Modifica Collegamenti: Shortcut Modification (T1547.009)
La tecnica T1547.009 – Shortcut Modification descrive l'abuso dei file .lnk di Windows come vettore di persistenza e, in alcuni scenari, di privilege escalation. Un collegamento è un semplice puntatore a un eseguibile o script, ma proprio la sua natura innocua lo rende ideale per gli attaccanti: creare un nuovo .lnk nella cartella Startup dell'utente o modificarne il target di uno esistente permette di ottenere esecuzione automatica a ogni login senza toccare chiavi di registro sospette.
La tecnica si colloca nelle tattiche TA0003 (Persistence) e TA0004 (Privilege Escalation), coprendo le fasi di Installation e Command & Control nella kill chain di Lockheed Martin. È spesso concatenata a fasi precedenti di Spearphishing Attachment, dove il .lnk è il payload iniziale, oppure a tecniche di Masquerading per far apparire il collegamento come applicazione legittima.
L'ecosistema è ampio: 25 famiglie di malware documentate ne fanno uso, da backdoor storiche come BlackEnergy, SeaDuke e Gazer fino a strumenti moderni come Bazar e Grandoreiro. Quattro gruppi APT — Lazarus Group, Leviathan, Gorgon Group e APT39 — hanno integrato la modifica di shortcut nei loro playbook. Le tre mitigazioni MITRE (M1018, M1022, M1038) puntano su gestione account, restrizione permessi sulle directory Startup ed execution prevention tramite AppLocker o WDAC.
In un red team engagement la modifica di shortcut è una delle tecniche di persistenza più discrete perché non richiede privilegi amministrativi né interazione con il registro. La cartella target primaria è %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup, scrivibile dall'utente corrente, mentre per persistenza system-wide serve %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup (richiede admin).
La creazione manuale di un .lnk malevolo in PowerShell è banale:
$ws = New-Object -ComObject WScript.Shell; $lnk = $ws.CreateShortcut("$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup\update.lnk"); $lnk.TargetPath = "powershell.exe"; $lnk.Arguments = "-w hidden -ep bypass -f C:\Users\Public\payload.ps1"; $lnk.Save()
Per scenari più realistici conviene appoggiarsi a framework consolidati. Empire (open source, mantenuto dalla community BC-SECURITY) include il modulo persistence/userland/backdoor_lnk che modifica un collegamento esistente iniettando il proprio payload preservando l'icona e il target originale — tecnica documentata anche per S0363. Metasploit Framework (open source) offre payload che generano .lnk weaponizzati tramite auxiliary/fileformat.
Per la generazione di file .lnk con proprietà custom (icon spoofing, working directory, hotkey abuse) lo strumento più usato è LNKUp (open source, github di Nccgroup) oppure la libreria Python pylnk3 (open source). Per la fase di weaponization in campagne di phishing simulato, LNKBomb e SharPersist (open source, Mandiant) automatizzano l'installazione di shortcut persistenti con moduli dedicati (-t schtaskbackdoor -m add).
Durante un assessment è utile combinare shortcut modification con Masquerading (T1036): rinominare il .lnk come Google Chrome.lnk nel Desktop dell'utente e puntare a un launcher che esegue prima il payload e poi il browser legittimo garantisce esecuzione senza sospetti. Un'altra variante interessante, usata da MarkiRAT (S0652), è la sostituzione del target di collegamenti già presenti — ad esempio quello di Telegram — sfruttando la fiducia dell'utente nell'icona familiare.
Su ambienti hardened con WDAC o AppLocker in modalità enforce, l'esecuzione via powershell.exe -f script.ps1 viene bloccata: in questi casi conviene testare lolbins alternativi come mshta.exe, rundll32.exe o regsvr32.exe come target del collegamento, verificando prima che non siano in blocklist. La reportistica deve sempre includere il path esatto del .lnk, l'hash del target e lo screenshot della persistenza attivata dopo reboot.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.