Occultamento in NTFS: NTFS File Attributes (T1564.004)

Per un red team, l'abuso di ADS ed EA offre un vettore semplice per staging di payload e persistenza a basso rumore. La sintassi base per creare un ADS in un lab controllato è:

type payload.exe > legitimate.txt:hidden.exe

oppure con PowerShell (nativo, open source):

Set-Content -Path .\host.txt -Stream evil -Value (Get-Content .\payload.ps1 -Raw)

La lettura dello stream avviene con Get-Content -Path host.txt -Stream evil, mentre l'enumerazione degli stream presenti si ottiene con Get-Item host.txt -Stream *. Da riga di comando, dir /r (built-in di Windows) elenca tutti gli ADS di una directory.

Per l'esecuzione diretta di un binario nascosto in uno stream, il vecchio trucco wmic process call create non è più affidabile sulle build recenti di Windows 10/11 e wmic stesso è deprecato. Rimane utilizzabile l'esecuzione tramite forfiles, o l'invocazione di script .wsf e .js dentro uno stream via wscript.exe. Un'altra catena documentata nei dati MITRE è quella di S0361 (Expand) e S0404 (esentutl), due LOLBAS nativi di Windows: entrambi possono copiare contenuto dentro e fuori da un ADS senza chiamare API di terze parti, riducendo la superficie di detection.

Sul fronte offensivo strutturato, framework come Cobalt Strike (a pagamento) e Sliver (open source) supportano moduli per il drop di beacon in ADS. Per esercizi didattici, il progetto NtfsStreamsView di NirSoft (gratuito, closed source) è utile per verificare visivamente il risultato del proprio staging.

Una catena tipica in un engagement replica il pattern di Valak o PowerDuke: consegna iniziale di un documento .docx con macro, download di uno stager PowerShell, scrittura del payload finale come ADS di un file di log in %PROGRAMDATA%, esecuzione tramite un task pianificato che invoca l'interprete corretto puntando allo stream.

Per gli Extended Attributes, meno esplorati ma sfruttati da Regin e Zeroaccess, l'accesso richiede API Win32 di basso livello (NtSetEaFile, NtQueryEaFile) e non esiste un cmdlet nativo: strumenti come PowerSploit (open source, archiviato ma funzionante) e utility custom in C/Rust sono la strada tipica in laboratorio. Simulare la tecnica su file system ReFS o su volumi montati via SMB da share Samba consente di validare quali detection dipendono strettamente da NTFS.

La detection di ADS ed EA ruota attorno a poche fonti di log ben identificate. La strategia DET0432 indica come telemetria primaria Sysmon e il provider ETW Microsoft-Windows-Kernel-File. Sysmon (open source, Microsoft) genera EventID 11 (FileCreate) e EventID 15 (FileCreateStreamHash): quest'ultimo è l'evento chiave, perché registra esplicitamente la creazione di un ADS con hash dello stream, path completo in formato file.ext:streamname e processo creatore.

Una regola efficace filtra gli EventID 15 escludendo lo stream Zone.Identifier – che è generato legittimamente da browser e client email per marcare i file scaricati – e concentra l'attenzione su:

• stream con nomi che simulano estensioni eseguibili (:.exe*, :.dll*, :.ps1*)
• processi padre anomali come powershell.exe, cmd.exe, wscript.exe, cscript.exe, mshta.exe
• creazione di ADS in directory scrivibili senza privilegi elevati (%APPDATA%, %PROGRAMDATA%, %TEMP%)

La tuning guidance della detection MITRE raccomanda esplicitamente una ADS path whitelist per ridurre i falsi positivi generati da antivirus e strumenti di sistema, restringendo lo scope ai processi sospetti e correlando la creazione dell'ADS con la successiva esecuzione entro una finestra temporale ristretta (tipicamente 60-300 secondi).

Per gli Extended Attributes la visibilità è più limitata: le API rilevanti sono ZwSetEaFile e ZwQueryEaFile, tracciabili solo con ETW kernel o con soluzioni EDR che espongono syscall hooking. In ambienti senza EDR, una detection ragionevole si basa sull'anomalia di NtCreateFile con flag FILE_OPEN_FOR_BACKUP_INTENT invocato da processi user-mode non whitelisted.

Sul piano dei comandi, va monitorata la command line di esentutl.exe e expand.exe (entrambi documentati come S0404 e S0361), in particolare pattern come esentutl /y ... /d ...:stream o expand src.cab dst.txt:stream.exe. Anche makecat, certutil e findstr possono interagire con ADS e vanno inclusi nelle regole di alert su LOLBAS.

Una correlazione ad alto valore combina tre segnali: creazione di uno stream tramite un interprete di scripting, seguita entro pochi minuti da un EventID 1 (ProcessCreate) Sysmon con command line che referenzia lo stesso path con sintassi file:stream, seguita da una connessione di rete uscente dal processo figlio. Questo trittico riproduce fedelmente il comportamento di Valak, Astaroth e PowerDuke descritto nei dati MITRE. I falsi positivi principali restano gli antivirus che quarantenano dentro ADS e alcuni installer legacy.

L'analisi forense di T1564.004 comincia dall'acquisizione ragionata dell'immagine disco: molti tool di imaging obsoleti o mal configurati non copiano gli ADS, distruggendo prove critiche. FTK Imager (gratuito), X-Ways Forensics (a pagamento) e dd con parser NTFS-aware come The Sleuth Kit (open source) preservano correttamente stream ed extended attributes.

