Travestimento di File: Masquerade File Type (T1036.008)
Gli attaccanti sfruttano la fiducia degli utenti nei formati di file comuni per nascondere i loro payload malevoli. Modificano l'estensione, l'icona e la firma binaria dei file per farli apparire innocui documenti o immagini.
Questa tecnica rientra nella tattica TA0005 (Defense Evasion) e si manifesta nella fase di evasione delle difese della kill chain. L'obiettivo primario è bypassare i controlli di sicurezza durante il trasferimento e l'archiviazione del malware.
I file polyglot rappresentano l'evoluzione più sofisticata: singoli file che funzionano diversamente a seconda dell'applicazione che li esegue. Un file può apparire come immagine JPEG nel viewer ma eseguire codice malevolo quando processato da un'altra applicazione. 3 gruppi APT hanno utilizzato attivamente questa tecnica, distribuendo 11 diversi malware in 2 campagne documentate.
Per testare la resilienza dei sistemi aziendali contro il mascheramento dei file, inizia creando payload che ingannano le validazioni superficiali. Su Windows, genera un eseguibile mascherato:
copy /b legitimate.jpg + payload.exe disguised.jpg
Il file risultante mantiene l'header JPEG (0xFF 0xD8) ma contiene codice eseguibile. Per renderlo ancora più credibile, modifica l'estensione e l'icona utilizzando Resource Hacker per appropriarti dell'aspetto di documenti Word o PDF.
Su Linux, crea un file polyglot che funziona sia come immagine che come script:
echo -e '\xFF\xD8\xFF\xE0' > polyglot.jpg echo '#!/bin/bash' >> polyglot.jpg echo 'whoami' >> polyglot.jpg
Per automatizzare il processo in laboratorio, utilizza framework come Brute Ratel C4 che nativamente supporta il mascheramento attraverso icone Microsoft Word per file LNK malevoli. Alternativamente, QakBot dimostra tecniche avanzate nascondendo payload come finti PNG all'interno di file LNK.
Il testing più realistico prevede la creazione di USB infette con Raspberry Robin, dove file LNK mascherati da cartelle legittime si attivano all'apertura. Simula anche la tecnica di Volt Typhoon rinominando database sensibili con estensione .gif per eludere i DLP durante l'esfiltrazione.
Per validare l'efficacia, testa contro endpoint con antivirus commerciali verificando quali combinazioni di header/estensione bypassano i controlli. Documenta meticolosamente quali vendor rilevano anomalie tra magic bytes e estensioni dichiarate.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo