Cancellazione Persistenza: Clear Persistence (T1070.009)
La tecnica T1070.009 - Clear Persistence descrive l'attività con cui un attaccante rimuove gli artefatti lasciati sul sistema per garantirsi l'accesso continuativo, cancellando servizi, chiavi di registro, task pianificati, file plist, binari o account creati appositamente. L'obiettivo è tagliare i fili che collegano la presenza persistente all'attività malevola, complicando il lavoro di chi cerca indicatori di compromissione a posteriori.
La tecnica ricade nella tattica TA0005 (Defense Evasion) e si colloca nelle fasi finali della kill chain, tipicamente durante il post-exploitation o subito prima dell'abbandono controllato dell'host. Non è raro che la cancellazione avvenga anche in fase intermedia: alcune famiglie malware rimuovono la persistenza iniziale dopo che il payload di seconda fase ha stabilito un meccanismo alternativo, evitando conflitti o duplicati di esecuzione.
I dati MITRE censiscono 15 famiglie di software che implementano nativamente questa capacità, coprendo un ampio spettro operativo: RAT commerciali come njRAT e PlugX, loader ransomware come Bazar, impianti sofisticati di supply chain come SUNBURST, fino a strumenti recenti come Raspberry Robin e Kapeka. Le mitigazioni disponibili sono limitate a due controlli: restrizione dei permessi filesystem (M1022) e centralizzazione dei log su storage remoto (M1029), quest'ultima particolarmente critica perché sposta l'evidenza fuori dalla portata dell'attaccante prima che possa manometterla.
In un ingaggio red team la simulazione di Clear Persistence si integra tipicamente nella fase di cleanup, ma può essere anche eseguita in modo dimostrativo per validare le capacità di detection del blue team. L'approccio corretto è documentare ogni artefatto creato durante l'attività e replicare le tecniche di rimozione usate dalle famiglie malware reali.
Su Windows, la rimozione di persistenza tramite chiavi di registro Run/RunOnce si ottiene con reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v NomeChiave /f. Per servizi malevoli il comando standard è sc delete NomeServizio dopo aver arrestato il servizio con sc stop. I task pianificati si rimuovono con schtasks /delete /tn "\Microsoft\Windows\NomeTask" /f, tecnica utilizzata da Bazar e GrimAgent per pulire le tracce dei propri scheduler. Per emulare SUNBURST è utile testare la rimozione delle Image File Execution Options con reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options<binario>" /f.
Su Linux i vettori tipici includono la rimozione di unit systemd con rm /etc/systemd/system/servizio.service seguito da systemctl daemon-reload, la pulizia di crontab con crontab -r o l'editing selettivo di /etc/crontab, e la cancellazione di account creati per persistenza con userdel -r nomeutente. Vale la pena testare anche la rimozione di righe da ~/.bashrc, /etc/rc.local e degli script in /etc/init.d/.
Su macOS la rimozione dei LaunchAgent/LaunchDaemon avviene con launchctl unload ~/Library/LaunchAgents/com.apt.plist seguito da rm del file plist. Su ESXi il pattern osservato include cancellazione di righe da /etc/rc.local.d/local.sh e rimozione di cron injection tramite sed -i '/pattern/d'.
Per orchestrare in modo realistico queste catene sono utili framework come Atomic Red Team (open source), che include test atomici specifici per T1070.009, e Caldera (open source) di MITRE per emulazione automatizzata. Sliver (open source) e Mythic (open source) come C2 permettono di scriptare cleanup routine post-operazione. Per l'analisi statica dei sample e la comprensione dei meccanismi di auto-cleanup implementati da famiglie come PlugX o Kapeka sono indispensabili Ghidra (open source) e IDA Free (gratuito).
Ricorda di mantenere log dettagliati di ogni artefatto creato e rimosso, condivisi con il blue team al termine dell'esercizio: la mancata cancellazione completa in produzione è essa stessa un IoC utile.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo