Abuso dei Meccanismi di Controllo dell'Elevazione: Abuse Elevation Control Mechanism (T1548)

L'esercizio red team su T1548 richiede di coprire più superfici. Su Windows il vettore più studiato resta il bypass UAC via auto-elevated binaries. Il progetto UACME (open source) di hfiref0x cataloga oltre 70 metodi documentati, incluso il ucmDccwCOMMethod abusato da Raspberry Robin tramite l'interfaccia COM IColorDataProxy e il binario auto-elevate dccw.exe. Per un lab isolato, la simulazione avviene con l'eseguibile compilato dal repository, selezionando l'ID metodo desiderato. Il framework Metasploit (open source) espone moduli come exploit/windows/local/bypassuac_fodhelper e bypassuac_sluihijack che manipolano chiavi di registro tipo HKCU\Software\Classes\ms-settings\Shell\Open\command per dirottare l'esecuzione di binari elevati.

Su Linux l'enumerazione parte dalla ricerca di binari SUID con find / -perm -4000 -type f 2>/dev/null. La consultazione di GTFOBins (gratuito) permette di identificare quali binari elevati offrono shell escape: pkexec, sudo con voci NOPASSWD malconfigurate, find o vim con SUID, oltre a vulnerabilità storiche come PwnKit (CVE-2021-4034). Strumenti come linPEAS (open source, parte di PEASS-ng) automatizzano l'enumerazione producendo un report colorato per gravità.

Su macOS il pattern chiave è l'invocazione di AuthorizationExecuteWithPrivileges, API deprecata ma ancora funzionante, che sfrutta il trampoline security_authtrampoline per eseguire codice come root previa autorizzazione utente. Payload proof-of-concept possono essere scritti in Objective-C richiamando l'API dopo aver ottenuto un AuthorizationRef.

Su ESXi/vSphere, replicando il pattern UNC3886, il red team può costruire un VIB con file descriptor XML modificato impostando acceptance-level a partner e installandolo con esxcli software vib install. Il comando esxcli software acceptance set --level=PartnerSupported consente di abbassare i requisiti host per testare la mitigazione. L'esercizio va condotto solo su host di laboratorio dato l'impatto sulla supply chain dell'hypervisor.

In ambiente cloud, la simulazione IAM abuse su AWS si concentra su sts:AssumeRole verso ruoli con trust policy permissive e su iam:PassRole combinato con lambda:CreateFunction. Il tool Pacu (open source) di Rhino Security Labs include moduli come iam__privesc_scan che automatizzano la scoperta di percorsi di escalation.

Ogni esecuzione va tracciata in un playbook con hash del payload, timestamp, host target e cleanup delle chiavi di registro o dei VIB installati.

La detection strategy MITRE DET0345 articola cinque analitiche che il SOC deve implementare in parallelo secondo la superficie monitorata.

Su Windows (AN0975) la telemetria si costruisce su WinEventLog:Security e WinEventLog:Sysmon. Gli indicatori chiave sono le modifiche a chiavi di registro tipiche del bypass UAC — HKCU\Software\Classes\ms-settings, HKCU\Software\Classes\mscfile, HKCU\Software\Classes\exefile\shell\open\command — correlate temporalmente con la creazione di processi elevati (EventCode 4688 con token di integrità High o System) generati da parent inattesi. Una catena come fodhelper.exe o computerdefaults.exe che spawna cmd.exe o powershell.exe è altamente sospetta. Sysmon EventID 1 (process create) con campo IntegrityLevel pari a High combinato con ParentImage non tipico è la firma comportamentale primaria. EventID 13 (registry value set) su percorsi HKCU\Software\Classes completa la correlazione. La finestra temporale suggerita tra modifica registry e spawn del processo elevato è dell'ordine dei secondi.