Sull'immagine montata, l'enumerazione degli ADS si esegue con fls -r di Sleuth Kit, che marca gli stream aggiuntivi con la notazione :stream-name dopo il nome del file. Per ispezione mirata su host live, dir /r nativo o Streams.exe di Sysinternals (gratuito) restituiscono elenchi immediati. NtfsStreamsView di NirSoft (gratuito) offre una vista grafica utile per triage rapido.

Gli artefatti chiave nella timeline sono:

• record MFT con attributo $DATA multiplo o attributo $EA / $EA_INFORMATION popolato
• USN Journal ($UsnJrnl:$J) che registra le operazioni DATA_EXTEND e NAMED_DATA_EXTEND sugli stream, permettendo di ricostruire l'ordine cronologico di creazione
• $LogFile NTFS per transazioni recenti su attributi EA
• Prefetch del processo che ha eseguito il payload nascosto, che spesso mantiene traccia del path completo incluso il segno di due punti

Parser dedicati come MFTECmd di Eric Zimmerman (open source, gratuito) e analyzeMFT (open source) estraggono in CSV gli attributi $DATA multipli. La colonna che elenca gli stream secondari va incrociata con l'output di MFTECmd sul journal $J per ottenere una timeline consolidata delle operazioni su ADS.

Per gli Extended Attributes usati da S0019 (Regin) e S0027 (Zeroaccess), la sfida è maggiore: gli EA non sono esposti dalle API user-mode standard e richiedono lettura raw della MFT. The Sleuth Kit con istat mostra la presenza di attributi $EA di dimensione sospetta (tipicamente >1KB indica payload embedded). Il caso di S0397 (LoJax), che ha caricato un driver DXE NTFS per scrivere direttamente sulla partizione, richiede acquisizione firmware separata.

Sul fronte artefatti di esecuzione, il registro Amcache.hve e ShimCache possono contenere riferimenti a binari eseguiti da ADS. Le UserAssist keys e il Prefetch confermano l'invocazione. Nel caso di S1160 (Latrodectus), che si auto-elimina tramite ADS mentre il processo è ancora in esecuzione, la finestra di raccolta della memoria RAM diventa cruciale: un dump con WinPmem (open source) preserva il modulo caricato anche dopo la cancellazione su disco.

Il panorama degli attori che abusano di T1564.004 è ampio e attraversa tutti i profili di minaccia, dai gruppi APT statali al cybercrime organizzato.

Sul fronte state-sponsored, l'unico gruppo APT esplicitamente attribuito nei dati MITRE è G0050 (APT32), noto anche come OceanLotus, che ha utilizzato ADS per nascondere payload nelle proprie operazioni. La scelta di questa tecnica è coerente con il profilo del gruppo, orientato a operazioni prolungate e a bassa visibilità contro target regionali e diaspora.

Sul versante malware associato ad attività statali, S0019 (Regin) rappresenta il caso paradigmatico: piattaforma modulare di alta complessità, utilizza gli Extended Attributes – non i più comuni ADS – per memorizzare eseguibili cifrati, dimostrando una comprensione profonda del file system NTFS. Similmente S0397 (LoJax), primo rootkit UEFI documentato in the wild, ha implementato un driver DXE NTFS custom per garantirsi accesso in scrittura alle partizioni indipendentemente dal sistema operativo.

Nel dominio criminale e ransomware, la tecnica è capillare. S0570 (BitPaymer) copia se stesso nello stream :bin di un file appena creato, mentre S0612 (WastedLocker) – attribuito storicamente a Evil Corp – salva ed esegue payload come ADS. Il pattern si ripete in S0476 (Valak), loader modulare usato come precursore per Trickbot e IcedID, e in S1160 (Latrodectus), loader di generazione più recente collegato all'ecosistema post-IcedID che sfrutta ADS anche per l'auto-eliminazione runtime.

Un cluster interessante è quello dei loader e backdoor legati a operazioni di spionaggio: S0139 (PowerDuke), associato storicamente ad APT29, nasconde le backdoor in ADS; S0168 (Gazer), backdoor di Turla, usa gli stream come fallback quando il registro non è accessibile; S0145 (POWERSOURCE), componente della catena FIN7, scrive il payload decodificato in uno stream chiamato kernel32.dll dentro *%PROGRAMDATA%\Windows* per mimetizzarsi come componente di sistema.

S0373 (Astaroth), prevalentemente diffuso in campagne verso il Brasile e l'America Latina, sfrutta ADS per ospitare payload della catena di infezione fileless. S0504 (Anchor), backdoor di alto livello del gruppo dietro Trickbot, e S1052 (DEADEYE), associato a operazioni cinesi tracciate come APT41, completano il quadro dimostrando come la tecnica sia trasversale a Russia, Cina, sud-est asiatico e cybercrime occidentale.

Il trend è di persistenza: nuovi loader del 2023-2024 come Latrodectus continuano ad adottare la tecnica, segno che il rapporto costo/beneficio rimane favorevole agli attaccanti finché EDR e antivirus non ispezionano sistematicamente ogni stream.

MITRE ATT&CK: tecnica T1564.004, tattica TA0005, gruppo G0050, software S0019, S0027, S0139, S0145, S0168, S0361, S0373, S0397, S0404, S0476, S0504, S0570, S0612, S1052, S1160, mitigazione M1022, strategia di detection DET0432 (AN1206). Per comandi, sintassi dei tool e artefatti forensi è stata integrata conoscenza professionale di dominio su Sysmon, Sleuth Kit, MFTECmd, Sysinternals Streams e LOLBAS documentati pubblicamente.