Spazio Dopo il Nome File: Space after Filename (T1036.006)

Per riprodurre T1036.006 in laboratorio la procedura è tanto semplice quanto istruttiva. Su un sistema macOS di test, compila un piccolo binario Mach-O con clang, ad esempio partendo da un sorgente C che esegue una reverse shell benigna verso il tuo listener di lab. Il comando base è:

clang -o payload payload.c

A questo punto rinomina il file aggiungendo un'estensione fittizia seguita da uno spazio. Poiché la shell non accetta facilmente spazi finali senza escaping, usa la sintassi con quoting:

mv payload "documento.jpg "

Verifica che lo spazio sia effettivamente presente con ls -la | cat -A, dove il carattere finale apparirà come spazio prima del terminatore. Se ora fai doppio click sul file dal Finder, macOS interrogherà il magic number reale, riconoscerà il Mach-O e lo passerà a Terminal.app per l'esecuzione, esattamente come descritto nel comportamento sfruttato da Keydnap (S0276).

Su Linux la tecnica funziona in modo analogo ma con dinamiche diverse: la maggior parte dei desktop environment (GNOME, KDE) usa MIME sniffing tramite libmagic, e uno script bash rinominato *report.pdf * può ancora venire eseguito se l'utente lo lancia da terminale con completion o da un file manager permissivo. Prova con:

cp /bin/sh "./nota.txt " && chmod +x "./nota.txt "

Per un red team engagement realistico contro utenti macOS, incapsula il payload in un archivio ZIP prima del delivery via phishing, perché lo spazio finale sopravvive alla compressione mentre viene talvolta normalizzato da gateway email. Tool utili per la fase di weaponization includono Mythic (open source) come C2 framework con supporto nativo a payload macOS, e Apfell/Poseidon (open source) per agent Objective-C e Golang che si integrano bene con questo vettore.

Documenta sempre nel report la lunghezza esatta del nome file in byte, perché in fase di remediation il cliente dovrà istruire i propri tool di scansione a non troncare gli spazi finali. Per verifica automatizzata durante il test, uno script Python con os.listdir() seguito da repr() rende visibili i caratteri whitespace nascosti che il Finder non mostra all'operatore.

La detection di T1036.006 richiede una particolare attenzione alla normalizzazione dei nomi file, perché la maggior parte dei parser SIEM strippa automaticamente gli spazi finali facendo evaporare l'indicatore chiave. Il primo passo è verificare che la pipeline di ingestion preservi il carattere terminale nei campi filename e image_path.

Su macOS, la fonte più ricca è lo Unified Logging System. Filtri utili in log stream intercettano eventi di Launch Services e process execution dove il nome dell'eseguibile o dell'argomento contiene pattern anomali. Un esempio di predicato:

log stream --predicate 'processImagePath CONTAINS " "' --style syslog

Affianca la telemetria con fs_usage per monitorare le open() su file con nomi sospetti nelle directory sensibili come ~/Library/LaunchAgents/, /Library/LaunchDaemons/ e le cartelle di download degli utenti. La detection AN0813 suggerisce regex tunabili come Terminal .app o estensioni comuni seguite da spazio, applicate specialmente a percorsi di persistence.

Su Linux, la telemetria si costruisce su auditd con regole SYSCALL mirate su execve. Una regola tipo:

auditctl -a always,exit -F arch=b64 -S execve -k trailing_space_exec

cattura ogni esecuzione, ma il vero valore emerge nella fase di correlazione, dove un parser custom deve identificare argv[0] che terminano con \x20. La detection AN0812 raccomanda esplicitamente questa normalizzazione via regex sui campi filename dei log auditd e syslog, con tuning specifico per orari off-hours e per utenti a bassa privilegio che eseguono script mascherati.

I falsi positivi più comuni derivano da script di build system, tool di generazione automatica che producono artefatti con naming pattern non standard, e alcuni package manager che gestiscono temporaneamente file con spazi. Escludi percorsi noti come /tmp/build, directory CI/CD e workspace di IDE. Un'altra fonte di rumore sono gli export da software di terze parti (soprattutto Office e alcuni CMS) che generano allegati con spazi accidentali; costruisci una whitelist di parent process legittimi.

Per detection engineering avanzata, considera regole Sigma custom che uniscano tre condizioni: nome file con trailing whitespace, esecuzione tramite Terminal.app o shell interpreter, e parent process appartenente a browser, client di posta o applicazioni di messaggistica. Questa correlazione riduce drasticamente il rumore mantenendo alta la sensibilità sui vettori di initial access reali. Alert di severità medium-high dovrebbero triggerare enrichment automatico con hash e reputation lookup su VirusTotal (freemium).

L'analisi forense di T1036.006 parte da un principio operativo fondamentale: preservare il nome file esatto, byte per byte, durante l'acquisizione. Molti tool di imaging e catalogazione applicano normalizzazioni Unicode o strippano whitespace terminali, distruggendo l'evidenza primaria. Usa dd o ewfacquire (open source) per l'imaging raw e verifica i nomi con ls -lab che rappresenta gli spazi come *\ * espliciti.

