Furto Appunti: Clipboard Data (T1115)

In un esercizio red team la raccolta clipboard è tra i moduli di post-exploitation più semplici da implementare e permette di ottenere credenziali che altrimenti richiederebbero keylogging o dump di memoria. Su Windows il comando base è Get-Clipboard in PowerShell, che restituisce il contenuto testuale corrente. Per monitoraggio continuo si può creare un loop:

while($true) { Get-Clipboard | Out-File -Append C:\Users\Public\clip.log; Start-Sleep -Seconds 5 }

Un approccio più stealth passa dalle API native tramite P/Invoke, chiamando OpenClipboard, GetClipboardData con formato CF_UNICODETEXT (valore 13) e CloseClipboard. Questa strada evita l'esecuzione di binari sospetti come clip.exe e riduce la superficie di detection basata su command line.

Su Linux il tooling dipende dal server grafico. Per X11 si usa xclip -selection clipboard -o (open source) oppure xsel --clipboard --output (open source). Su Wayland il comando equivalente è wl-paste dal pacchetto wl-clipboard (open source). Uno script minimale di raccolta:

while true; do xclip -selection clipboard -o >> /tmp/.cache/clip.txt; sleep 3; done

Su macOS il comando nativo è pbpaste, che stampa il contenuto degli appunti su stdout. Anche qui un loop shell con sleep è sufficiente per raccogliere dati nel tempo, benché per operazioni serie convenga registrare un observer NSPasteboard in Objective-C o Swift che notifichi solo quando il changeCount incrementa.

Sul fronte framework, Empire (open source, ora mantenuto da BC Security) include moduli di clipboard harvesting cross-platform, mentre SILENTTRINITY (open source) utilizza System.Windows.Forms.Clipboard.GetText() tramite il runtime .NET embedded in Boo. Koadic (open source, non più attivamente mantenuto) espone un comando clipboard nella sua CLI. Per simulare la variante di manipulation typica di banking trojan come Metamorfo, si può scrivere un semplice PowerShell che intercetta pattern regex di wallet crittografici e li sostituisce via Set-Clipboard.

Una catena d'attacco realistica combina initial access via phishing, esecuzione di un loader che avvia il modulo clipboard in background, staging in file nascosti (ADS su Windows o directory dot su Unix), e infine esfiltrazione HTTPS verso un C2. Durante le esercitazioni è essenziale isolare la macchina test e usare wallet o credenziali fittizie per non contaminare dati reali.

La detection della tecnica T1115 poggia su tre pilastri: monitoraggio dell'uso delle API clipboard, correlazione tra processi anomali e chiamate a utility di sistema, e analisi delle catene di esecuzione che seguono l'accesso al buffer. La regola AN0965 per Windows suggerisce di allertare quando clip.exe o Get-Clipboard vengono invocati da parent process non interattivi, tipicamente servizi, task scheduler o processi figli di w3wp.exe e altri worker web.

La fonte primaria è Sysmon (open source, Microsoft) con EventID 1 per process creation e, cruciale per questa tecnica, EventID 24 che intercetta specificamente le operazioni di ClipboardChange quando la configurazione include . Una regola Sigma efficace correla Image terminanti in clip.exe o powershell.exe con CommandLine contenente Get-Clipboard, filtrando i ParentImage legittimi come explorer.exe o gli IDE di sviluppo.

Su macOS la regola AN0966 si basa su unified logs accessibili via log show --predicate 'process == "pbpaste"' --last 1h. L'indicatore chiave è l'assenza di sessione TTY collegata: un pbpaste invocato da un launch agent o da un processo daemonizzato è altamente sospetto. osquery (open source) con la tabella processes joinata su process_open_files aiuta a costruire il contesto padre-figlio.

Su Linux la regola AN0967 consuma eventi auditd:SYSCALL. Una regola auditctl mirata è -w /usr/bin/xclip -p x -k clipboard_read affiancata da monitoraggio di xsel. Il segnale forte arriva dalla correlazione temporale: se entro pochi secondi dall'invocazione di xclip compaiono processi base64, gzip, curl o scp, la probabilità di esfiltrazione cresce sensibilmente. Falco (open source, CNCF) permette di scrivere regole YAML che combinano queste condizioni in un'unica alert.

I falsi positivi più frequenti derivano da password manager (KeePass, Bitwarden, 1Password) che accedono legittimamente al clipboard, tool di sviluppo come Visual Studio Code, applicazioni di screen capture, e utility di produttività come Ditto o Alfred. Una whitelist basata su hash o firma digitale del binario padre riduce drasticamente il rumore.

Per il tuning consiglio finestre temporali di correlazione tra 30 e 120 secondi, distinzione netta tra utenti service e interactive tramite il campo LogonType, e mantenimento di una lista dinamica dei parent process approvati per contesto (workstation sviluppatori vs server produzione vs postazioni finanza).

L'analisi forense della tecnica T1115 presenta una sfida strutturale: il clipboard è un buffer volatile in memoria, e senza acquisizione tempestiva della RAM il contenuto originale è irrecuperabile. La strategia investigativa si sposta quindi sugli artefatti derivati, sui log di esecuzione dei tool utilizzati e sui file di staging in cui il malware persiste le catture.

