Inversione Nome File Unicode: Right-to-Left Override (T1036.002)
Il Right-to-Left Override è una tecnica di masquerading che sfrutta il carattere Unicode U+202E, un carattere di controllo non stampabile pensato originariamente per gestire la scrittura bidirezionale di alfabeti come arabo ed ebraico. Gli attaccanti lo inseriscono nei nomi di file per invertire visivamente la sequenza di caratteri che lo segue, trasformando un eseguibile come foto_high_re<U+202E>gnp.js in ciò che l'utente percepisce come foto_high_resj.png.
Inquadrata in TA0005 Defense Evasion, la tecnica opera prevalentemente nelle fasi iniziali della kill chain, in particolare durante la delivery di allegati spearphishing e l'esecuzione da parte della vittima. L'inganno funziona perché la stragrande maggioranza dei tool di visualizzazione — Explorer di Windows, client email, browser, Finder di macOS — rispetta lo standard Unicode e mostra il nome invertito, mentre il sistema operativo esegue il file secondo l'estensione reale.
L'impatto documentato è significativo: cinque gruppi APT distinti utilizzano attivamente la tecnica in campagne di spionaggio contro target governativi, difensivi e giornalistici. La copertura di detection copre tre piattaforme (Windows, macOS, Linux) attraverso il set analitico DET0527, con particolare enfasi sulla correlazione tra creazione file e successiva esecuzione. Nel Registry di Windows si osserva una peculiarità: regedit.exe mostra i caratteri invertiti mentre reg.exe da riga di comando li rende in forma letterale, creando ulteriori possibilità di occultamento.
In un contesto di red teaming autorizzato, la simulazione del RTLO è relativamente semplice ma richiede attenzione alla fase di delivery. Il carattere U+202E si genera in PowerShell con la sequenza [char]0x202E, quindi la costruzione di un payload di test può avvenire con uno script del tipo:
$rtlo = [char]0x202E; Copy-Item .\payload.scr ".\Report_2024_$($rtlo)cod.scr"
Su Linux e macOS il carattere si inietta via printf o echo -e:
mv payload.sh "$(printf 'invoice_\xe2\x80\xaefdp.sh')"
La codifica UTF-8 di U+202E è la sequenza a tre byte E2 80 AE, utile quando si costruiscono nomi via script o si manipolano archivi. Un pattern ricorrente osservato nelle intrusioni reali consiste nell'incapsulare l'eseguibile RTLO all'interno di un archivio RAR o ZIP autoestraente, tecnica adottata storicamente da attori come Scarlet Mimic. Il generatore SFX di WinRAR (a pagamento, con trial) permette di produrre stub che eseguono il payload rinominato al momento dell'estrazione.
Per la costruzione di allegati email realistici in laboratorio, GoPhish (open source) consente di orchestrare campagne simulate contro utenti consenzienti dell'organizzazione, misurando il tasso di click e di esecuzione. L'operatore può abbinare il RTLO ad altre tecniche di masquerading come icone spoofate (T1036.005) modificando il resource dell'eseguibile con Resource Hacker (gratuito) per assegnare l'icona di Word o PDF.
Una variante interessante colpisce la persistenza via Registry: creando una chiave in HKCU\Software\Microsoft\Windows\CurrentVersion\Run con un nome contenente U+202E, l'analista che ispeziona con regedit.exe vedrà una stringa fuorviante, mentre reg query dalla riga di comando restituirà il nome reale. Questo dislivello di rendering rappresenta un buon test per validare la maturità dei playbook di threat hunting del blue team.
In fase di preparazione, è utile validare il comportamento con CyberChef (open source), che permette di generare, decodificare e visualizzare sequenze Unicode arbitrarie. Per l'analisi statica dei payload prodotti, DIE - Detect It Easy (open source) e exiftool (open source) confermano il vero tipo di file indipendentemente dal nome, replicando ciò che farebbe un difensore ben equipaggiato. L'obiettivo dell'esercizio non è dimostrare l'evasione tecnica — banale — ma misurare la resilienza cognitiva degli utenti e la capacità dei controlli email gateway di normalizzare o segnalare caratteri di controllo bidirezionali.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo