Archiviazione via Utility: Archive via Utility (T1560.001)

In un ingaggio red team, la simulazione di T1560.001 serve a validare la capacità del blue team di rilevare staging pre-esfiltrazione. L'approccio deve replicare le TTP osservate senza dispiegare malware reale.

Su Windows, la catena canonica prevede prima la raccolta in una directory di staging, tipicamente sotto *C:\Users\Public* o %TEMP%, poi la compressione. Con WinRAR (a pagamento, trial funzionale) il comando osservato in campagne come Operation CuckooBees e APT41 DUST è nella forma *rar.exe a -hp -v100m -r archive.rar C:\staging*. Il flag -hp cifra sia contenuti che header dei nomi file, rendendo opaco anche il listing. Con 7-Zip (open source), usato da HAFNIUM, Volt Typhoon e INC Ransom, la sintassi equivalente è *7z.exe a -t7z -mhe=on -p -v500m out.7z C:\staging*, dove -mhe=on cifra gli header.

Per simulare MuddyWater o UNC3886 si può ricorrere alle utility native, evitando binari di terze parti: makecab.exe /f directives.ddf comprime file secondo un file di direttive, mentre diantz.exe source.dat dest.cab produce archivi CAB. Un LOLBAS particolarmente utile è certutil -encode input.bin output.b64, che trasforma un archivio binario in Base64 pronto per exfil via HTTP POST.

Su Linux e macOS, la simulazione ricalca Sea Turtle e Chimera: tar czf - /home/user/docs | openssl enc -aes-256-cbc -salt -pbkdf2 -out data.tar.gz.enc produce un archivio cifrato in un solo pipe, senza scritture intermedie. Su macOS il pattern Calisto è zip -r -e archive.zip ~/Documents, dove -e attiva la password interattiva.

Per emulazione strutturata è disponibile Atomic Red Team (open source), che include atomici mappati direttamente su T1560.001 con test per WinRAR, 7-Zip, makecab e tar. Caldera (open source) di MITRE offre ability simili integrate in operation multi-step. Per emulazione più realistica di operazioni APT41 o Mustang Panda, Sliver (open source) e Mythic (open source) permettono di scriptare la compressione lato agent prima dell'exfil. Un dettaglio spesso trascurato: replicare l'uso di password lunghe 13 caratteri alfanumeriche come osservato in TONESHELL aumenta la fedeltà del test contro il tuning delle regole di detection basate su entropia.

La detection di T1560.001 ruota attorno a tre pilastri correlati: process creation delle utility di archiviazione, command-line analysis per intercettare flag di cifratura, e file creation di archivi in path anomali. Nessuno di questi segnali funziona in isolamento — sono correlati che generano fedeltà.

Su Windows, le sorgenti primarie sono Sysmon EventID 1 (process creation) e EventID 11 (file create), affiancate da Security 4688 con command-line auditing abilitato. Le query devono cercare esecuzioni di rar.exe, 7z.exe, WinRAR.exe, makecab.exe, diantz.exe, certutil.exe e xcopy.exe, correlate con argomenti sospetti: -hp, -p, -mhe=on, -v (split volumes), -encode, -f. Un pattern ad alta fedeltà è la sequenza process create di 7z.exe con -p → file create .7z in C:\Users\Public\ o %TEMP% entro pochi secondi. L'esecuzione di makecab da parte di processi non-amministrativi o via cmd.exe figlio di powershell.exe è altamente anomala, come osservato in MuddyWater e APT41.

Su Linux, auditd con regole su execve per tar, gzip, zip, openssl enc è la base. Correlare con SYSCALL creat o openat per file .tar.gz, .zip in /tmp, /var/tmp o /dev/shm aumenta il segnale. Il pipe tar | openssl usato da Sea Turtle produce due execve consecutivi con parent shell comune — pattern raro in ambienti server di produzione.

Su macOS, unified log con predicato su process == "zip" OR process == "ditto" invocati da processi figli di Microsoft Word o Preview è indicativo dello scenario Calisto / iKitten.

I falsi positivi sono la sfida principale: backup agent, deployment tool, sviluppatori che comprimono log e amministratori che archiviano configurazioni generano volumi elevati. Il tuning suggerito include: allowlist di percorsi di installazione di software di backup approvati, soglia minima di dimensione dell'archivio (es. >10 MB), filtro sul contesto utente (service account vs interactive), e analisi entropia per distinguere compressione da cifratura reale. Un indicatore ad alto valore è il pattern APT28 Nearest Neighbor: uso di Compress-Archive PowerShell in contesti dove PowerShell non è normalmente eseguito, correlabile via EventID 4104 (script block logging).

Utile abilitare PowerShell Module Logging e ScriptBlockLogging via GPO, e alimentare un correlatore SIEM (Splunk, Elastic Security, Microsoft Sentinel, tutti freemium/a pagamento) con detection rule pubbliche del progetto Sigma (open source) già mappate su T1560.001.

L'analisi forense di T1560.001 deve ricostruire tre elementi: quando è stato creato l'archivio, cosa conteneva e dove è stato trasferito. La finestra temporale utile è tipicamente ristretta — molti attaccanti eliminano l'archivio dopo l'esfiltrazione, come documentato in HAFNIUM e Volt Typhoon.

Su Windows, gli artefatti prioritari sono: Prefetch (C:\Windows\Prefetch\RAR.EXE-.pf*, 7Z.EXE-.pf*, MAKECAB.EXE-.pf*), che conserva timestamp di prima e ultima esecuzione più conteggio; Amcache.hve (*C:\Windows\AppCompat\Programs*) che registra hash SHA1 dei binari eseguiti, utile quando l'attaccante porta la propria copia di rar.exe rinominata; ShimCache per traccia di esecuzione anche senza Prefetch. Le Jump List e RecentDocs rivelano i file sorgente aperti prima dell'archiviazione. Se Sysmon era attivo, gli EventID 1 forniscono la command-line completa con password in chiaro — dato oro per l'attribuzione.

L'analisi del MFT ($MFT) con MFTECmd (open source) di Eric Zimmerman permette di ricostruire la creazione, modifica e cancellazione degli archivi anche dopo secure delete parziale. USN Journal ($UsnJrnl:$J) parsato con MFTECmd cattura eventi FILE_CREATE, DATA_EXTEND e FILE_DELETE con granularità sub-secondo, cruciale per timeline. I Volume Shadow Copies, se presenti, possono contenere l'archivio originale.

Su Linux, la triade è: /var/log/audit/audit.log con eventi auditd, /root/.bash_history o /home//.bash_history* (spesso troncati o rediretti a /dev/null dagli attaccanti), e timestamp filesystem via debugfs o fls di Sleuth Kit (open source). Il pattern Chimera e Sea Turtle — creazione di .tar.gz in /tmp seguita da upload — lascia atime/mtime coerenti che una timeline con plaso/log2timeline (open source) evidenzia chiaramente.

Su macOS, unified log archiviato in /var/db/diagnostics/ va estratto con log collect e analizzato con mac_apt (open source). Gli artefatti KnowledgeC.db e QuarantineEventsV2 aiutano a datare l'esecuzione di zip o ditto.

Per il contenuto degli archivi cifrati, se recuperati ma protetti da password, hashcat (open source) con moduli 12500 (RAR3), 13000 (RAR5) e 11600 (7-Zip) permette attacchi dizionario. Le password osservate in TONESHELL (13 caratteri alfanumerici) rendono il brute force impraticabile, ma password riutilizzate tra campagne — documentate in cluster Mustang Panda — sono valide per tentativi mirati. YARA (open source) con regole per header RAR (Rar!\x1a\x07) e 7z (7z\xbc\xaf\x27\x1c) accelera il carving da immagini disco anche se l'estensione è stata modificata.

L'adozione di T1560.001 attraversa l'intero spettro degli attori state-sponsored e criminali, con pattern di clustering interessanti sia per origine geografica che per scelta strumentale.

APT41 (Cina, dual-use spionaggio/criminale) rappresenta un caso paradigmatico. Attivo in Operation CuckooBees e nella recente APT41 DUST (2023-2024), combina makecab.exe per download e archiviazione di tool come NATBypass, con WinRAR password-protetto per staging pre-exfil. In APT41 DUST il gruppo ha usato rar per comprimere dati estratti da database Oracle interni, target settore shipping/logistics/media in Europa, Asia e Medio Oriente. La coabitazione con BARIUM e Winnti Group in CuckooBees suggerisce condivisione di playbook operativi tra cluster cinesi.

APT28 (Russia, GRU) mostra evoluzione tecnica notevole. Storicamente utilizzatore di WinRAR con password, nella recente APT28 Nearest Neighbor Campaign (2022-2024, target expertise su Ucraina) ha adottato il cmdlet nativo PowerShell Compress-Archive, un chiaro spostamento verso living-off-the-land per evitare drop di binari terzi. Combinato con lo sfruttamento di CVE-2022-38028 e l'ingresso via reti Wi-Fi adiacenti, il pattern indica maturazione OPSEC.

APT29 (Russia, SVR) nella SolarWinds Compromise ha usato 7-Zip per comprimere email rubate in archivi password-protected, con archivi ZIP separati per file di testo. La scelta di 7-Zip sopra WinRAR è ricorrente in operazioni SVR e potrebbe riflettere preferenza per formati open source meno tracciabili tramite licensing.

Volt Typhoon (Cina, target critical infrastructure USA) esemplifica l'uso di 7-Zip per archiviare ntds.dit — il database Active Directory — come archivio multi-volume password-protetto. Questo pattern, condiviso con HAFNIUM, indica standardizzazione tra operazioni cinesi per esfiltrazione di credential store.

Mustang Panda (Cina, target Sud-Est asiatico ed enti diplomatici) mostra la catena più ricca: RAR password-protetto invocato via TONESHELL, RemCom e Impacket, con password di 13 caratteri alfanumerici che ostacolano brute force. La modularità di TONESHELL nel comprimere autonomamente è un trend crescente nei RAT moderni.

Sul fronte eCrime, gruppi ransomware come Akira, INC Ransom, Play e Wizard Spider hanno adottato WinRAR e 7-Zip nella fase di double extortion, comprimendo dati prima dell'esfiltrazione verso Rclone o MEGA. L'overlap strumentale con APT state-sponsored complica l'attribuzione basata solo su TTP di archiviazione — serve correlare con infrastruttura C2, timing e vittimologia. Il trend generale mostra convergenza verso 7-Zip open source per opacità di licensing e verso utility native (Compress-Archive, makecab, tar) per ridurre footprint forense.

MITRE ATT&CK T1560.001 (Archive via Utility), tattica TA0009. Campagne referenziate: C0006, C0007, C0012, C0014, C0022, C0024, C0026, C0029, C0040, C0051. Mitigazione M1047. Detection DET0298 (AN0831-833). Contenuto integrato con conoscenza professionale su tool forensi e di detection (Sysmon, Sleuth Kit, plaso, MFTECmd, YARA, hashcat, Sigma, Atomic Red Team, Caldera), verificata rispetto a documentazione ufficiale dei rispettivi progetti.