Su Linux (AN0976) il framework auditd è il pilastro. Regole mirate su syscall execve, setuid, setgid e chmod con maschere che intercettano il bit 4000 permettono di rilevare drop di nuovi binari SUID in directory scrivibili come /tmp, /var/tmp o /dev/shm. La condizione UID ≠ EUID durante execve segnala esecuzione privilegiata attiva. Comandi come pkexec e sudo eseguiti da account non nella policy vanno flaggati.

Su macOS (AN0977) l'unified log filtrato su subsystem com.apple.security e la comparsa nel process tree di /usr/libexec/security_authtrampoline con parent GUI application non firmata o non nota indica uso dell'API AuthorizationExecuteWithPrivileges. La telemetria fs_usage aiuta a osservare le operazioni file conseguenti.

Sull'Identity Provider (AN0978) i log Azure SignInLogs e AuditLogs vanno correlati per individuare assunzioni di ruolo o modifiche di group membership che avvengono fuori dalle finestre di change management. SAML assertion con claim di ruolo inattesi rispetto al mapping autorizzato sono red flag.

Su IaaS (AN0979) AWS CloudTrail espone eventi AssumeRole, AttachRolePolicy, PutRolePolicy e CreatePolicyVersion. Un baseline dei percorsi di role transition ammessi permette di rilevare deviazioni; l'attraversamento di trust boundary tra account genera alert prioritari.

I falsi positivi principali derivano da tool di amministrazione legittimi (SCCM, Ansible), installer software e attività di patching. Whitelist per hash e path firmati, insieme a finestre di manutenzione dichiarate, riducono il rumore.

L'indagine forense su T1548 richiede di ricostruire la catena di elevazione a partire da artefatti multipli, coerenti nella timeline.

Su Windows il primo pilastro è la hive di registro NTUSER.DAT dell'utente compromesso. Le chiavi HKCU\Software\Classes usate nei bypass UAC (ms-settings, mscfile, exefile) contengono spesso valori residui anche dopo cleanup superficiali, e il timestamp LastWrite della chiave fornisce il punto di ancoraggio temporale. Strumenti come Registry Explorer di Eric Zimmerman (gratuito) e RegRipper (open source) estraggono efficacemente queste evidenze. Le Prefetch in C:\Windows\Prefetch conservano evidenza dell'esecuzione di binari auto-elevate come fodhelper.exe, computerdefaults.exe, sdclt.exe, eventvwr.exe con timestamp di prima e ultima esecuzione. Il Security Event Log (%SystemRoot%\System32\winevt\Logs\Security.evtx) contiene gli eventi 4688 (process creation con Token Elevation Type — TokenElevationTypeFull indica elevazione), 4672 (privilegi speciali assegnati al logon) e 4624 con LogonType 2. Se Sysmon è distribuito, il canale Microsoft-Windows-Sysmon/Operational aggiunge process tree completo, hash e signature status. Le ShimCache (AppCompatCache) e Amcache.hve documentano l'esistenza storica dei binari eseguiti.

Su Linux l'analisi si fonda sui log auditd (/var/log/audit/audit.log), sui bash history dell'utente e sulla ricerca a posteriori di binari SUID/SGID con find / -perm -4000 -o -perm -2000 -type f -newer /tmp/reference_file. I metadati del filesystem (ctime, mtime) sui binari sospetti indicano quando il bit è stato impostato. Il file /var/log/auth.log traccia invocazioni sudo e pkexec. Strumenti come Sleuth Kit (open source) e Plaso/log2timeline (open source) costruiscono super-timeline correlando filesystem e log applicativi.

Su macOS l'unified log persiste per giorni in /var/db/diagnostics/. L'utility log show --predicate 'subsystem == "com.apple.security"' --last 7d estrae eventi di autorizzazione. Il file asl legacy e i quarantine attributes su binari scaricati completano il quadro.

Per il caso UNC3886 su ESXi, l'analisi si concentra sui VIB installati (esxcli software vib list), sul file esx.conf, sui log /var/log/esxupdate.log e /var/log/vmkernel.log, e sull'ispezione dei descrittori XML alla ricerca del campo acceptance-level impostato a partner.

