisi entropica successiva con ent o sigcheck.

Su Linux, gli artefatti primari sono i log auditd in /var/log/audit/audit.log, gli entry di bash_history, e i file in /proc/[pid]/maps e /proc/[pid]/exe durante l'incidente live. Per analisi post-mortem, LiME (open source) acquisisce la memoria e Volatility 3 con profili Linux estrae processi e mapping.

Su macOS, Unified Logs (predicate: eventMessage contains "execve") e artefatti FSEvents in /.fseventsd/ forniscono timeline di modifica file. KnockKnock e BlockBlock (entrambi open source, Objective-See) aiutano a identificare persistenza atipica associata a loader mutanti.

Un caso di studio documentato è BendyBear (S0574), malware attribuito ad attività di cyberspionaggio, che modifica la propria impronta runtime per evadere firme AV. L'analisi ha richiesto approcci basati su clustering comportamentale: identificazione di pattern di chiamate API, sequenze di syscall e strutture di comunicazione C2 comuni tra varianti apparentemente distinte.

La timeline forense deve includere: momento del drop iniziale (spesso via phishing o loader di prima fase), catena di decrittazione in memoria, primo contatto C2, e sequenza di mutazioni successive documentata tramite hash multipli in Amcache. Timeline Explorer (open source, Zimmerman) e Plaso/log2timeline (open source) sono strumenti standard per correlazione temporale su larga scala.

Il dataset MITRE ATT&CK per T1027.014 documenta formalmente un solo software — BendyBear (S0574) — e nessun gruppo APT o campagna direttamente attribuita. Questa scarsità nel catalogo ufficiale riflette una difficoltà oggettiva di attribuzione: quando il codice muta a ogni esecuzione, il tradizionale approccio di clustering per hash diventa inutile, e l'analista deve ricorrere a similarità comportamentali, infrastrutturali o di TTP.

BendyBear rappresenta il caso di studio principale documentato. Si tratta di uno shellcode altamente sofisticato, con dimensione contenuta e cifratura polimorfica del payload, progettato per evadere signature-based defense modificando la propria impronta a runtime. L'associazione con attività di cyberspionaggio contro settori governativi e strategici lo colloca in un contesto di threat actor con risorse elevate e obiettivi di intelligence a lungo termine.

Sul piano dei pattern osservabili, il polimorfismo è tecnica trasversale che attraversa categorie molto diverse di adversary. Il threat intelligence officer deve considerare che l'assenza di attribuzioni formali nel dataset non significa assenza di uso operativo: al contrario, indica che la tecnica è spesso invisibile alle metodologie di attribuzione classiche. Questo suggerisce di integrare fonti esterne — report di vendor di threat intelligence commerciali, IOC feed comportamentali, e telemetria interna — per costruire un quadro realistico.

Gli overlap tecnologici più comuni includono l'uso combinato con Software Packing (T1027.002) e Encrypted/Encoded File (T1027.013), formando catene di offuscamento multi-strato. Loader polimorfici sono frequentemente osservati come primo stadio prima del deployment di framework post-exploitation come Cobalt Strike, Sliver o Brute Ratel, offuscando il beacon iniziale per aggirare l'ispezione perimetrale.

Dal punto di vista dei trend osservabili nel panorama threat, si registra un aumento nell'adozione di crypter-as-a-service in ambienti cybercriminali, dove operatori senza competenze avanzate di offuscamento possono acquistare accesso a mutation engine gestiti. Questo abbassa la barriera d'ingresso e amplia il numero di attori capaci di deployare payload polimorfici, complicando ulteriormente la detection basata su firme.

Sul fronte difensivo, l'intelligence deve alimentare i team SOC con indicatori comportamentali — pattern di API call, sequenze di syscall, caratteristiche di traffico C2 — piuttosto che hash statici, ormai di utilità limitata. La priorità di threat modeling per organizzazioni ad alto valore dovrebbe includere l'ipotesi realistica che payload polimorfici bypasseranno i controlli statici, imponendo investimenti in EDR con analisi comportamentale, sandbox dinamiche e threat hunting proattivo basato su ipotesi.

MITRE ATT&CK: T1027.014 (Polymorphic Code), tattica TA0005. Software: S0574 (BendyBear). Mitigazioni: M1040 (Behavior Prevention on Endpoint), M1049 (Antivirus/Antimalware). Detection Strategy: DET0324 con analytics AN0919 (Windows/Sysmon), AN0920 (Linux/auditd), AN0921 (macOS/EndpointSecurity). Framework difensivo consultato: MITRE D3FEND. Tool citati verificati su repository ufficiali e documentazione vendor. Parti del contenuto operativo derivano da conoscenza professionale consolidata in ambito cybersecurity, integrata con i dati MITRE forniti.