Rilocazione Malware: Relocate Malware (T1070.010)
La tecnica T1070.010 – Relocate Malware appartiene alla tattica TA0005 (Defense Evasion) e descrive un comportamento post-esecuzione in cui l'attaccante duplica o sposta il payload malevolo in una nuova posizione del filesystem per rimuovere le tracce del vettore iniziale e sottrarre l'artefatto all'attenzione dei difensori.
A differenza di una semplice cancellazione, la rilocazione conserva la funzionalità del malware ma ne recide il legame narrativo con gli eventi precedenti: il documento phishing aperto in Downloads, l'estrazione da un archivio, l'esecuzione da parte dell'utente. Spostando il binario in System32, in una directory esclusa dall'antivirus o in un percorso di persistenza, l'attaccante ottiene tre vantaggi simultanei. Innanzitutto, spezza la timeline forense che collegherebbe l'esecuzione a un alert di User Execution (T1204) o Phishing (T1566). In secondo luogo, sfrutta il fatto che le operazioni di move preservano il timestamp di creazione originale, rendendo inefficaci le detection basate su file appena creati e vanificando parzialmente l'analisi anti-Timestomp (T1070.006). Infine, la rilocazione si combina spesso con Match Legitimate Resource Name or Location (T1036.005) per masquerading e con l'inserimento in File/Path Exclusions note dell'EDR.
L'impatto operativo è significativo: molti playbook SOC scattano su file created in path sensibili, ma un semplice move non genera l'evento atteso, aprendo una finestra di silenzio investigativo che può durare giorni.
In un red team engagement la rilocazione del payload va inserita subito dopo il primo callback del beacon, prima di stabilire persistenza. L'obiettivo è separare il binario in memoria/disco dalla sua origine tracciabile.
Su Windows, la catena tipica in laboratorio parte da un dropper eseguito da %USERPROFILE%\Downloads. Dopo l'esecuzione, si utilizzano le API native o comandi built-in per spostare il file:
move C:\Users\victim\Downloads\invoice.exe C:\ProgramData\Microsoft\DeviceSync\svchost.exe
cmd /c copy /Y %TEMP%\stage1.exe C:\Windows\Tasks\wuauclt.exe && del %TEMP%\stage1.exe
L'uso di MoveFileEx con il flag MOVEFILE_REPLACE_EXISTING via C2 evita di generare eventi FileCreate di Sysmon nella destinazione (viene emesso FileCreateStreamHash solo in alcune condizioni). Framework come Cobalt Strike (a pagamento), Sliver (open source) e Mythic (open source) espongono comandi cp / mv nativi che sfruttano direttamente le API Win32 senza spawnare cmd.exe, riducendo la telemetria.
Su Linux, l'operazione in un lab controllato prevede lo spostamento verso path esclusi o directory di persistenza:
install -m 755 /tmp/.x /usr/local/sbin/systemd-helperd && shred -u /tmp/.x
L'uso di install invece di mv consente di impostare permessi e ownership in un'unica syscall, utile a mimetizzare il binario tra i tool di sistema. Combinare con touch -r /bin/ls /usr/local/sbin/systemd-helperd per allineare i timestamp al binario di riferimento.
Su macOS, i bundle applicativi offrono contenitori ideali. Un payload scaricato via Safari eredita l'attributo esteso com.apple.quarantine; la rilocazione dentro ~/Library/Application Support/
xattr -d com.apple.quarantine /Users/target/Library/Application\ Support/Updater/agent
Su appliance di rete (Cisco IOS, ArubaOS), la rilocazione riguarda immagini firmware o script EEM copiati da flash:/tmp a nvram:/startup-config tramite copy e rename.
Per validare l'efficacia della tecnica, tool come Atomic Red Team (open source) includono test dedicati a T1070.010 utili a misurare la copertura EDR. SharpMove e le funzioni file-management di Nim-based loaders come NimPlant (open source) permettono di testare la telemetria generata rispetto a cmd.exe + copy.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo