Automazione Malevola: AutoHotKey & AutoIT (T1059.010)

In fase di simulazione red team, la catena tipica parte da un dropper AutoIT compilato. L'ambiente di sviluppo ufficiale è scaricabile dal sito autoitscript.com (freemium per uso commerciale, gratuito per uso personale), mentre AutoHotkey v1/v2 è distribuito come progetto open source dal sito ufficiale autohotkey.com.

Uno script AutoIT minimale che scarica ed esegue un payload in memoria può essere strutturato con la funzione InetGet() per il download e ShellExecute() per l'esecuzione, salvato come loader.au3 e compilato con il tool ufficiale Aut2Exe (incluso nella suite AutoIT, open source per la parte di compilazione base). Il comando di compilazione da riga di comando è:

Aut2exe.exe /in loader.au3 /out loader.exe /icon custom.ico

Per AutoHotKey l'equivalente è Ahk2Exe (open source, incluso nella distribuzione AHK), che produce un eseguibile con l'interprete embedded. Questo è il pattern osservato in DarkGate, che rilascia test.au3 in una directory nascosta e lo esegue tramite AutoIt3.exe.

Una catena d'attacco realistica per lab red team prevede tre stadi. Nel primo, un documento Office con macro VBA (generato con MacroPack Community, open source) scrive lo script .au3 in %APPDATA% e invoca l'interprete legittimo. Nel secondo stadio, lo script AutoIT decifra un blob binario embedded (tecnica usata da XLoader e Lumma Stealer) e lo inietta in un processo host tramite chiamate a DllCall() verso VirtualAlloc, WriteProcessMemory e CreateRemoteThread. Nel terzo stadio, il payload finale (un keylogger o stealer) opera sotto il PID dell'interprete AutoIT firmato.

Per testare la resilienza dei controlli, l'operatore può sfruttare la funzionalità di UAC bypass tramite AutoIT invocando programmi con il flag RunAs o utilizzando la primitiva WinActivate() per interagire con prompt di sicurezza. Va notato che l'eseguibile compilato mantiene una signature statica facilmente identificabile: il tool Detect It Easy (DiE) (open source) riconosce immediatamente i binari compilati con Aut2Exe grazie a stringhe caratteristiche come AU3!EA06.

Per estrarre e analizzare script compilati, il decompiler di riferimento è myAut2Exe (open source), che ricostruisce il sorgente .au3 originale a partire dall'eseguibile. In laboratorio, l'esecuzione va isolata in una VM con snapshot e monitoraggio tramite Process Monitor (gratuito, Sysinternals) per tracciare l'intera catena di IOC comportamentali.

La detection di T1059.010 si fonda sull'osservazione comportamentale dei processi interpreti e sull'analisi dei loro discendenti. La strategia MITRE DET0332 con analitica AN0942 indica Sysmon come log source primaria, con particolare attenzione agli eventi EventID 1 (Process Creation), EventID 11 (File Create) ed EventID 7 (Image Load).

Il primo indicatore è la presenza di processi denominati AutoIt3.exe, AutoIt3_x64.exe, AutoHotkey.exe o AutoHotkeyU64.exe in path anomali. In ambienti aziendali standard, questi interpreti non dovrebbero risiedere in %APPDATA%\Roaming, %LOCALAPPDATA%\Temp, %PUBLIC% o directory utente non standard. Una query KQL di base in Microsoft Sentinel o Defender for Endpoint (a pagamento) filtra sui campi ProcessName e FolderPath per identificare esecuzioni fuori da Program Files.

Le dimensioni di tuning raccomandate dalla strategia includono la TimeWindow per isolare esecuzioni fuori orario lavorativo, il ParentProcessName per correlare lanci da genitori sospetti (tipicamente winword.exe, excel.exe, outlook.exe, wscript.exe o mshta.exe), la ScriptExtension per intercettare file .ahk e .au3 scritti su disco, e il ChildProcessCount per rilevare comportamenti modulari con spawn multipli.

Un pattern ad alto valore è la catena Office → AutoIt3.exe → script.au3, tipica di APT39 e delle campagne Lumma Stealer. Un'altra catena rilevante è quella di DarkGate, dove AutoIt3.exe esegue test.au3 da una cartella con attributo hidden, condizione rilevabile correlando eventi Sysmon 1 e 11.

Sul fronte D3FEND, gli artefatti digitali chiave sono il Process (l'interprete stesso), il File (script droppato) e la Command Line. Le tecniche difensive applicabili includono Executable Allowlisting (D3-EA) e Script Execution Analysis (D3-SEA). L'implementazione concreta di M1038 passa per AppLocker o Windows Defender Application Control (WDAC), entrambi inclusi nelle licenze Windows Enterprise, con regole di blocco esplicito per AutoIt3.exe e AutoHotkey.exe nei reparti dove non sono necessari.

I falsi positivi principali derivano da software legittimi che embeddano AutoIT come installer (alcuni driver di stampanti, tool di deployment interno, script IT di helpdesk). Per gestirli, il SOC dovrebbe mantenere una allowlist basata su hash SHA-256 degli eseguibili approvati, integrata con verifica della firma digitale. Un secondo controllo utile è la Constrained Language Mode di PowerShell (nativa Windows) applicata a utenti non amministratori tramite Set-ExecutionPolicy AllSigned, che riduce le catene ibride VBA-PowerShell-AutoIT.

L'analisi forense di un incidente T1059.010 si sviluppa lungo tre assi: artefatti di esecuzione, artefatti di persistenza e residui degli script.

