Utility Rinominate per Evasione: Rename Legitimate Utilities (T1036.003)

Una delle tecniche di evasione più efficaci e al contempo più semplici consiste nel rinominare un eseguibile di sistema legittimo prima di utilizzarlo. La tecnica T1036.003 – Rename Legitimate Utilities si colloca nella tattica TA0005 (Defense Evasion), la fase della kill chain in cui l'attaccante cerca di operare senza attivare alert o controlli di sicurezza.

Il meccanismo è lineare: molti strumenti difensivi — EDR, SIEM, policy di application whitelisting — intercettano l'uso di binari noti come rundll32.exe, mshta.exe, certutil.exe o wscript.exe sulla base del nome file sul disco. Se un avversario copia quel binario in una cartella diversa e lo rinomina con qualcosa di apparentemente innocuo, molte regole di detection cessano di funzionare. L'hash del file resta identico, la firma digitale è ancora valida, ma il nome non corrisponde più al pattern atteso.

La tecnica è documentata in 6 gruppi APT, 4 famiglie malware e prevede 1 mitigazione ufficiale. Il rapporto tra semplicità di esecuzione e impatto sulla detection la rende una delle sub-tecniche di Masquerading più frequentemente osservate in campagne reali, tanto in operazioni state-sponsored quanto in attacchi crimeware.

La bellezza operativa di questa tecnica risiede nella sua semplicità: non servono exploit o privilege escalation, basta un comando di copia e rinomina. In un esercizio red team, replicarla è essenziale per validare la capacità del blue team di correlare metadati PE con il nome su disco.

Scenario Windows — Rinomina di rundll32.exe

Partiamo dal caso più documentato. Daggerfly ha utilizzato una copia di rundll32.exe rinominata come dbengin.exe, posizionata in ProgramData\Microsoft\PlayReady, per eseguire DLL malevole tramite proxy. Per replicare:

copy C:\Windows\System32\rundll32.exe C:\ProgramData\Microsoft\PlayReady\dbengin.exe

Poi esegui una DLL di test (in laboratorio, ovviamente una payload benigna):

C:\ProgramData\Microsoft\PlayReady\dbengin.exe C:\temp\test.dll,EntryPoint

Se l'EDR non correla l'OriginalFileName nel PE header con il nome su disco, l'esecuzione passa inosservata. Sysmon (open source, Microsoft Sysinternals) con EventCode 1 cattura sia Image che OriginalFileName: è il primo controllo che il blue team dovrebbe superare.

Scenario Windows — certutil e cmd.exe

menuPass ha rinominato e spostato certutil.exe; GALLIUM ha fatto lo stesso con cmd.exe. Per simularli:

copy C:\Windows\System32\certutil.exe C:\Users\Public\mshelper.exe copy C:\Windows\System32\cmd.exe C:\Temp\svchost.exe

Il secondo caso è particolarmente insidioso: un cmd.exe rinominato svchost.exe confonde anche un analista durante il triage, perché svchost è un processo atteso.

Scenario macOS e Linux

Su macOS la detection (AN0013) si aspetta deviazioni dal path standard /usr/bin/. Per testare:

cp /usr/bin/curl /tmp/.update_helper && /tmp/.update_helper -s

Su Linux, per verificare la copertura auditd:

cp /usr/bin/python3 /dev/shm/.cache && /dev/shm/.cache -c "print('test')"

L'esecuzione da /dev/shm o /tmp di binari rinominati è un indicatore ad alta fedeltà. Il tool Atomic Red Team (open source) contiene test atomici per T1036.003 già pronti all'uso, ideali per automatizzare la validazione.

Verifica con PE metadata

Dopo ogni test, verifica se il blue team rileva il mismatch. Su PowerShell:

Get-ItemProperty "C:\ProgramData\Microsoft\PlayReady\dbengin.exe" | Select-Object VersionInfo

Il campo OriginalFilename rivelerà sempre "rundll32.exe", indipendentemente dalla rinomina. Questo è l'artefatto chiave.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo