Abuso di CMSTP: Connection Manager Profile Installer (T1218.003)

In un ingaggio red team, l'abuso di CMSTP.exe è una delle tecniche LOLBin più affidabili per bypassare application control basato su whitelist di firma Microsoft. La catena richiede due elementi: un file INF costruito ad hoc con sezioni che invocano il metodo RunPreSetupCommandsSection, e opzionalmente uno scriptlet COM (SCT) ospitato su infrastruttura controllata.

Un INF minimale contiene tipicamente le sezioni [Version], [DefaultInstall_SingleUser] e la chiave RunPreSetupCommands che elenca i comandi da eseguire prima dell'installazione del profilo. La sintassi osservata in campo, coerente con quella usata da Cobalt Group, è:

cmstp.exe /s /ns C:\Users\ADMINI~W\AppData\Local\Temp\XKNqbpzl.txt

Il flag /s esegue in modalità silent, mentre /ns sopprime la creazione della connessione di rete effettiva. L'estensione del file passato non deve necessariamente essere .inf: CMSTP interpreta il contenuto in base alla struttura, il che facilita l'evasione di controlli basati su estensione.

Per il vettore UAC bypass, sfruttato da LockBit 3.0 quando privo di privilegi amministrativi, si abusa dell'interfaccia COM auto-elevata CMSTPLUA (GUID {3E5FC7F9-9A51-4367-9063-A120244FBEC7}). L'attaccante istanzia l'oggetto tramite moniker Elevation:Administrator!new: e invoca metodi come ShellExec per lanciare processi elevati senza prompt. In laboratorio, il proof-of-concept storico di Oddvar Moe documentato nel repository LOLBAS (open source) fornisce esempi completi di INF weaponizzati.

Un workflow operativo tipico prevede:

1. Generazione dell'INF con payload embedded (comando PowerShell base64 o download-and-execute)
2. Consegna via spearphishing o drop post-exploitation in %TEMP% o %APPDATA%
3. Esecuzione di cmstp.exe /s <path.inf> dal contesto utente
4. Opzionalmente, chaining con scriptlet COM remoto per ridurre l'artefatto locale

Per la simulazione red team, strumenti come Atomic Red Team (open source) includono test coverage per T1218.003 con INF template pronti all'uso. Covenant (open source) e Cobalt Strike (a pagamento) supportano l'esecuzione tramite CMSTP nei propri moduli di execution. Per validare l'UAC bypass, il tool UACME di hfiref0x (open source) implementa numerose varianti CMSTP-based catalogate come metodi #41 e successivi.

Raccomandazioni lab-safe: opera solo in VM isolate, non pubblicare gli SCT su hosting reali ma su listener locali via python3 -m http.server (open source), e rimuovi gli INF residui dopo il test.

La detection di T1218.003 ruota attorno a un principio semplice: cmstp.exe ha uso legittimo estremamente raro negli ambienti enterprise moderni, dove i profili VPN vengono distribuiti via GPO o soluzioni MDM. Ogni esecuzione del binario merita quindi triage, e la regola DET0328 di MITRE conferma questo approccio focalizzandosi su argomenti sospetti, connessioni di rete conseguenti e attività COM auto-elevata.

Le log source primarie sono Sysmon (open source) e il canale nativo Microsoft-Windows-PowerShell/Operational. Su Sysmon, l'EventID 1 (Process Creation) è il pilastro: filtrare Image che termina con cmstp.exe e ispezionare CommandLine per pattern come /s, /ns, path in %TEMP%, %APPDATA%, \Users\Public\ o riferimenti a estensioni non standard (.txt, .log, .dat) usate come camouflage per INF. Il campo ParentImage è discriminante: parent come winword.exe, excel.exe, outlook.exe o mshta.exe indicano quasi certamente attività malevola in fase post-phishing.

L'EventID 3 di Sysmon (Network Connection) va correlato entro una finestra breve (5-30 secondi) con l'esecuzione di cmstp: connessioni HTTP/HTTPS verso IP esterni originate dal processo sono altamente anomale, poiché indicano il download di SCT o DLL remoti. L'EventID 11 (File Create) cattura la scrittura di file INF nei percorsi utente-scrivibili prima dell'esecuzione, utile per ricostruire la kill chain.

Per il vettore UAC bypass sfruttato da LockBit 3.0, monitorare l'EventID 10 (Process Access) verso dllhost.exe con GrantedAccess sospetti, e l'EventID 7 (Image Load) per caricamenti di cmlua.dll o cmstplua.dll in processi diversi da cmstp stesso. Le chiavi di registro sotto HKCU\Software\Microsoft\Connection Manager vanno tracciate via EventID 12/13 per intercettare la registrazione di profili anomali.

Allineandosi alle tecniche difensive D3FEND, gli artefatti digitali chiave sono Process, File, Network Traffic e Registry Key. Le pratiche Detect applicabili includono Process Command Line Analysis, Process Spawn Analysis (per la relazione parent-child sospetta) e Outbound Traffic Flow Analysis.

Regola KQL indicativa per Microsoft Defender for Endpoint:

DeviceProcessEvents | where FileName =~ "cmstp.exe" | where InitiatingProcessFileName in~ ("winword.exe","excel.exe","outlook.exe","mshta.exe","powershell.exe") or ProcessCommandLine has_any ("\Temp\","\AppData\","http")

Falsi positivi realistici sono limitati: installer VPN aziendali legittimi (Cisco AnyConnect legacy, alcuni SonicWall) usano ancora CMSTP. Costruire una allowlist dei path INF firmati e dei parent process autorizzati (setup.exe firmati dal vendor) riduce il rumore. Il campo TimeWindow della tuning DET0328 suggerisce correlazioni di 30-60 secondi tra esecuzione e attività di rete, valore ragionevole nella maggior parte degli ambienti.

L'analisi forense di un incidente T1218.003 si concentra su tre categorie di artefatti Windows: tracce di esecuzione del binario, residui dei file INF/SCT/DLL utilizzati come vettore, e modifiche di registro conseguenti all'installazione (fittizia o reale) del profilo Connection Manager.

Sul fronte execution evidence, i Prefetch in C:\Windows\Prefetch\CMSTP.EXE-.pf forniscono timestamp di prima e ultima esecuzione, contatore run count e lista dei file referenziati durante il loading — inclusi spesso l'INF caricato e le DLL COM dipendenti. Strumenti come PECmd di Eric Zimmerman (open source) parsano rapidamente questi artefatti. Complementari sono le ShimCache (AppCompatCache in SYSTEM hive) e Amcache.hve, quest'ultima particolarmente utile perché registra hash SHA1 dei binari eseguiti: parsabili con AmcacheParser e AppCompatCacheParser (open source).

Gli UserAssist in NTUSER.DAT sotto Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist raramente registrano cmstp poiché tipicamente lanciato da linea di comando o da parent malevolo, ma vanno controllati. Più rilevante è il BAM/DAM (Background Activity Moderator) in SYSTEM\CurrentControlSet\Services\bam\State\UserSettings<SID>, che offre timestamp precisi di esecuzione per utente.

Per i file INF/SCT residui, cercare in %TEMP%, %APPDATA%\Local\Temp, %PUBLIC% e *C:\ProgramData* file con estensioni anomale (.txt, .dat, .log, .inf) contenenti stringhe come RunPreSetupCommands, RunPreSetupCommandsSection, [DefaultInstall] o URL. Yarascan su memoria acquisita con Volatility 3 (open source) o MemProcFS (open source) può individuare INF caricati in memoria da cmstp.exe anche dopo cancellazione dal filesystem. Il journal USN ($UsnJrnl:$J) e la MFT ($MFT), estraibili con MFTECmd (open source), documentano creazione ed eliminazione dei file vettore con granularità di secondi.

Sul fronte registry, ispezionare HKCU\Software\Microsoft\Connection Manager e HKLM\SOFTWARE\Microsoft\Connection Manager per profili non riconducibili a VPN legittime aziendali. Le tracce di UAC bypass via CMSTPLUA lasciano residui minimi ma il Security.evtx con EventID 4688 (se abilitato con command line logging) e il Sysmon.evtx con EventID 1 sono le fonti autoritative.

Gli artefatti di rete correlati includono cache DNS, log del proxy aziendale e, se disponibili, PCAP: le richieste GET verso file .sct o .dll originate da cmstp.exe sono firma quasi patognomonica. Nel caso MuddyWater, la timeline tipica mostra: consegna documento Office → macro drop di INF in %TEMP% → esecuzione cmstp → download SCT → esecuzione POWERSTATS come stager PowerShell. Per CHIMNEYSWEEP, il profilo Connection Manager viene effettivamente installato come meccanismo di persistenza secondaria, quindi le chiavi di registro vanno preservate come evidence prioritaria.

