Pulizia Cronologia di Rete: Clear Network Connection History and Configurations (T1070.007)

In un ingaggio red team, la simulazione di T1070.007 avviene tipicamente al termine della fase di lateral movement, per validare la capacità del blue team di rilevare tentativi di cleanup. L'approccio deve essere lab-safe: mai eseguire cancellazioni distruttive su sistemi di produzione senza rollback documentato.

Su Windows, la cronologia RDP viene rimossa agendo sulle chiavi di registro dell'utente. Un red teamer può usare reg.exe nativo per simulare l'attività:

reg delete "HKCU\Software\Microsoft\Terminal Server Client\Default" /va /f

reg delete "HKCU\Software\Microsoft\Terminal Server Client\Servers" /f

Parallelamente, la cache bitmap va eliminata dalla directory *%LOCALAPPDATA%\Microsoft\Terminal Server Client\Cache*, insieme al file Default.rdp nella cartella Documenti. Per le regole firewall create durante l'attività C2, netsh advfirewall firewall delete rule name="NomeRegola" riproduce fedelmente il comportamento di SUNBURST.

Su Linux, la simulazione tocca i log SSH e la history della shell. Le tecniche osservate in scenari reali includono truncate selettivo (truncate -s 0 /var/log/auth.log), rimozione mirata di righe con sed -i '/attacker_ip/d' /var/log/auth.log, e cancellazione della bash history con unset HISTFILE; history -c. Per il firewall, iptables -F o nft flush ruleset rimuovono le regole aggiunte.

Su macOS, il flush selettivo dell'Unified Log è più complesso perché il sistema non permette editing diretto, ma un attaccante con root può rimuovere i file .tracev3 in /var/db/diagnostics/. Comandi come sudo pfctl -F all azzerano lo stato del packet filter.

Per ambienti di lab, strumenti utili includono Atomic Red Team (open source) del progetto Red Canary, che fornisce test atomici mappati direttamente su T1070.007, e Caldera (open source) di MITRE per orchestrare catene complete. Sysmon (gratuito) va installato preventivamente sulle macchine target per verificare che gli eventi di cleanup siano effettivamente catturati prima della cancellazione.

Un pattern realistico da riprodurre è quello di UNC3886 nella campagna RedPenguin: dopo aver stabilito l'accesso, l'operatore cancella selettivamente solo le entry di log contenenti il proprio IP sorgente, lasciando intatto il resto per non generare gap sospetti. Questo comportamento chirurgico va simulato con script che parsano i log e rimuovono singole righe, non con truncate massivi facilmente rilevabili.

La detection di T1070.007 si basa sull'osservazione di comandi di cleanup e modifiche a chiavi di registro o file di log specifici. Il framework D3FEND mappa questa tecnica principalmente a controlli di tipo File Analysis e Process Analysis, con artefatti digitali chiave rappresentati da chiavi di registro, file di log e comandi shell.

Su Windows, la telemetria fondamentale arriva da Sysmon (gratuito) con Event ID 12/13/14 per modifiche al registro e Event ID 1 per process creation. La regola base cattura processi come reg.exe, powershell.exe o cmd.exe che accedono in scrittura a percorsi contenenti Terminal Server Client. Va combinata con Event ID 4663 del Security log (audit di file system) puntato su %USERPROFILE%\Documents\Default.rdp e sulla cache RDP. La rilevazione AN0133 suggerisce di correlare command execution, registry deletion e firewall changes in una finestra temporale ristretta rispetto ad attività di connessione remota sospetta.

Un secondo asse è la modifica delle regole firewall. Event ID 4947, 4948 e 4950 del Security log tracciano add/delete di regole Windows Firewall. Un pattern SUNBURST-like si manifesta come sequenza: creazione regola, breve traffico anomalo, cancellazione regola nell'arco di minuti. Questa correlazione temporale è il segnale più forte, molto più della singola cancellazione.

Su Linux, auditd (open source) è il pilastro. Regole consigliate:

-w /var/log/auth.log -p wa -k log_tamper

-w /root/.bash_history -p wa -k history_tamper

-a always,exit -F arch=b64 -S unlink,unlinkat,truncate -F dir=/var/log -k log_delete

La detection AN0134 enfatizza pattern come > /var/log/auth.log, rm ~/.bash_history e iptables -F eseguiti in prossimità temporale a sessioni SSH. La correlazione con SSH login events (PAM o journalctl) riduce drasticamente i falsi positivi.

Su macOS (AN0135), l'Unified Log tramite log stream o log show è la fonte primaria. Va monitorata la scomparsa di eventi da subsystem come com.apple.RemoteManagement e com.apple.UTun, oltre a esecuzioni di pfctl -F all.

Per network device (AN0136), i syslog dei router e switch devono essere forwardati esternamente in tempo reale. Comandi come clear logging, no logging buffered o write erase su piattaforme Cisco IOS/JunOS sono ad alto valore, specialmente dopo sessioni SSH da IP non canonici.

I falsi positivi principali provengono da attività amministrativa legittima (script di manutenzione, rotazione log custom) e da software di privacy cleaning. La strategia efficace è baseline per host e user context: cleanup da account SYSTEM o service account non interattivi è quasi sempre sospetto, come evidenziato dal tuning UserContext della detection AN0133.

L'analisi forense di T1070.007 richiede di lavorare sul negativo: ricostruire ciò che è stato rimosso partendo da artefatti residui, copie shadow e telemetria esterna. Il framework D3FEND identifica come artefatti primari i log file, le chiavi di registro e i configuration file, tutti soggetti a manipolazione ma spesso recuperabili tramite fonti secondarie.

Su Windows, la prima fonte di ricostruzione RDP è il registro NTUSER.DAT dell'utente sospetto, analizzabile con Registry Explorer (gratuito) di Eric Zimmerman. Anche dopo cancellazione delle sottochiavi di Terminal Server Client, le Volume Shadow Copies possono conservare versioni precedenti: vssadmin list shadows seguito da mount della shadow permette di estrarre l'hive precedente. La cache bitmap RDP in *AppData\Local\Microsoft\Terminal Server Client\Cache* contiene file .bmc e Cache0000.bin che, se non azzerati, sono ricostruibili in immagini visive con BMC-Tools (open source) di ANSSI, rivelando frammenti degli schermi remoti visualizzati.

Secondo pilastro sono i Windows Event Log. Anche se l'attaccante cancella entry specifiche, la correlazione con log forwardati a SIEM esterno permette di identificare gap. Event ID 1102 (Security log cleared) e 104 (System log cleared) sono red flag diretti. Il journal USN ($UsnJrnl:$J) e la Master File Table ($MFT) sono ulteriori fonti: la deletion di Default.rdp lascia record nel journal analizzabili con MFTECmd (gratuito).

Su Linux, la timeline forense si costruisce da fonti multiple. Se /var/log/auth.log è stato truncato o editato, i file ruotati (auth.log.1, .2.gz) possono contenere ancora tracce. Il journal di systemd-journald (/var/log/journal/) è più difficile da alterare selettivamente e va sempre estratto con journalctl --file. La wtmp, utmp e btmp in /var/log/ tracciano login e sono analizzabili con last -f, lastb -f. Se l'attaccante ha usato SSH, i timestamp di ~/.ssh/known_hosts e la presenza di chiavi in authorized_keys sopravvivono spesso alla pulizia dei log.

La campagna RedPenguin documenta un caso emblematico: UNC3886 ha usato impianti su router Juniper per cancellare log di accesso non autorizzato ai dispositivi Junos OS. In questi scenari, la fonte forense primaria diventa il syslog centralizzato esterno al dispositivo compromesso, coerentemente con la mitigazione M1029 (Remote Data Storage). La lezione operativa è chiara: senza remote logging, la ricostruzione della timeline su appliance compromesse diventa quasi impossibile.

Anche Volt Typhoon applica lo stesso pattern chirurgico, ispezionando i log server e rimuovendo solo le entry con i propri IP. Il forensic analyst deve quindi cercare non solo cosa manca, ma incongruenze di continuità: sequenze di ID evento non consecutive, gap temporali in log ad alto volume, o discrepanze tra log locali e copie inoltrate a collector remoti.

Il panorama degli attori che impiegano T1070.007 è dominato da APT ad alta maturità operativa, focalizzati su persistenza a lungo termine e sfuggevolezza. Due profili documentati emergono con chiarezza dai dati MITRE.

Volt Typhoon (G1017) è un gruppo attribuito ad attività di espionage con focus su infrastrutture critiche, noto per un approccio living-off-the-land estremo che riduce al minimo l'uso di malware custom. Il pattern osservato per T1070.007 è coerente con la sua filosofia operativa: ispezione manuale dei log server e rimozione selettiva degli IP dell'attaccante. Questo comportamento riflette la volontà di massimizzare il dwell time su reti target senza generare gap evidenti nei log. La sofisticazione sta nella chirurgia: non truncate, non cancellazioni massive, ma editing puntuale che presuppone accesso privilegiato e tempo di permanenza sul sistema.

UNC3886 (G1048) condivide filosofia simile ma opera con maggiore automazione. La cancellazione di eventi contenenti l'IP del threat actor da multiple fonti di log suggerisce l'uso di script o impianti dedicati che parsano i log e rimuovono match specifici. La campagna RedPenguin (C0056), condotta tra luglio 2024 e marzo 2025 contro router Juniper MX Series, mostra questa capacità applicata a dispositivi di rete: impianti basati su varianti custom del backdoor pubblico TINYSHELL includevano funzionalità di log deletion mirata su Junos OS. Il target su appliance di rete è strategico perché questi dispositivi hanno telemetria forense limitata, spesso non forwardano log esternamente e sono raramente soggetti a EDR.

Sul fronte software, SUNBURST (S0559) rappresenta l'implementazione più nota di T1070.007 in un supply chain attack. Il codice includeva routine specifiche per rimuovere le regole firewall create durante l'esecuzione, minimizzando le tracce di configurazione lasciate dal C2. Questo pattern è stato successivamente adottato in numerosi framework offensive.

Il trend emergente è la specializzazione della tecnica su network appliance. Router, VPN gateway e switch sono target preferenziali perché combinano posizione strategica per il pivoting, telemetria forense debole e cicli di patching lunghi. La mitigazione M1029 (Remote Data Storage) diventa cruciale in questo contesto: senza log forwarding verso collector esterni immutabili, la visibilità post-compromissione su questi dispositivi è nulla.

Geograficamente, gli attori documentati sono associati a operazioni di espionage sponsorizzate. Il pattern d'uso convergente — cleanup chirurgico, focus su appliance di rete, uso di impianti custom su backdoor pubblici — suggerisce una condivisione di TTP tra gruppi, sia per emulazione sia per potenziali overlap infrastrutturali. Per il CISO, l'implicazione strategica è che l'assunzione di compromissione va estesa oltre l'endpoint tradizionale, includendo l'intero perimetro di rete come area di visibilità forense obbligata.

MITRE ATT&CK T1070.007, gruppi G1017 (Volt Typhoon) e G1048 (UNC3886), software S0559 (SUNBURST), campagna C0056 (RedPenguin), mitigazioni M1024 e M1029, detection DET0049 (AN0133-AN0136). Framework MITRE D3FEND per mapping difensivo su File Analysis e Process Analysis. Integrazione con conoscenza professionale per tool di detection (Sysmon, auditd, Atomic Red Team, Caldera, Registry Explorer, MFTECmd, BMC-Tools) e sintassi comandi operativi verificati su documentazione ufficiale dei rispettivi progetti.