Su Windows la timeline parte dai Sysmon EventID 1 per identificare l'invocazione di clip.exe, powershell.exe con Get-Clipboard o binari custom. Volatility 3 (open source) e MemProcFS (open source) permettono, se il memory dump è disponibile, di estrarre il contenuto della clipboard tramite il plugin clipboard che parsifica la struttura win32k!gpWinSta. Gli Amcache.hve e ShimCache confermano l'esecuzione storica di eseguibili sospetti, mentre i Prefetch files in C:\Windows\Prefetch forniscono timestamp di prima e ultima esecuzione. Il registro HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU e i log PowerShell ScriptBlock (EventID 4104 in Microsoft-Windows-PowerShell/Operational) rivelano comandi obfuscati che manipolano il clipboard.

I file di staging tipici includono percorsi come %APPDATA%\Local\Temp, C:\Users\Public o Alternate Data Stream. Strumenti come streams.exe (gratuito, Sysinternals) o NTFS-Streams aiutano a enumerare gli ADS. KAPE (gratuito per uso non commerciale, Kroll) con target EvidenceOfExecution automatizza la raccolta dei principali artefatti in pochi minuti.

Su Linux la timeline si costruisce da auditd in /var/log/audit/audit.log, dai file di history ~/.bash_history e ~/.zsh_history, e da journald interrogato con journalctl --since. I file di staging spesso finiscono in /tmp, /dev/shm o directory dot nascoste nella home utente. Plaso/log2timeline (open source) consolida queste sorgenti in una supertimeline navigabile con Timesketch.

Su macOS i unified logs estratti con log collect preservano l'invocazione di pbpaste. Il file ~/Library/Preferences/com.apple.HIToolbox.plist e le quarantine extended attributes com.apple.quarantine aggiungono contesto sull'origine dei binari. mac_apt (open source) è il framework di riferimento per parsing automatizzato.

Un caso di riferimento è la campagna Operation Wocao (C0014), attribuita ad attori cinesi tra dicembre 2017 e dicembre 2019, in cui la raccolta di clipboard in plaintext è stata documentata contro organizzazioni governative e MSP in Brasile, Cina, Francia, Germania, Italia, Messico, Portogallo, Spagna, Regno Unito e Stati Uniti. La sovrapposizione TTP con APT20 è un elemento utile per attribuzione. La timeline forense deve includere anche l'analisi delle connessioni C2 successive alla raccolta, perché il valore probatorio della catena completa (collection → staging → exfiltration) è ciò che regge in sede legale.

La tecnica T1115 è adottata trasversalmente da attori con motivazioni molto diverse, dallo spionaggio statale al cybercrime finanziario, il che ne fa un indicatore comportamentale poco discriminante per attribuzione ma estremamente utile come componente di un pattern più ampio.

OilRig (G0049), attore riconducibile all'ecosistema iraniano e specializzato in operazioni contro il settore energetico e governativo mediorientale, integra la raccolta clipboard in infostealer distribuiti come parte di catene di intrusione multi-stadio. Il tool Helminth (S0170) contiene un modulo dedicato al logging del clipboard, coerente con la postura di raccolta prolungata tipica del gruppo.

APT38 (G0082), sottogruppo del cluster nordcoreano Lazarus con focus su rapine finanziarie contro banche e sistemi SWIFT, utilizza il trojan KEYLIME per la raccolta clipboard. Questa capacità è funzionale al furto di credenziali bancarie operative e di codici temporanei che transitano negli appunti durante le sessioni di lavoro degli operatori bancari.

APT39 (G0087), altro attore iraniano orientato alla sorveglianza di individui e settori telco e travel, dispone di strumenti che rubano il contenuto del clipboard come parte del profiling delle vittime, tipicamente giornalisti, dissidenti e figure di interesse per intelligence domestica.

Sul fronte cybercrime, il panorama è dominato da banking trojan latinoamericani della famiglia Tetrade: Metamorfo (S0455), Mispadu (S1122), Grandoreiro (S0531) e Melcoz (S0530) implementano non solo la lettura ma anche la sostituzione del clipboard per dirottare pagamenti in criptovaluta. DarkGate (S1111) e DarkTortilla (S1066) rappresentano la generazione più recente di loader modulari con clipboard stealer integrato o scaricabile on-demand.

La campagna Operation Wocao (C0014), attiva tra dicembre 2017 e dicembre 2019, è un caso studio significativo: attori sospettati di essere basati in Cina, con TTP sovrapponibili ad APT20, hanno colpito organizzazioni in dieci paesi tra Europa, Americhe e Asia, spaziando dal governo all'aviazione, dall'energia alla sanità. La raccolta di clipboard in chiaro faceva parte di una strategia di collection ad ampio spettro, coerente con obiettivi di spionaggio economico e industriale.

Il trend più rilevante è la migrazione della tecnica verso il cybercrime finanziario: mentre gli APT la usano come componente accessoria di suite di spionaggio, i trojan bancari e i loader commodity ne fanno un elemento core per la monetizzazione diretta tramite dirottamento di transazioni crypto. La proliferazione di password manager e wallet software ha reso il clipboard un obiettivo ad alto valore, e la disponibilità di moduli pronti in framework open source abbassa drasticamente la barriera d'ingresso per attori meno sofisticati.

Dati tecnici e attribuzioni da MITRE ATT&CK (tecnica T1115, gruppi G0049, G0082, G0087, campagna C0014 Operation Wocao) e mapping detection MITRE D3FEND (AN0965, AN0966, AN0967). Per comandi operativi, tool di detection (Sysmon, Volatility, Falco, KAPE, osquery, Empire, SILENTTRINITY) e artefatti forensi è stata integrata conoscenza professionale di cybersecurity basata su documentazione ufficiale dei rispettivi progetti open source e vendor.