Persistenza via Add-in Office: Add-ins (T1137.006)

In un contesto di red teaming, la persistenza via add-in Office è particolarmente elegante perché sopravvive a reboot, cambio credenziali e spesso anche a reimaging parziali se i profili roaming vengono ripristinati. Il vettore più semplice e documentato è la Word Startup folder, sfruttata da Naikon con il payload intel.wll e da Bisonal con file .wll.

Il percorso target su Windows è tipicamente:

*%APPDATA%\Microsoft\Word\STARTUP*

Qualsiasi file con estensione .wll (in realtà una DLL rinominata) presente in questa cartella viene caricato automaticamente all'avvio di Word. La DLL deve esportare la funzione DllMain o le funzioni WLL standard come wdCallBack. Per generare il payload in laboratorio si può usare MSFVenom (open source) per creare una DLL x64 e rinominarla, oppure compilare un progetto C/C++ con Visual Studio Community (gratuito) esportando le entry point richieste.

Per gli XLL (add-in Excel), il percorso è analogo sotto *%APPDATA%\Microsoft\Excel\XLSTART* oppure registrato via HKCU\Software\Microsoft\Office<version>\Excel\Options\OPEN. Il framework Excel-XLL-Payload-Generator e il progetto EXCELntDonut (entrambi open source su GitHub) semplificano la generazione di XLL weaponizzati contenenti shellcode.

Per i VSTO add-in, il red teamer deve creare un manifest firmato (o abusare della trust chain locale) e registrare il componente sotto HKCU\Software\Microsoft\Office<app>\Addins<ProgID> con i valori Manifest, LoadBehavior=3 e FriendlyName. Il tool Officepurge e i template VSTO di Visual Studio (gratuito nella edizione Community) sono la strada più pulita.

Per Outlook, sfruttato da LunarMail e LunarLoader, la registrazione COM avviene sotto HKCU\Software\Microsoft\Office\Outlook\Addins<Name> e non richiede privilegi amministrativi. Un add-in Outlook è particolarmente prezioso in engagement lunghi perché la maggior parte degli utenti tiene il client aperto per l'intera giornata lavorativa, garantendo esecuzione continuativa del beacon.

Durante un engagement autorizzato, testate sempre in una VM isolata con snapshot: un errore in DllMain può crashare Word ripetutamente e rivelare la vostra presenza al primo tentativo di apertura da parte dell'utente target. Considerate anche la firma del codice: gli ambienti hardened con GPO che bloccano unsigned add-ins richiedono l'uso di certificati self-signed installati preventivamente nel trust store utente.

La detection della persistenza via add-in Office si articola su due piani complementari: monitoraggio del filesystem sulle cartelle di startup e osservazione dei processi figli anomali generati dalle applicazioni Office. Il riferimento MITRE è la detection strategy DET0050, che copre sia gli analytics Windows (AN0137) sia quelli Office Suite (AN0138).

La fonte log primaria è Sysmon (open source, Microsoft Sysinternals) con una configurazione che includa gli Event ID 11 (FileCreate) sulle directory startup di Office e Event ID 13 (RegistryValueSet) sulle chiavi Addins. Un template robusto è quello di SwiftOnSecurity/sysmon-config (open source), da estendere con regole specifiche per i percorsi:

• *%APPDATA%\Microsoft\Word\STARTUP*
• *%APPDATA%\Microsoft\Excel\XLSTART*
• *%APPDATA%\Microsoft\AddIns*
• HKCU\Software\Microsoft\Office\\Addins\**
• HKCU\Software\Microsoft\Office\\Excel\Options\OPEN*

Una regola Sigma efficace flagga ogni creazione di file con estensione .wll, .xll, .dll o .vsto in questi percorsi, correlata all'utente non-amministrativo. Il tuning richiede whitelisting degli add-in enterprise legittimi (Grammarly, DocuSign, Zoom Outlook plugin, componenti SAP): mantenete una baseline aggiornata dei ProgID autorizzati.

