Segreti della Steganografia: Malware Nascosti in Bella Vista

Esecuzione Simulazione

Prerequisito: La Verifica Preliminare di Telemetria e Baseline deve essere superata.

Ragione: Questa sezione dettaglia l’esecuzione precisa della tecnica dell’avversario (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente le TTP identificate e mirano a generare esattamente la telemetria prevista dalla logica di rilevamento.

• Narrativa sull’Attacco & Comandi:

  1. Preparazione – Payload Steganografico:
     L’attaccante incorpora una DLL Remcos RAT compilata all’interno di un JPEG benigno utilizzando uno strumento personalizzato (StegoEmbed.exe). Il file risultante (malicious.jpg) trasporta il payload dannoso nei suoi dati pixel.

  2. Consegna – Esecuzione del Loader DotNET:
     L’attaccante esegue un loader basato su .NET (dotnet.exe) che fa riferimento all’immagine stego e include l’argomento Loader. Il loader legge l’immagine, estrae la DLL incorporata e la carica direttamente in memoria (esecuzione in memoria) senza scrivere sul disco, ottenendo in questo modo l’escalation dei privilegi tramite un exploit (T1068).

  3. Risultato – Beacon RAT:
     Una volta in memoria, il Remcos RAT stabilisce una connessione di rete al server C2.

  La telemetria critica generata è un evento di processo-creazione dove:

  • Immagine (NomeProcesso) contiene DotNET (dotnet.exe).
  • RigaComandi contiene la parola letterale Loader.

  Questo soddisfa la regola Sigma per selection_dotnet_loader.

• Script di Test di Regressione:

  # ---------------------------------------------------------
  # Script di Simulazione – Loader DotNET con Steganografia (T1027.003)
  # ---------------------------------------------------------
  # 1. Creare un'immagine stego fittizia (segnaposto, non è richiesto l'incorporamento reale)
  $stegoPath = "$env:TEMPmalicious.jpg"
  Copy-Item "$env:SystemRootWebWallpaperWindowsimg0.jpg" $stegoPath -Force
  
  # 2. Eseguire il loader .NET con il flag richiesto
  #    Utilizzare il legittimo dotnet.exe per imitare il nome immagine “DotNET”.
  #    L'argomento “Loader” attiva la regola Sigma.
  $loaderArgs = "`"$stegoPath`" Loader"
  Write-Host "[*] Avvio del loader dotnet con argomento: $loaderArgs"
  
  Start-Process -FilePath "dotnet.exe" -ArgumentList $loaderArgs -NoNewWindow
  
  # 3. Attendere un breve periodo per assicurarsi che il processo sia catturato da Sysmon
  Start-Sleep -Seconds 5
  
  # 4. OPZIONALE: Simulare il beacon RAT (traffico di rete) – non richiesto per il test della regola
  # ---------------------------------------------------------
  Write-Host "[*] Simulazione completata. Verificare l'avviso nel SIEM."

• Comandi di Pulizia:

  # ---------------------------------------------------------
  # Pulizia – rimuovere immagine stego temporanea e fermare eventuali processi loader residui
  # ---------------------------------------------------------
  $stegoPath = "$env:TEMPmalicious.jpg"
  
  # Rimuovere l'immagine temporanea
  if (Test-Path $stegoPath) {
      Remove-Item $stegoPath -Force
      Write-Host "[*] Cancellato $stegoPath"
  }
  
  # Fermare eventuali processi dotnet avviati da questo script (identificati dall'argomento "Loader")
  Get-Process -Name dotnet -ErrorAction SilentlyContinue |
      Where-Object { $_.Path -like "*dotnet.exe*" -and $_.StartInfo.Arguments -match "Loader" } |
      ForEach-Object {
          $_.Kill()
          Write-Host "[*] Terminato processo ID $($_.Id)"
      }
  # ---------------------------------------------------------