Esecuzione Automatica all'Avvio: Boot or Logon Autostart Execution (T1547)
La tecnica T1547 raggruppa tutti i meccanismi che i sistemi operativi offrono per eseguire automaticamente programmi al boot della macchina o al logon di un utente. Gli attaccanti sfruttano queste funzionalità legittime — chiavi di Registro come Run e RunOnce, cartelle Startup, servizi systemd, LaunchAgent macOS, estensioni del kernel — per garantirsi persistenza attraverso reboot e cambi di credenziali, e in molti casi per ottenere anche un'escalation di privilegi quando l'autostart viene eseguito in contesto SYSTEM o root.
MITRE ATT&CK colloca questa tecnica in due tattiche complementari: TA0003 (Persistence), poiché l'obiettivo primario è mantenere l'accesso al sistema compromesso, e TA0004 (Privilege Escalation), perché diversi meccanismi di autostart operano con privilegi elevati che consentono all'attaccante di ereditare quel contesto di esecuzione. Nella kill chain la tecnica si posiziona subito dopo l'Initial Access e l'Execution iniziale, come consolidamento del foothold.
L'impatto operativo è significativo: i dati MITRE mappano su T1547 almeno 5 famiglie malware documentate (Misdat, Mis-Type, Dtrack, BoxCaon, xCaon) e il gruppo iraniano APT42, con pattern che spaziano dalla modifica di Active Setup Installed Components alla scrittura della chiave Windows\load per l'esecuzione a ogni logon utente. Le sotto-tecniche coprono almeno quindici varianti diverse, rendendo T1547 uno dei pilastri della persistenza cross-platform osservata in scenario reale.
In un ingaggio red team, T1547 è il meccanismo più affidabile per consolidare un foothold dopo l'esecuzione del payload iniziale. La scelta della sotto-tecnica dipende dal contesto di privilegio ottenuto e dal profilo di detection dell'ambiente target.
Su Windows, con privilegi utente standard, la via più discreta resta la scrittura di una chiave Run in HKCU. Il comando nativo è reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v Updater /t REG_SZ /d "C:\Users\Public\payload.exe" /f. Se si dispone di privilegi amministrativi, HKLM offre persistenza indipendente dall'utente, e chiavi meno monitorate come Active Setup\Installed Components — pattern osservato in Misdat e Mis-Type — permettono esecuzione al primo logon di ogni utente. Una variante meno rumorosa è la chiave Windows\load usata da BoxCaon e xCaon, che sopravvive a molti sweep automatici perché meno nota rispetto a Run/RunOnce.
Per emulare APT42, Atomic Red Team (open source) fornisce test allineati a T1547.001 con payload PowerShell che scrivono chiavi di persistenza controllate. Il framework Sliver (open source) e Cobalt Strike (a pagamento) includono moduli persistence che automatizzano la selezione del vettore autostart in base al contesto di privilegio corrente.
Su Linux, la creazione di un servizio systemd utente non richiede root: basta scrivere un file .service in ~/.config/systemd/user/ e attivarlo con systemctl --user enable nome.service. Con privilegi root, il file va in /etc/systemd/system/ e ottiene esecuzione al boot. Le tecniche classiche via ~/.bashrc, ~/.profile o cron rimangono valide ma più esposte a controlli baseline.
Su macOS, LaunchAgent utente in ~/Library/LaunchAgents/ eseguono al logon senza richiedere privilegi elevati; LaunchDaemon in /Library/LaunchDaemons/ richiedono root ma girano al boot. Il file plist deve dichiarare RunAtLoad e ProgramArguments; l'attivazione avviene con launchctl load seguito dal path del plist.
In laboratorio, Caldera (open source) di MITRE consente di orchestrare catene multi-stadio dove T1547 segue una fase di Execution iniziale, verificando che il meccanismo sopravviva a reboot simulati. Per validare la scelta del vettore contro le detection reali, Sysmon (open source) con configurazione SwiftOnSecurity permette di osservare in tempo reale quali EventCode vengono generati dalle proprie azioni, così da calibrare il livello di rumore prima di replicare su target di produzione.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.