In ambiente cloud, CloudTrail per AWS e Azure Activity Log conservano gli eventi di role assumption e modifica policy per 90 giorni di default; l'esportazione verso storage a lungo termine (S3, Log Analytics) è prerequisito per indagini retrospettive. La correlazione con IP sorgente, session name e user agent permette di attribuire l'attività.

Il panorama attribuito a T1548 nei dati MITRE consolidati comprende un attore statale e una famiglia malware ad alto volume, entrambi rappresentativi di due archetipi distinti di abuso dell'elevazione.

UNC3886 è tracciato come cluster di espionaggio con focus sistemico su infrastrutture di virtualizzazione. L'uso di vSphere Installation Bundles modificati con acceptance-level impostato a partner nei file descriptor XML rappresenta un pattern raffinato: l'attore non attacca il guest OS ma l'hypervisor, ottenendo privilege escalation sull'host ESXi e implicitamente accesso a tutte le macchine virtuali ospitate. Questa scelta rivela conoscenza approfondita del ciclo di verifica dei VIB da parte di VMware e capacità di ingegneria software non banale. Il pattern si inserisce in una tendenza più ampia di targeting dell'infrastruttura edge (hypervisor, appliance di rete, firewall) osservata in attori orientati alla persistenza a lungo termine e alla riduzione della superficie di detection endpoint tradizionale. L'assenza di EDR nativi su ESXi rende questo vettore particolarmente prezioso.

Raspberry Robin rappresenta il vettore opposto: worm ad ampia diffusione, distribuito via USB e archivi LNK, con catena di infezione modulare. L'abuso della variante ucmDccwCOMMethod del Windows AutoElevate backdoor — categoria di bypass UAC che sfrutta binari Microsoft firmati con flag autoElevate=true nel manifest — consente al worm di ottenere integrità High senza prompt utente. Il metodo abusa dell'interfaccia COM IColorDataProxy e del binario dccw.exe (Display Color Calibration). Raspberry Robin è stato osservato come loader iniziale per famiglie successive incluse operazioni ransomware, il che rende il suo bypass UAC un enabler critico nella kill chain.

Il trend osservabile mette in evidenza tre pattern strategici. Primo: la persistenza dei metodi basati su auto-elevated binaries su Windows, nonostante Microsoft abbia mitigato singoli casi negli anni — il progetto UACME conta oltre 70 varianti e continua a crescere. Secondo: lo spostamento di attori sofisticati verso l'infrastruttura di virtualizzazione, dove l'elevazione avviene fuori dal perimetro degli strumenti di detection classici. Terzo: la crescente rilevanza di privilege escalation in ambienti cloud, dove sts:AssumeRole, iam:PassRole e SAML assertion manipulation aprono superfici che le organizzazioni faticano ancora a monitorare con maturità pari a quella endpoint.

Dal punto di vista difensivo, le mitigazioni MITRE più pesate su questa tecnica — M1052 (UAC), M1026 (Privileged Account Management), M1028 (OS Configuration), M1051 (Update Software) — riflettono la necessità di combinare hardening di piattaforma, gestione ferrea dei privilegi e patching tempestivo. L'audit periodico dei percorsi di bypass noti (M1047) resta un controllo compensativo essenziale in attesa che le mitigazioni strutturali vengano completate.

MITRE ATT&CK: T1548 (Abuse Elevation Control Mechanism), tattiche TA0004 e TA0005. Gruppo G1048 (UNC3886), software S1130 (Raspberry Robin). Mitigazioni M1018, M1022, M1026, M1028, M1038, M1047, M1051, M1052. Detection strategy DET0345 con analitiche AN0975-AN0979. MITRE D3FEND per mapping difensivo. Conoscenza professionale di cybersecurity applicata per tool operativi (UACME, GTFOBins, linPEAS, Pacu, Metasploit, Sleuth Kit, Plaso, RegRipper) e sintassi comandi verificati su documentazione ufficiale dei rispettivi progetti.