Su macOS, la timeline si costruisce a partire da diversi artefatti chiave. Il file ~/Library/Preferences/com.apple.LaunchServices/com.apple.launchservices.secure.plist registra le associazioni tra applicazioni e tipi di file, e può mostrare invocazioni anomale di Terminal.app per estensioni non-shell. Il database QuarantineEventsV2 in ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2 è cruciale perché registra file scaricati con metadati di provenienza; interroga il database SQLite con:

sqlite3 QuarantineEventsV2 "SELECT LSQuarantineEventIdentifier, LSQuarantineDataURLString, LSQuarantineOriginURLString FROM LSQuarantineEvent"

Controlla poi lo Unified Log con log show --predicate su finestre temporali di interesse per ricostruire le fork/exec di Terminal.app innescate da Launch Services. Il servizio Spotlight mantiene metadati estesi accessibili con mdls, utili per confrontare kMDItemContentType (che riflette il magic number reale) con kMDItemFSName (che mostra l'estensione apparente): una discrepanza tra Mach-O binary e estensione .jpg o .txt è un indicatore forte.

Su Linux gli artefatti primari sono i log auditd in /var/log/audit/audit.log con eventi SYSCALL execve, correlati con journalctl per il contesto della sessione utente. I file di history della shell (~/.bash_history, ~/.zsh_history) possono contenere invocazioni esplicite con quoting che preserva lo spazio, mentre l'esecuzione via GUI file manager lascia traccia nei log di gvfs o kio a seconda del desktop.

Per la ricostruzione della timeline, Plaso/log2timeline (open source) supporta bene entrambe le piattaforme e produce output normalizzato che puoi analizzare con Timesketch (open source). Assicurati che i parser configurati preservino il naming originale; in caso di dubbio, estrai i nomi file direttamente dal filesystem con fls di Sleuth Kit (open source) usando l'opzione che espone caratteri non stampabili.

Riguardo alle campagne documentate, il malware Keydnap rappresenta il case study di riferimento per macOS: droppa il payload con estensione .jpg seguita da spazio, spesso all'interno di archivi ZIP distribuiti via phishing. Il gruppo APT38 ha impiegato varianti simili con spazi multipli anteposti all'estensione, un pattern da cercare specificamente durante l'analisi degli allegati email e degli artefatti di download.

L'impiego di T1036.006 rimane una tecnica di nicchia nel panorama APT, ma i pochi attori che la adottano lo fanno con obiettivi molto specifici, principalmente perché l'efficacia dipende dal comportamento del sistema operativo target e dalla presenza di utenti interattivi con permessi sufficienti.

Il profilo più rilevante è APT38 (G0082), cluster nordcoreano affiliato all'ecosistema Lazarus e focalizzato su operazioni finanziarie contro il settore bancario internazionale e le piattaforme cryptocurrency. APT38 ha impiegato la variante con spazi multipli anteposti all'estensione come tecnica di evasione, integrata in catene di attacco più ampie che culminano in frodi SWIFT e furti massivi. La scelta tattica riflette la maturità operativa del gruppo: piccoli dettagli di masquerading vengono combinati per aumentare la probabilità che un operatore bancario apra un allegato apparentemente legittimo. L'attribuzione geografica è consolidata (DPRK) e la motivazione è primariamente financially motivated, con obiettivi di generazione di valuta forte per il regime.

Sul fronte malware, Keydnap (S0276) rappresenta l'implementazione più didattica della tecnica. Si tratta di un backdoor macOS distribuito storicamente via ZIP contenenti eseguibili Mach-O mascherati con estensione .jpg seguita da spazio. Il payload, una volta lanciato dal doppio click dell'utente, ruba credenziali dal Keychain e stabilisce persistence per accessi successivi. La distribuzione è avvenuta sia via forum e download compromessi sia tramite spear phishing mirato a sviluppatori e utenti tecnici macOS, categoria di target con alto valore per l'accesso a codice sorgente e credenziali cloud.

Il pattern comune ai due profili è l'orientamento verso ambienti Unix-like (macOS e in misura minore Linux desktop) e la selezione di vittime dotate di privilegi di esecuzione locale, sviluppatori, analisti finanziari e personale IT. La tecnica non compare in operazioni di massa contro Windows perché il file handling di Explorer si comporta diversamente, rendendo lo stratagemma inefficace su quel sistema.

Guardando ai trend, l'assenza di nuove campagne massive che sfruttano T1036.006 non deve essere confusa con obsolescenza: la tecnica rimane efficace ovunque gli utenti dispongano di macOS e ricevano allegati, e la sua bassa rilevabilità nei tool SIEM standard la rende un candidato ideale per operazioni targeted a bassa rumorosità. I threat intelligence officer dovrebbero includere la ricerca proattiva di trailing whitespace nei nomi file all'interno degli allegati email quarantinati e nei feed di sample sottoposti a sandboxing, integrando queste query nei processi di hunting periodico.

MITRE ATT&CK: tecnica T1036.006 (Space after Filename), tattica TA0005 (Defense Evasion), gruppo G0082 (APT38), software S0276 (Keydnap), detection DET0292 con analitiche AN0812 e AN0813. MITRE D3FEND per artefatti File e Process. Documentazione ufficiale Apple su Launch Services e Unified Logging. Progetti open source citati: Sleuth Kit, Plaso, Timesketch, Mythic, Apfell/Poseidon. Il documento integra conoscenza professionale di cybersecurity per comandi operativi, procedure di detection engineering e workflow forensi, nel rispetto delle regole di verificabilità dei tool citati.