Rinomina di Utility Legittime: Rename Legitimate Utilities (T1036.003)
La tecnica T1036.003 appartiene alla tattica TA0005 - Defense Evasion e consiste nel rinominare o rilocare binari di sistema legittimi per aggirare i controlli di sicurezza che si basano su nome file, percorso o baseline note. Un tipico esempio è la copia di rundll32.exe in una directory non standard con un nome differente, così da eludere regole EDR che monitorano l'esecuzione dell'utility dal path canonico.
La logica è semplice ma efficace: molti motori di detection combinano il nome del binario e il percorso di esecuzione come primo filtro. Rinominando cmd.exe, mshta.exe o certutil.exe, l'attaccante mantiene la funzionalità del tool ma sfugge alle firme basate sul nome. In alcuni casi la stessa tecnica viene applicata anche a tool di terze parti abusabili come PSExec, AutoHotKey o IronPython.
L'impatto operativo è significativo: MITRE ATT&CK documenta 6 gruppi APT che adottano attivamente questa tecnica, tra cui Lazarus Group, APT32, APT38, menuPass, GALLIUM e Daggerfly, insieme a 4 famiglie malware (CozyCar, Kevin, DarkGate, StrelaStealer). La tecnica si colloca tipicamente nelle fasi post-Initial Access della kill chain, come componente di Execution e Persistence camuffate, ed è spesso propedeutica a DLL sideloading, esecuzione di script offuscati o proxy execution via LOLBAS.
Dal punto di vista offensivo, la tecnica richiede tre passaggi: individuare un binario firmato Microsoft utile, copiarlo in un percorso arbitrario e rinominarlo. La firma digitale del PE resta valida anche dopo il rename, quindi il binario continua a superare i controlli di trust.
Su Windows, una catena tipica in laboratorio parte dalla copia di rundll32.exe:
copy C:\Windows\System32\rundll32.exe C:\ProgramData\Intel\dbengin.exe
Questa è la stessa tecnica documentata per Daggerfly, che utilizza dbengin.exe in ProgramData\Microsoft\PlayReady per proxy execution di DLL malevole. L'invocazione successiva del payload avviene con la sintassi classica:
C:\ProgramData\Intel\dbengin.exe C:\ProgramData\Intel\payload.dll,EntryPoint
Per simulazioni red team, il framework Atomic Red Team (open source) include atomic test dedicati a T1036.003 che automatizzano la copia e il rename di cmd.exe, powershell.exe e rundll32.exe, con validazione della catena tramite Invoke-AtomicTest. Il progetto LOLBAS (open source) mantiene un catalogo aggiornato di binari Windows abusabili con le rispettive command line, utile per selezionare il binario adatto all'obiettivo.
Su Linux, l'operazione è banale con cp e coreutils rinominati:
cp /bin/bash /dev/shm/.systemd-helper && chmod +x /dev/shm/.systemd-helper
L'esecuzione da /dev/shm o /tmp con un nome che imita servizi legittimi è pattern osservato in intrusion set che colpiscono infrastrutture *NIX. Su macOS lo stesso concetto si applica a osascript e curl, spesso copiati sotto /Users/Shared/ per sfuggire alle policy di Gatekeeper e TCC che valutano il path originale.
Per ambienti ESXi, la variante consiste nel rinominare esxcli o vim-cmd copiati in datastore non standard, tecnica utile in scenari di ransomware post-exploitation.
Un dettaglio operativo importante riguarda i metadati PE: strumenti come Sigcheck (gratuito, Sysinternals) o pefile (open source, Python) mostrano che OriginalFilename e InternalName nella sezione risorse del binario restano invariati dopo il rename. Un red teamer maturo, per aumentare la stealth, ricompilerà o modificherà queste stringhe con tool come CFF Explorer (gratuito) o Resource Hacker (gratuito), consapevole che è proprio questa discrepanza il primo trigger di detection lato blue team.
Durante l'engagement è buona prassi documentare hash, path e timestamp del binario rinominato per facilitare il purple team debrief.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.