Sul primo asse, il Prefetch di Windows (C:\Windows\Prefetch\) è la fonte più immediata: file come AUTOIT3.EXE-<HASH>.pf e AUTOHOTKEY.EXE-<HASH>.pf confermano l'esecuzione con timestamp, run count e path del binario. Il parser PECmd di Eric Zimmerman (open source) estrae questi metadati con:

*PECmd.exe -d C:\Windows\Prefetch --csv output*

Le ShimCache (AppCompatCache) e AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) forniscono evidenza aggiuntiva di esecuzione anche in assenza di Prefetch. Il tool AmcacheParser (open source, sempre della suite Zimmerman) estrae hash SHA-1 degli eseguibili, utili per confrontare campioni con VirusTotal (freemium) o repository interni di threat intelligence.

Sul secondo asse, la persistenza tramite AutoIT/AHK sfrutta tipicamente le chiavi Run del registro:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run HKLM\Software\Microsoft\Windows\CurrentVersion\Run

oltre alla cartella Startup di utente. La strumentazione RegRipper (open source) automatizza l'estrazione con plugin run e soft_run. I task pianificati (C:\Windows\System32\Tasks\) rappresentano un secondo vettore, analizzabile in XML.

Sul terzo asse, gli script .au3 e .ahk vengono spesso rilasciati in %APPDATA%, %LOCALAPPDATA%\Temp o cartelle nascoste. Nel caso DarkGate, il file test.au3 è un IOC diretto. Quando lo script è compilato in .exe, il decompiler myAut2Exe (open source) ricostruisce il sorgente originale, mentre Exe2Aut (open source) è un'alternativa specifica per binari AutoIT. Per script AHK compilati, il tool UnAHK e le versioni recenti di Detect It Easy permettono estrazione delle risorse embedded.

La timeline dell'incidente si costruisce correlando: MFT ($MFT) con il tool MFTECmd (open source) per timestamp di creazione dei file .au3, UserAssist del registro NTUSER.DAT per esecuzioni interattive, Sysmon EventLog archiviato in %SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx per la sequenza padre-figlio, e Windows Defender Operational Log per eventuali detection parziali.

Sul fronte D3FEND, gli artefatti prioritari sono Process, File, User Account e Network Traffic (per correlare l'attività dello script con connessioni C2). L'analisi di memoria con Volatility 3 (open source) tramite i plugin windows.pslist, windows.cmdline e windows.malfind permette di estrarre payload iniettati anche quando lo script sorgente è stato cancellato. Per campagne come XLoader e Lumma Stealer, la memoria del processo interprete contiene spesso il payload decifrato in chiaro, recuperabile con windows.dumpfiles.

Il profilo strategico di T1059.010 mostra un uso concentrato in due macro-categorie: APT statuali con finalità di spionaggio e crimeware commerciale (stealer, RAT-as-a-service).

APT39 (G0087) rappresenta l'unico gruppo APT censito nei dati MITRE per questa tecnica. Il gruppo è noto per operazioni di raccolta informativa condotte tramite documenti Microsoft Office con script AutoIT embedded o link malevoli. La scelta di AutoIT si allinea con la strategia di living-off-the-land del gruppo, che privilegia strumenti a bassa detection rate rispetto a payload custom facilmente attribuibili.

Sul versante crimeware, i dati censiscono cinque famiglie. Lumma Stealer (S1213) è uno dei più diffusi info-stealer del mercato underground, distribuito come Malware-as-a-Service e utilizzato in campagne massive di credential theft. L'adozione di AutoIT permette agli affiliati di generare varianti compilate con basso rilevamento. DarkGate (S1111) è un loader modulare che rilascia lo script test.au3 in directory nascoste durante l'installazione iniziale, comportamento IOC utilizzabile per hunting.

XLoader (S1207), evoluzione di Formbook, utilizza AutoIT per decifrare il payload, caricarlo in memoria ed eseguirlo, tecnica che combina evasione statica (payload cifrato su disco) e dinamica (esecuzione tramite interprete firmato). OutSteel (S1017) è interamente sviluppato in AutoIT ed è stato osservato in campagne mirate a organizzazioni ucraine nel contesto del conflitto in corso, con attribuzione a cluster di threat actor allineati a interessi russi. Melcoz (S0530), infine, è distribuito tramite loader AutoIT ed è attivo prevalentemente in America Latina con focus su credenziali bancarie.

Il pattern geografico che emerge è ampio: APT39 copre Medio Oriente e Nord America, OutSteel insiste sull'area dell'Europa orientale, Melcoz sull'America Latina, mentre Lumma, DarkGate e XLoader hanno diffusione globale attraverso ecosistemi criminali affiliati. Il tool overlap è significativo: tutte le famiglie sfruttano la compilazione con Aut2Exe e la distribuzione tramite phishing con documenti Office o archivi ZIP protetti da password.

Il trend osservabile è un aumento dell'adozione di AutoIT come first-stage loader nel modello MaaS. La ragione è economica: gli sviluppatori di stealer possono generare rapidamente varianti offuscate senza reimplementare la logica di evasione, delegando all'interprete firmato la superficie di trust. Per un CTI officer, il monitoraggio di forum underground e marketplace per builder AutoIT/AHK personalizzati costituisce indicatore predittivo di nuove campagne. La priorità di threat modeling dovrebbe includere scenari con catena Office → AutoIT → Injection, oggi il pattern dominante.

MITRE ATT&CK T1059.010, tattica TA0002. Gruppi: G0087 (APT39). Software: S0530, S1017, S1111, S1207, S1213. Mitigazione M1038. Detection Strategy DET0332 con analitica AN0942. Framework MITRE D3FEND per artefatti digitali e tecniche difensive. Per comandi operativi, tool di analisi (Zimmerman Tools, Volatility, myAut2Exe, PECmd, RegRipper, Detect It Easy) e procedure forensi è stata integrata conoscenza professionale di cybersecurity con verifica della disponibilità pubblica dei tool citati.