Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Contaminazione di Contenuti Condivisi: Taint Shared Content (T1080)
La tecnica T1080 - Taint Shared Content appartiene alla tattica TA0008 (Lateral Movement) del framework MITRE ATT&CK e descrive un approccio in cui l'attaccante deposita codice malevolo in posizioni di storage condiviso — share SMB, drive di rete mappati, repository interni, cartelle pubbliche di NAS — per propagarsi ad altri sistemi quando utenti legittimi aprono i contenuti contaminati.
Il meccanismo sfrutta la fiducia implicita che gli utenti ripongono nelle risorse aziendali interne. Un attaccante può iniettare macro in documenti Office presenti su share, sostituire eseguibili validi con versioni trojanizzate, oppure creare file .LNK camuffati da directory che, una volta cliccati, eseguono payload nascosti prima di aprire la cartella reale attesa dall'utente.
Un'ulteriore variante prevede l'infezione binaria, in cui il codice malevolo viene accodato o anteposto a un eseguibile sano modificando l'Original Entry Point (OEP), così che il payload venga eseguito prima della logica legittima. Le estensioni bersaglio includono .EXE, .DLL, .SCR, .BAT e .VBS.
Con 5 gruppi APT documentati (tra cui Darkhotel, Gamaredon Group, BRONZE BUTLER, Cinnamon Tempest e RedCurl) e 7 famiglie malware (Stuxnet, Conti, Ursnif, Ramsay, InvisiMole, H1N1, Miner-C), la tecnica rimane un vettore stabile per movimenti laterali ad alto rendimento in ambienti Windows enterprise, particolarmente efficace su share utilizzate quotidianamente da utenze privilegiate.
In un esercizio red team, la simulazione di T1080 richiede un'infrastruttura di laboratorio con almeno un domain controller, un file server con share SMB popolate e workstation client. L'obiettivo è dimostrare la propagazione ad utenze diverse senza credenziali aggiuntive dopo il compromesso iniziale.
La prima fase consiste nell'enumerazione delle share raggiungibili. Da una macchina compromessa Windows si può usare net view \\fileserver per elencare le condivisioni, mentre net use mappa i drive disponibili. Per un'enumerazione più sistematica su tutta la subnet, CrackMapExec (open source) esegue cme smb
Per la variante directory share pivot, l'operatore crea file .LNK che mimano i nomi delle sottodirectory reali. Il processo prevede: nascondere le directory originali impostando l'attributo hidden (attrib +h +s
Per la simulazione di infezione binaria in laboratorio, tool come Shellter (freemium) o BDF - Backdoor Factory (open source) permettono di iniettare shellcode in PE esistenti mantenendo la funzionalità originale. La sintassi tipica è shellter -f target.exe seguita dalla selezione automatica dei code cave disponibili.
Per la variante macro-based utilizzata da attori come Gamaredon, si possono generare documenti weaponizzati con macro_pack (open source): macro_pack.exe -f payload.bat -o -G output.docm. Il documento risultante, deposto su share utilizzate quotidianamente da utenze HR o finance, genera esecuzione al primo accesso.
Per emulare il comportamento ransomware di Cinnamon Tempest, un file .BAT depositato in una share con logica di enumerazione ricorsiva e cifratura simulata (con estensione innocua) dimostra l'impatto senza rischi. Atomic Red Team (open source) fornisce test T1080 predefiniti utili come baseline riproducibile.
Durante l'engagement, documentare timestamp di scrittura, hash dei payload e SID dell'utente che ha attivato l'esecuzione permette al blue team di validare le proprie capacità di detection.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.