Spearphishing con Allegato: Spearphishing Attachment (T1566.001)

La tecnica T1566.001 descrive l'invio di email mirate contenenti un allegato malevolo, progettate per indurre un destinatario specifico ad aprire il file e innescare l'esecuzione di codice sull'endpoint. È una variante specifica dello spearphishing che sfrutta il vettore file, distinguendosi da altre forme che usano link o servizi terzi.

Si colloca nella tattica TA0001 (Initial Access) e rappresenta uno dei vettori di accesso iniziale più prolifici della matrice ATT&CK. Nella kill chain occupa la fase di Delivery e Exploitation secondo Lockheed Martin: l'allegato può essere un documento Office con macro, un PDF con exploit, un archivio ZIP/RAR protetto da password, un file LNK, un HWP coreano, un ISO o un eseguibile mascherato da documento tramite manipolazione di estensioni e icone.

I numeri raccontano l'ampiezza del problema: 77 gruppi APT documentati, 55 famiglie malware distribuite via allegato, 9 campagne tracciate e solo 7 mitigazioni applicabili. La quasi totalità dei principali attori state-sponsored — da APT28 a Lazarus Group, da APT29 a Sandworm Team — ha impiegato questa tecnica come vettore primario o secondario. L'efficacia deriva dalla combinazione tra ingegneria sociale mirata (pretesto plausibile, mittente spoofato o compromesso) e User Execution: il fattore umano resta l'anello sfruttato per aggirare controlli tecnici sempre più sofisticati.

In un ingaggio red team autorizzato, la simulazione di T1566.001 richiede infrastruttura dedicata, pretesto coerente con l'OSINT raccolto sul target e payload che rispecchino l'arsenale reale dell'avversario emulato. Il framework di riferimento più usato per orchestrare la campagna è GoPhish (open source), che gestisce landing page, invio SMTP, tracking apertura e correlazione con click sugli allegati.

Per la generazione del payload, in ambiente lab, si parte tipicamente da un documento Office con macro VBA o da un file con estensione doppia. Strumenti come MacroPack Community (open source, tier Pro a pagamento) automatizzano la creazione di .docm, .xlsm e .hta con offuscamento, mentre Nim o C# vengono usati per compilare loader che eseguono shellcode Cobalt Strike o Sliver. Un esempio di catena tipica emulando FIN7 è: RTF con OLE object che droppa un JScript, il quale a sua volta invoca mshta.exe per eseguire codice remoto.

Per archivi protetti da password — tecnica ricorrente in BlackTech, IndigoZebra, TA551 — si usa 7z a -pPassword archive.7z payload.exe per aggirare il sandboxing dei gateway email che non possono decrittare senza la chiave, comunicata poi nel corpo del messaggio.

Su Linux e macOS il vettore è meno frequente ma non assente: pacchetti .dmg contenenti .app firmati con certificati Developer ID rubati, oppure archivi tar.gz con script bash mascherati da PDF tramite Unicode RLO. Su ESXi, sebbene raro, si osservano allegati contenenti script Python destinati ad amministratori virtualization.

La costruzione dell'infrastruttura mittente prevede domini typosquat registrati almeno 30 giorni prima, record SPF/DKIM/DMARC configurati, warm-up del dominio via Mailwarm (a pagamento) o rotazione manuale, e uso di evilginx3 (open source) per raccogliere sessioni MFA se l'allegato porta a una landing page di credential harvesting successiva.

Alcune raccomandazioni operative per mantenere l'esercizio lab-safe:

  • Payload firmati con canary token per tracciare esecuzioni fuori scope
  • Kill switch DNS che disattiva il beacon se raggiunge IP non autorizzati
  • Coordinamento continuo con il blue team per validare detection senza compromettere l'ingaggio
  • Isolamento dell'infrastruttura C2 su VPS temporanei distrutti a fine campagna

La qualità dell'esercizio si misura sul realismo del pretesto e sulla capacità di replicare TTP specifiche del threat actor emulato, non sulla mera consegna del payload.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.