Abuso COM: Component Object Model (T1559.001)

L'abuso di COM in un ingaggio red team parte dall'enumerazione delle interfacce disponibili sul target. Il registro Windows sotto HKCR\CLSID espone migliaia di ProgID; strumenti come OleViewDotNet (open source) di James Forshaw permettono di ispezionare interfacce, metodi e permessi DCOM in modo strutturato, individuando oggetti utili per lateral movement o privilege escalation.

Per l'esecuzione locale, PowerShell offre l'accesso più diretto tramite [activator]::CreateInstance([type]::GetTypeFromProgID("WScript.Shell")), che consente di richiamare il metodo Run per eseguire comandi arbitrari senza spawnare direttamente cmd.exe. Un pattern classico osservato in famiglie come DarkTortilla è la creazione di shortcut di persistenza:

$s = New-Object -ComObject WScript.Shell $lnk = $s.CreateShortcut("$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup\update.lnk")

Per la creazione di scheduled task via COM — pattern usato da TrickBot, Ramsay, Milan, Latrodectus e CLAIMLOADER — si istanzia Schedule.Service e si lavora sulle interfacce ITaskService, ITaskDefinition, ITaskSettings, evitando così di invocare schtasks.exe che è pesantemente monitorato.

Sul fronte lateral movement, DCOM rimane un vettore prezioso. Oggetti come MMC20.Application, ShellWindows e ShellBrowserWindow permettono esecuzione remota autenticata:

$com = [activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.Application","target.lab")) $com.Document.ActiveView.ExecuteShellCommand("cmd.exe",$null,"/c calc","7")

Questo approccio è stato codificato in Impacket (open source) nel modulo dcomexec.py, che offre wrapper per i vari oggetti COM sfruttabili. CrackMapExec e il successore NetExec (open source) integrano moduli DCOM per operazioni su larga scala.

Per bypass UAC — pattern di Medusa Group, Gelsemium e Raspberry Robin — si sfruttano oggetti elevati auto-approvati come CMSTPLUA (CLSID 3E5FC7F9-9A51-4367-9063-A120244FBEC7) o ICMLuaUtil. Il framework UACME (open source) di hfiref0x cataloga decine di tecniche riutilizzabili in lab.

Infine, per iniezione di macro Office — pattern di Gamaredon e SILENTTRINITY (open source) — l'automazione COM tramite Microsoft.Office.Interop consente di manipolare documenti e iniettare shellcode in EXCEL.EXE. Tutti i test vanno condotti in ambiente segregato con snapshot ripristinabili.

La detection di abusi COM richiede correlazione tra più fonti perché la singola invocazione di un oggetto COM è raramente sospetta. La rilevazione DET0224 raccomanda di correlare process creation, module load e query al registro, appoggiandosi principalmente a Sysmon (open source) e WinEventLog:Security.

Sul fronte Sysmon, gli eventi chiave sono EventID 1 (process creation), EventID 7 (image load) e EventID 12/13 (registry access). Il processo dllhost.exe lanciato con l'argomento /Processid:{CLSID} è l'indicatore canonico di attivazione COM out-of-process; la correlazione tra il CLSID passato e i CLSID noti come abusati (MMC20.Application, ShellWindows, CMSTPLUA, CMLuaUtil, IARPUinstallerStringLauncher) produce alert ad alta fedeltà.

Un secondo pilastro è la relazione parent-child anomala. Le esecuzioni via DCOM lasciano tracce caratteristiche: svchost.exe con parametro -k DcomLaunch che genera figli inattesi, oppure processi che spawnano da mmc.exe o explorer.exe dopo attivazione remota. Applicazioni Office (WINWORD.EXE, EXCEL.EXE, OUTLOOK.EXE) che caricano Microsoft.Office.Interop e generano processi figli come powershell.exe, wscript.exe o rundll32.exe replicano il pattern di Gamaredon e SILENTTRINITY.

A livello di rete, DCOM utilizza l'endpoint mapper su TCP/135 seguito da porte dinamiche RPC alte. Un baseline degli host che legittimamente parlano DCOM è essenziale: workstation-to-workstation su porta 135 è quasi sempre anomalo e riflette pattern di lateral movement come quello di HermeticWizard. Zeek (open source) con lo script dce-rpc fornisce visibilità sui metodi RPC invocati; Suricata (open source) integra signature per pattern DCE-RPC noti.

Per la creazione di scheduled task via COM — pattern condiviso da TrickBot, Latrodectus, Ramsay, Milan e CLAIMLOADER — l'evento 4698 del Security log rimane fondamentale, ma va correlato con l'assenza di schtasks.exe come processo genitore, indicatore che la task è stata creata programmaticamente via ITaskService.

Le query al registro sotto HKCR\CLSID, HKLM\SOFTWARE\Classes\AppID e HKLM\SOFTWARE\Microsoft\Ole sono utili per rilevare enumerazione di interfacce sfruttabili. Il tuning richiede una allowlist di CLSID enterprise (installer legittimi, agent EDR, tool di gestione) e l'esclusione di relazioni parent-child attese come explorer.exe → dllhost.exe. La finestra di correlazione tra attivazione COM e creazione processo dovrebbe essere di 30-60 secondi per bilanciare falsi positivi e catene lente.

L'analisi forense di un incidente T1559.001 si costruisce attorno agli artefatti che l'attivazione COM lascia su registro, filesystem e memoria. Il primo punto di raccolta è l'hive SOFTWARE e NTUSER.DAT dell'utente coinvolto, dove HKCR\CLSID, HKCU\Software\Classes\CLSID e HKLM\SOFTWARE\Classes\AppID documentano registrazioni COM. Le chiavi con LastWriteTime prossimo al momento dell'incidente meritano attenzione: Registry Explorer (gratuito) di Eric Zimmerman fornisce timeline registry navigabili, mentre RegRipper (open source) con i plugin clsid e appcompatcache automatizza l'estrazione.

Sul filesystem, la persistenza via WshShortcut di DarkTortilla produce file .lnk nelle cartelle Startup dell'utente e all-users. L'analisi con LECmd (gratuito) di Zimmerman estrae target path, argomenti, MAC address dell'host di origine e volume serial number, elementi preziosi per attribuire l'origine dello shortcut. Raspberry Robin utilizza oggetti CMLuaUtil elevati per scrivere valori registry che puntano a LNK malevoli, quindi la correlazione tra timestamp del LNK e modifica registry è determinante.

Per scheduled task create via COM — pattern di TrickBot, Latrodectus, Milan, Ramsay e CLAIMLOADER — gli artefatti risiedono in C:\Windows\System32\Tasks (file XML) e nell'hive SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache. L'assenza di eventi 4688 per schtasks.exe nel Security log, in presenza di evento 4698 di creazione task, è la firma diagnostica di creazione via ITaskService.

L'analisi memoria con Volatility 3 (open source) è cruciale quando il payload è fileless, pattern documentato per Ursnif. I plugin windows.dlllist, windows.handles e windows.malfind permettono di identificare dllhost.exe con handle a oggetti COM inattesi o regioni di memoria RWX iniettate. Per SILENTTRINITY, l'iniezione di shellcode in EXCEL.EXE via Microsoft.Office.Interop lascia regioni private eseguibili non mappate a moduli su disco.

La timeline si costruisce con plaso/log2timeline (open source) integrando Sysmon EVTX, Security EVTX, registry hives, MFT e Prefetch. I file prefetch di dllhost.exe con multiple istanze e hash di comando differenti indicano attivazioni COM ripetute con CLSID variabili. Per DCOM lateral movement (HermeticWizard), l'analisi cross-host correla eventi 4624 logon type 3 con eventi 4648 explicit credential use e successiva attività COM sull'host target. I log RPC endpoint mapper e la cache DNS completano il quadro di movimento laterale.

Il panorama di attori che abusano COM copre uno spettro ampio, dal cybercrime commodity all'espionage state-sponsored, riflettendo la versatilità della tecnica.

Gamaredon Group rappresenta il pattern espionage classico. Il gruppo utilizza malware che inietta macro malevole nei documenti Office tramite l'oggetto Microsoft.Office.Interop, integrando questa capacità in operazioni di lungo periodo caratterizzate da phishing mirato e persistenza aggressiva. L'uso di COM per manipolare documenti riflette la scelta di operare tramite artefatti Office comuni e difficilmente bloccabili.

MuddyWater presenta uno dei repertori COM più ampi: il gruppo dispone di malware in grado di eseguire codice via COM, DCOM e attraverso l'interfaccia Outlook. L'inclusione di Outlook come vettore COM è particolarmente notevole perché consente esecuzione da un processo trusted e permanentemente attivo sulle workstation aziendali. Il tool POWERSTATS, associato al gruppo, utilizza DCOM contro l'indirizzo di loopback 127.0.0.1 per eseguire payload aggiuntivi, tecnica che aggira controlli focalizzati sul traffico di rete esterno mantenendo la telemetria RPC in ambito puramente locale.

Medusa Group rappresenta il segmento ransomware che ha adottato COM specificamente per bypass UAC, riflettendo l'evoluzione delle operazioni ransomware verso tecniche precedentemente riservate ad attori più sofisticati.

Sul fronte software, la distribuzione è indicativa. I loader commodity ad alta diffusione — TrickBot, Bumblebee, Latrodectus, DarkTortilla — utilizzano COM prevalentemente per persistenza tramite scheduled task o shortcut, cercando di minimizzare la presenza di schtasks.exe nei log. Il pattern ITaskService per creazione task programmatica accomuna TrickBot, Ramsay, Milan, Latrodectus e CLAIMLOADER, suggerendo condivisione di codice o convergenza indipendente su una best practice offensiva ormai consolidata.

Gli impianti espionage sofisticati mostrano usi più creativi: InvisiMole manipola direttamente le interfacce ITaskService, ITaskDefinition e ITaskSettings; Gelsemium sfrutta IARPUinstallerStringLauncher per bypass UAC; Neoichor utilizza l'interfaccia COM di Internet Explorer per canalizzare C2, tecnica che sfrutta un componente ancora presente in molti sistemi enterprise.

HermeticWizard, associato alle operazioni distruttive contro obiettivi ucraini, utilizza DCOM per esecuzione remota nell'ambito di catene di distribuzione wiper, dimostrando che la tecnica scala anche a operazioni ad alto impatto geopolitico. Raspberry Robin, worm USB con ampia diffusione, sfrutta oggetti COM elevati CMLuaUtil per manipolare il registro come parte di catene di infezione multi-stadio.

Il trend consolidato mostra COM come componente standard nei toolkit moderni, con particolare enfasi su bypass UAC, persistenza scheduled task e lateral movement DCOM.

MITRE ATT&CK T1559.001 (Component Object Model), tattica TA0002. Gruppi G0047, G0069, G1051. Software S0223, S0260, S0266, S0386, S0458, S0666, S0691, S0692, S0698, S1015, S1039, S1044, S1066, S1130, S1160, S1236, S1238. Mitigazioni M1026, M1048. Detection DET0224 con analytic AN0628. MITRE D3FEND per mapping tecniche difensive. Integrazione con conoscenza professionale in cybersecurity per strumenti operativi (Sysmon, Volatility, Impacket, OleViewDotNet, UACME, Zimmerman Tools, plaso, Zeek) e sintassi comandi verificati.