Offuscamento di File e Informazioni: Obfuscated Files or Information (T1027)

In un esercizio red team l'offuscamento va simulato in modo realistico, senza scorciatoie che nessun avversario userebbe. Il punto di partenza tipico su Windows è la generazione di payload Base64-encoded PowerShell con powershell -EncodedCommand , tecnica banale ma ancora osservata in gruppi come RedCurl e nella campagna C0015. Per un livello superiore si usa Invoke-Obfuscation (open source), che applica trasformazioni token-level, string reordering e concatenazioni tramite backtick.

Per i binari nativi lo scenario cambia. Donut (open source) converte assembly .NET, DLL o PE in shellcode position-independent cifrato con Chaskey, riproducendo il pattern usato da loader come Ecipekac e TEARDROP. Sliver (open source) integra garble e gobfuscate nativamente per offuscare le configurazioni degli impianti, così come documentato per il framework stesso. Per test più aggressivi si può ricorrere a VMProtect (a pagamento) o Themida (a pagamento), gli stessi packer commerciali abusati da APT41 e BackdoorDiplomacy.

Su Linux e macOS la simulazione ruota attorno a strumenti nativi. Una catena tipica cifra un payload con openssl enc -aes-256-cbc -salt -in payload.bin -out payload.enc -k e lo decifra runtime tramite uno stager scritto in bash o Python. Per emulare Kobalos o Ebury si aggiungono routine XOR con chiave statica applicate a tutte le stringhe, mentre PyArmor (freemium) replica l'approccio di RedCurl per offuscare tool Python come LaZagne.

Su ESXi la simulazione è più delicata: si possono staging payload Base64 nei datastore (/vmfs/volumes/) e decodificarli con echo | base64 -d, riproducendo il pattern di backdoored VIBs osservato in intrusioni reali.

Una catena d'attacco realistica combina più livelli in cascata: consegna via ISO o ZIP con password (come Bumblebee, StrelaStealer, Flagpro), estrazione di un loader packato con ConfuserEx, decifratura in memoria di uno shellcode AES, e infine iniezione di un beacon Cobalt Strike (a pagamento) o Brute Ratel (a pagamento) con profili Malleable C2 che offuscano il traffico. L'obiettivo del red team non è bypassare l'EDR con un trucco isolato, ma dimostrare che ogni livello di offuscamento erode una capacità difensiva specifica, dalla firma AV al sandbox al SOC analyst.

La detection dell'offuscamento non passa quasi mai dal contenuto — che per definizione è illeggibile — ma dal comportamento e dai metadati. La regola AN1064 di MITRE per Windows suggerisce di correlare esecuzioni di script con la creazione di file cifrati o compressi in finestre temporali brevi, sfruttando WinEventLog:Security e Sysmon. Il tuning cruciale riguarda la soglia di entropia dei payload: file con entropia superiore a 7.2 bit/byte sono candidati sospetti, ma bisogna escludere archivi legittimi come installer MSI, backup compressi e certificati.

Per PowerShell il segnale più affidabile viene da EventCode 4104 (Script Block Logging), che registra il contenuto deoffuscato dopo l'interpretazione. La presenza di stringhe FromBase64String, Convert.FromBase64String, -EncodedCommand, chiamate massive a [char] con XOR, oppure concatenazioni con backtick anomale sono indicatori robusti. L'Antimalware Scan Interface (AMSI) su Windows 10+ intercetta il contenuto post-deobfuscation prima dell'esecuzione, ed è la contromisura raccomandata dalla mitigazione M1049.

Su Linux la regola AN1065 punta su auditd con syscall execve per catturare pipeline sospette che combinano base64, openssl, gzip, xz su percorsi sensibili come /etc/, /home/, /var/log/. Un pattern come tar czf - /home | openssl enc -aes-256-cbc -k è raro nell'uso legittimo e merita alert immediato.

Su macOS (AN1066) l'unified log e osquery (open source) permettono di monitorare l'uso di zip con password e openssl legati a processi utente non amministrativi, con particolare attenzione a scritture in /Users/Shared e /Volumes.

A livello di rete (AN1067) gli IDS come Suricata (open source) e Zeek (open source) possono calcolare l'entropia dei payload HTTP POST, FTP upload e protocolli custom. Traffico ad alta entropia su porte non standard, o Base64 in campi URL insolitamente lunghi, sono segnali di esfiltrazione offuscata.

Su ESXi (AN1068) va monitorato l'accesso alla shell e gli upload nei datastore, con particolare attenzione a script PowerCLI codificati.

I falsi positivi principali arrivano da software di backup, sistemi di distribuzione software, tool di sviluppo che generano binari packati, e traffico TLS legittimo interpretato come alta entropia. Il tuning delle SuspiciousParentProcessList per includere LOLBins abusati (mshta.exe, regsvr32.exe, rundll32.exe) e l'esclusione di baseline conosciute sono passaggi obbligati per rendere la regola sostenibile.

L'analisi forense di T1027 richiede di ricostruire il processo di deoffuscamento perché il payload originale, sul disco, è spesso illeggibile. Il primo artefatto da acquisire su Windows è la memoria fisica tramite WinPmem (open source) o Magnet RAM Capture (gratuito): è nella RAM che si trovano le stringhe decifrate, le API risolte dinamicamente e i payload decompressi. L'analisi con Volatility 3 (open source) tramite plugin malfind, ldrmodules e yarascan permette di isolare regioni RWX contenenti PE non mappati, tipici di Cobalt Strike, SUNBURST e ShadowPad.