La timeline consolidata va costruita con Plaso/log2timeline (open source) e visualizzata in Timeline Explorer (open source) correlando Prefetch, Amcache, Sysmon, MFT e journal USN.

L'abuso di CMSTP.exe rimane confinato a un insieme relativamente ristretto ma qualificato di attori, il che lo rende un indicatore utile per il clustering di threat actor. I dati MITRE ATT&CK documentano due gruppi APT e due famiglie malware con TTP consolidate su questa tecnica.

MuddyWater (G0069) è un gruppo APT di matrice medio-orientale, storicamente attribuito a interessi allineati con l'Iran, attivo in operazioni di cyberespionage contro settori governativi, telecom, difesa ed energia principalmente in Medio Oriente, Nord Africa e Asia centrale. L'uso di CMSTP da parte di MuddyWater è integrato nella catena di consegna del loro payload signature POWERSTATS (noto anche come Powermud), uno stager PowerShell modulare. La combinazione documento Office weaponizzato → INF drop → cmstp → POWERSTATS è un pattern operativo ricorrente che il gruppo ha mantenuto stabile per anni, adattando solo l'infrastruttura C2 e le tecniche di obfuscation dello script PowerShell.

Cobalt Group (G0080), noto anche come Cobalt Gang o Cobalt Spider, è un attore cybercriminale focalizzato su intrusioni contro istituzioni finanziarie, ATM jackpotting e frodi SWIFT, con vittime concentrate in Europa dell'Est, CSI e Asia. L'uso specifico di cmstp.exe /s /ns con INF ospitato in path utente è documentato come tecnica di AppLocker bypass durante la fase di execution post-phishing. Il pattern operativo mostra maturità tecnica: il gruppo seleziona CMSTP proprio per gli ambienti bancari, dove application control è tipicamente implementato ma raramente estende la copertura ai LOLBin meno noti.

Sul fronte malware, CHIMNEYSWEEP (S1149) impiega CMSTP per installare un profilo Connection Manager malevolo come componente della propria routine di installazione, sfruttando la tecnica non tanto per evasione ma per legittimizzare la presenza del proprio profilo di configurazione. LockBit 3.0 (S1202), la variante più evoluta del noto ecosistema ransomware-as-a-service LockBit (attivo fino alla disruption Operation Cronos), utilizza CMSTP specificamente come vettore di UAC bypass quando l'esecuzione avviene in contesto non-admin. Questo permette al ransomware di elevare privilegi silenziosamente prima di procedere con inibizione dei recovery, shadow copy deletion e cifratura.

Il pattern overlap interessante è la coesistenza della tecnica in tre categorie di attori distinte — APT state-sponsored (MuddyWater), cybercrime finanziario mirato (Cobalt Group) e ransomware commodity (LockBit 3.0) — segno che CMSTP è ormai una TTP consolidata nel playbook trasversale della threat landscape Windows. L'inclusione in CHIMNEYSWEEP conferma inoltre l'adozione anche in malware più recenti, suggerendo che la tecnica non è in declino nonostante sia documentata da anni.

Dal punto di vista di priorità intelligence, monitorare CMSTP execution è particolarmente rilevante per organizzazioni nei settori finanziario, energetico, governativo e per ambienti con esposizione a ransomware LockBit-derivati. La stabilità del TTP suggerisce che detection engineering investito su questa tecnica ha ritorno pluriennale.

MITRE ATT&CK: tecnica T1218.003, tattica TA0005, gruppi G0069 (MuddyWater), G0080 (Cobalt Group), software S1149 (CHIMNEYSWEEP), S1202 (LockBit 3.0), mitigazioni M1038, M1042, detection DET0328/AN0932. Framework difensivo MITRE D3FEND per artefatti e contromisure. Per comandi operativi, sintassi tool (Sysmon, Volatility, PECmd, MFTECmd, Atomic Red Team, UACME, LOLBAS) e pattern forensi è stata utilizzata conoscenza professionale di cybersecurity verificabile su documentazione ufficiale e repository pubblici dei rispettivi progetti.