Il secondo livello di detection è comportamentale: correlare Process Create (Event ID 1 di Sysmon o Event ID 4688 con command line auditing) dove il ParentImage è WINWORD.EXE, EXCEL.EXE o OUTLOOK.EXE e il processo figlio è powershell.exe, mshta.exe, rundll32.exe, regsvr32.exe, cmd.exe o wscript.exe. Questa relazione parent-child è quasi sempre anomala in ambienti non-sviluppatori.

Per Outlook, la fonte specifica è il canale Microsoft-Office/OutlookAddinMonitor nel WinEventLog Application, che registra caricamento e disabilitazione degli add-in con tempi di startup. Add-in con load time anomali o che appaiono senza corrispondente installazione via SCCM/Intune sono candidati prioritari per triage.

Lato mitigazione preventiva, applicate M1040 (Behavior Prevention on Endpoint) attivando le regole Attack Surface Reduction di Microsoft Defender (incluse in Windows 10/11 Pro ed Enterprise): in particolare Block Office applications from creating child processes (GUID D4F940AB-401B-4EFC-AADC-AD5F3C50688A) e Block Win32 API calls from Office macros. Configurate inoltre la GPO Disable all Application Add-ins per gli utenti che non ne hanno bisogno operativo, e forzate la firma digitale obbligatoria via VBAWarnings e RequireAddinSig.

Falsi positivi tipici: installazioni legittime di plugin da parte di power user, aggiornamenti automatici di suite di produttività, deployment via MSI che tocca i percorsi startup.

Durante una DFIR su sospetta persistenza via add-in Office, la timeline si costruisce attorno ai timestamp NTFS delle cartelle startup e alle chiavi di registro Addins. Gli artefatti chiave da acquisire in triage sono il NTUSER.DAT del profilo utente compromesso, la UsrClass.dat, il filesystem sotto *%APPDATA%\Microsoft* e i log Sysmon/EventLog se disponibili.

Per l'analisi del registro, Registry Explorer di Eric Zimmerman (gratuito) permette di navigare rapidamente sotto NTUSER.DAT\Software\Microsoft\Office\\Addins\** ed estrarre i valori Manifest, Description, FriendlyName e LoadBehavior. Un LoadBehavior pari a 3 indica caricamento automatico all'avvio, valore tipico degli add-in persistenti. Il timestamp di ultima modifica della chiave (LastWriteTime) fornisce il momento di installazione, dato cruciale per correlare l'evento con altre attività sulla macchina.

Sul filesystem, i file .wll nella Word STARTUP folder e .xll nella Excel XLSTART sono red flag immediati. Usate MFTECmd (gratuito, Zimmerman) per parsare la $MFT ed estrarre i timestamp SI e FN: discrepanze tra i due (timestomping) sono un forte indicatore di attività malevola, tipica del pattern osservato con intel.wll di Naikon. Il file dropper intel.wll è stato distribuito tramite il builder RoyalRoad, che sfrutta vulnerabilità dell'Equation Editor di Office; cercate quindi anche tracce di EQNEDT32.EXE nei ProcessCache e nel Prefetch.

Gli artefatti Prefetch (C:\Windows\Prefetch*.pf) analizzati con PECmd (gratuito) rivelano la prima e ultima esecuzione di WINWORD.EXE, EXCEL.EXE e OUTLOOK.EXE dopo l'installazione dell'add-in, permettendo di stimare quante volte il payload è stato eseguito. L'AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) e lo ShimCache conservano evidenza dei binari eseguiti anche se successivamente rimossi.

Per i sample Bisonal, il pattern è la DLL con estensione .wll in *%APPDATA%\microsoft\word\startup*: estraete il file, calcolate hash SHA256 e verificatelo contro VirusTotal (freemium) e MalwareBazaar (gratuito, abuse.ch). Per LunarMail e LunarLoader, cercate add-in Outlook registrati sotto *HKCU\Software\Microsoft\Office\Outlook\Addins* con nomi non corrispondenti a software enterprise noto; questi impianti sono attribuiti a operazioni di cyberespionage contro obiettivi diplomatici europei.

Costruite la timeline finale con Plaso/log2timeline (open source) unendo MFT, registry hives, EventLog e Prefetch: la sequenza tipica mostra il file .wll creato, seguito da un launch di Word e dal successivo spawn di powershell.exe o connessione di rete anomala. Preservate copia forense di tutti i file coinvolti prima di qualunque azione di remediation.

L'abuso degli add-in Office come vettore di persistenza è una tecnica preferita da attori di cyberespionage con obiettivi di lungo periodo, per la sua discrezione e resistenza. I dati MITRE ATT&CK documentano un gruppo APT e tre famiglie malware associate direttamente a T1137.006.

Naikon (G0019) è un gruppo di cyberespionage attivo storicamente contro obiettivi governativi, militari e diplomatici nell'area ASEAN (Filippine, Malesia, Cambogia, Indonesia, Vietnam, Myanmar). L'uso documentato della tecnica coinvolge il builder RoyalRoad (noto anche come 8.t Dropper), uno strumento condiviso tra multipli attori cinesi che sfrutta vulnerabilità dell'Equation Editor per droppare un loader di seconda fase denominato intel.wll nella Word Startup folder. RoyalRoad è particolarmente significativo dal punto di vista di threat intel perché il suo overlap è stato osservato anche in Tick, Tonto Team, TA428 e Rancor, suggerendo un ecosistema di condivisione di tooling tra APT allineati a interessi cinesi.

Bisonal (S0268) è una famiglia malware operativa da oltre un decennio, associata a Tonto Team e ad altri gruppi di language cinese. Il suo caricamento tramite estensione .wll nella cartella *%APPDATA%\microsoft\word\startup* è una firma comportamentale ricorrente. Bisonal è stato usato in campagne contro entità in Russia, Sud Corea e Giappone, con focus su target militari e governativi.

LunarMail (S1142) e LunarLoader (S1143) sono componenti del toolkit Lunar, scoperto in operazioni contro un ministero degli esteri europeo e attribuito con moderata confidenza a Turla (gruppo russo, noto anche come Snake o Venomous Bear). Entrambi sfruttano gli add-in Outlook per persistenza, una scelta strategica perché in ambienti diplomatici Outlook resta aperto per l'intera giornata lavorativa, garantendo un canale C2 stabile. LunarMail in particolare usa email come veicolo di comando, sfruttando le API di Outlook per leggere messaggi crafted contenenti istruzioni cifrate — una tecnica di email-based C2 particolarmente difficile da distinguere dal traffico legittimo.

Il pattern geografico mostra due cluster distinti: attori allineati a interessi cinesi che preferiscono add-in Word/Excel per targeting di documenti tecnici e strategici, e attori russi (Turla) che privilegiano add-in Outlook per operazioni di long-term intelligence collection contro obiettivi diplomatici. Il trend evolutivo indica un progressivo spostamento verso VSTO add-in e componenti XLL, in risposta all'hardening delle macro VBA introdotto da Microsoft nel 2022 con il blocco di default delle macro nei documenti provenienti da Internet. XLL in particolare ha visto un incremento significativo di utilizzo, tanto che Microsoft ha esteso il blocco di default anche a questi file per gli utenti Microsoft 365.

MITRE ATT&CK: T1137.006 (Add-ins), gruppo G0019 (Naikon), software S0268 (Bisonal), S1142 (LunarMail), S1143 (LunarLoader), mitigazione M1040 (Behavior Prevention on Endpoint), detection strategy DET0050 con analytics AN0137 e AN0138. Tool di detection e forensics citati: Sysmon, Registry Explorer, MFTECmd, PECmd, Plaso, Microsoft Defender ASR, VirusTotal, MalwareBazaar. Contenuto integrato con conoscenza professionale di cybersecurity per dettagli operativi su comandi, percorsi di registro e tool difensivi/offensivi.