Sul disco gli indicatori vanno cercati nei file con entropia anomala. Il tool sigcheck -a di Sysinternals (gratuito) o pescan (open source) calcolano l'entropia delle sezioni PE: valori superiori a 7.5 nella sezione .text indicano packing, tipico di VMProtect (usato da APT41, BackdoorDiplomacy, KillDisk, Turian) o ConfuserEx (usato da APT-C-36, Kazuar, DarkTortilla, Sardonic).

Gli Sysmon EventID 11 (file create) e 15 (file stream hash) permettono di ricostruire la timeline di drop dei payload. Correlando con EventID 1 (process create) si identifica il processo padre che ha generato l'artefatto offuscato — spesso un browser, un client mail o un interprete script. Prefetch (C:\Windows\Prefetch) e ShimCache confermano l'esecuzione, mentre Amcache.hve conserva l'hash SHA1 del binario, utile per pivoting su VirusTotal (freemium).

Su Linux gli artefatti chiave sono /var/log/auth.log, /var/log/syslog e i log auditd configurati con regole su execve. La bash history (.bash_history, .zsh_history) può conservare comandi di decodifica come base64 -d o openssl enc -d. Per malware come Kobalos, Ebury e BPFDoor l'analisi statica con radare2 (open source) o Ghidra (open source) permette di identificare le routine XOR/RC4 e ricostruire le chiavi hardcoded. COATHANGER nasconde configurazione negli ultimi 56 byte di /data/.bd.key/preload.so: l'hex dump della coda del file rivela il blob cifrato.

Le campagne documentate offrono pattern di riferimento. In C0017 (APT41) i binari DEADEYE e KEYPLUG erano spezzati in più sezioni su disco e ricomposti runtime: la timeline forense mostra creazioni sincrone di frammenti nella stessa directory. In C0025 (2016 Ukraine Electric Power Attack) Sandworm ha inserito codice pesantemente offuscato nel backdoor Notepad di Industroyer, richiedendo unpacking manuale per l'analisi. Nel 3CX Supply Chain Attack (C0057) i payload AppleJeus usavano AES-256-GCM, individuabili solo tramite analisi dinamica in sandbox isolate.

L'offuscamento è così pervasivo da essere un tratto quasi universale del malware moderno, ma l'analisi dei gruppi documentati rivela pattern geografici e tecnici distintivi utili per l'attribuzione.

APT41 (G0096), cluster cinese con doppio mandato statale e cybercrime, è uno dei pochi attori a utilizzare sistematicamente VMProtect su binari personalizzati. Nella campagna C0017 (maggio 2021 - febbraio 2022) contro almeno sei reti governative statunitensi statali, il gruppo ha frammentato i loader DEADEYE e KEYPLUG in sezioni multiple su disco, ricomponendole solo runtime — una tecnica che ha allungato significativamente i tempi di detection e ha permesso recompromissioni successive alla remediation iniziale.

Sandworm Team (G0034), GRU russo, combina Base64 con offuscamento profondo del codice C. Nell'attacco alla rete elettrica ucraina del dicembre 2016 (C0025), il backdoor Notepad di Industroyer presentava layer multipli di obfuscation studiati per resistere all'analisi statica dei team CERT ucraini. Il gruppo mostra continuità stilistica anche in altri impianti, con preferenza per XOR statici e cifrari custom.

Kimsuky (G0094), APT nordcoreano con focus su intelligence sudcoreana e diplomatica, adotta un mix di XOR e Base64 su stringhe binarie, e utilizza una tecnica peculiare: modifica del primo byte delle DLL impiantate per impedire il riconoscimento del formato PE. Questa firma tecnica lo distingue da altri cluster nordcoreani come Lazarus e Moonstone Sleet (G1036), quest'ultimo caratterizzato dalla consegna di payload cifrati in frammenti multipli ricomposti in un nuovo PE durante l'installazione.

APT-C-36 (G0099), attore latinoamericano attivo contro entità colombiane, ricorre a ConfuserEx per offuscare varianti di Imminent Monitor e distribuisce allegati email cifrati con password, un pattern operativo semplice ma efficace contro gateway mail non evoluti.

RedCurl (G1039), gruppo mercenario specializzato in spionaggio corporate, mostra la maturità operativa più elevata sul fronte offuscamento: combina cifratura di stringhe, comandi PowerShell Base64, PyArmor per offuscare LaZagne, e rinomina file scaricati mimando tool legittimi. L'uso di echo per invocare eseguibili al posto dei nomi reali è una firma comportamentale caratteristica.

Sul fronte tool overlap, Cobalt Strike compare in praticamente ogni campagna significativa, incluso C0015 dove i suoi Beacon offuscati sono stati usati insieme a Bazar e Conti durante un'intrusione ransomware di cinque giorni. Il 3CX Supply Chain Attack (C0057) ha invece dimostrato la prima catena documentata di supply chain compromise a cascata, con payload AppleJeus cifrati AES-256-GCM distribuiti tramite build environment compromessi.

Il trend generale mostra spostamento da offuscamento statico verso soluzioni ibride: packer commerciali, control-flow flattening, stackstrings e cifratura runtime dei payload sono ormai baseline anche per attori di medio livello.

MITRE ATT&CK T1027 (Obfuscated Files or Information), tattica TA0005. Campagne: C0015, C0017, C0025 (2016 Ukraine Electric Power Attack), C0057 (3CX Supply Chain Attack). Mitigazioni M1017, M1040, M1047, M1049. Detection MITRE DET0378 (AN1064-AN1068). Per comandi, tool e artefatti forensi è stata integrata conoscenza professionale di cybersecurity relativa a strumenti open source e commerciali di uso comune (Sysmon, Volatility, Ghidra, Suricata, Zeek, Invoke-Obfuscation, Donut, Sliver, PyArmor).