MITRE ATT&CK T1091 è la tecnica Replication Through Removable Media. Descrive file dannosi o controllati dall'attaccante che si diffondono copiandosi su dispositivi di archiviazione rimovibili come unità USB, dischi esterni o schede di memoria. Quando il supporto viene spostato su un altro sistema, il payload può eseguirsi, rilasciare file o aiutare l'operatore a spostare dati tra ambienti isolati.
Questa tecnica è importante perché può aggirare molte difese di rete. Firewall, log dei proxy e monitoraggio perimetrale possono non rilevare affatto un trasferimento USB, il che rende T1091 particolarmente rilevante in reti segmentate, workstation sensibili e ambienti air-gapped. I difensori cercano controlli come restrizioni sui dispositivi USB, disabilitazione di autorun, allowlisting delle applicazioni, avvisi sugli endpoint per scritture insolite di file su unità rimovibili e ispezione di artefatti sospetti copiati sul supporto. Negli attacchi reali, T1091 compare spesso come parte di una catena di intrusione più ampia che utilizza supporti rimovibili per la diffusione iniziale, la persistenza o l'esfiltrazione dei dati.