Creazione Processo con Token: Create Process with Token (T1134.002)

Sul piano offensivo, la creazione di processi con token altrui è un pilastro delle catene di privilege escalation post-exploitation. In un ingaggio red team la sequenza tipica prevede tre fasi: enumerazione dei processi ad alta integrità, ottenimento di un handle con PROCESS_QUERY_INFORMATION e TOKEN_DUPLICATE, infine spawn del processo figlio con il token duplicato.

In ambiente Windows lo strumento di riferimento è Cobalt Strike (a pagamento) con il comando steal_token PID seguito da spawnas o runu, che internamente invoca CreateProcessWithTokenW. In alternativa Meterpreter (open source) del framework Metasploit espone incognito con list_tokens -u e impersonate_token DOMAIN\user, mentre il post-module getsystem tenta la named-pipe impersonation.

Per operatori PowerShell, PoshC2 (open source) e Empire (open source, fork BC-Security) implementano il cmdlet Invoke-RunAs che accetta credenziali cleartext e produce un processo nel contesto target. Un esempio didattico in laboratorio:

Invoke-RunAs -User "lab\svcadmin" -Password 'P@ssw0rd' -Binary "C:\Windows\System32\cmd.exe"

Per manipolazione a basso livello incognito2 (open source) e la libreria SharpToken (open source) permettono di enumerare token disponibili con whoami /priv e di richiamare direttamente le API tramite P/Invoke. La combinazione classica è: dump di un token SYSTEM da un servizio con OpenProcessToken, duplicazione con DuplicateTokenEx a livello SecurityImpersonation, quindi CreateProcessWithTokenW verso cmd.exe.

Un payload noto per la scalata a TrustedInstaller è AdvancedRun (gratuito, NirSoft), usato da WhisperGate. La sintassi documentata è:

AdvancedRun.exe /EXEFilename "C:\Windows\System32\sc.exe" /CommandLine "stop WinDefend" /RunAs 8 /Run

Dove RunAs 8 indica esecuzione come TrustedInstaller. È una scorciatoia elegante per disabilitare EDR e servizi di protezione senza scrivere codice custom.

Per simulare i comportamenti dei gruppi tracciati, Atomic Red Team (open source) fornisce test dedicati a T1134.002 che invocano runas /user:administrator e verificano la creazione del child process con SID diverso. In laboratorio è utile abbinare Process Hacker (open source) o Process Explorer (gratuito, Sysinternals) per osservare in tempo reale il cambio di Integrity Level e Logon Session del processo figlio, validando la riuscita dell'operazione prima di procedere con il lateral movement.

La detection di T1134.002 si fonda sull'osservazione di una catena comportamentale più che sul singolo evento: un processo apre un handle privilegiato su un target sensibile, duplica o crea un token, quindi genera un figlio il cui contesto di sicurezza — SID, LogonId, IntegrityLevel — differisce da quello del genitore.

Le fonti di log essenziali sono tre. Il Security log di Windows con EventCode 4688 (process creation) arricchito da command line, e EventCode 4672 (special privileges assigned) che segnala token con privilegi come SeDebugPrivilege o SeImpersonatePrivilege. Sysmon (gratuito, Sysinternals) fornisce Event ID 1 con hash e parent, Event ID 10 (ProcessAccess) filtrabile per GrantedAccess pari a 0x1010 o 0x1410 verso lsass.exe, e Event ID 4688 correlato. Infine i provider ETW Microsoft-Windows-Kernel-Process e Threat-Intelligence espongono chiamate a CreateProcessWithTokenW utili per correlazione fine.

La regola cardine consiste nel confrontare SubjectUserSid e TargetUserSid dell'evento 4688: se non coincidono e il processo padre non è services.exe, lsass.exe o winlogon.exe, l'evento è sospetto. Un'euristica efficace misura anche il delta di Integrity Level tra padre e figlio; un salto da Medium a System generato da un binario non firmato Microsoft è quasi sempre malevolo.

Le finestre di correlazione consigliate sono di 5-10 minuti tra l'apertura dell'handle privilegiato e lo spawn del child. Target sensibili da monitorare in via prioritaria: lsass.exe, winlogon.exe, services.exe, TrustedInstaller.exe. Attenzione ai processi AdvancedRun.exe con parametro /RunAs 8, firma inequivocabile della catena WhisperGate.

I falsi positivi più frequenti provengono da agent legittimi: servizi PsExec (psexesvc.exe), SCCM client (CcmExec.exe), backup agent come Veeam o Commvault, scheduler enterprise, RMM tools (Kaseya, ConnectWise). Costruire una allow-list per hash e certificato editore riduce drasticamente il rumore.

Sul piano preventivo, MITRE raccomanda la mitigazione M1026: restringere via GPO in Computer Configuration → Windows Settings → Security Settings → Local Policies → User Rights Assignment i privilegi Create a token object (SeCreateTokenPrivilege) e Replace a process level token (SeAssignPrimaryTokenPrivilege) al solo LOCAL SERVICE e NETWORK SERVICE. In parallelo la M1018 impone least privilege sugli account amministrativi e uso di runas per elevazione controllata, evitando login interattivi come admin.

Per detection engineering, regole Sigma pubbliche coprono già le firme di Invoke-RunAs di Empire/PoshC2 e le command line di AdvancedRun; vanno tunate sull'inventario software aziendale prima del deploy in produzione.

L'analisi forense di T1134.002 ricostruisce la sequenza temporale tra acquisizione del token e nascita del processo figlio. Gli artefatti chiave risiedono nei log di eventi, nelle strutture di memoria del kernel e nei residui filesystem lasciati dal payload.

Sul filesystem i principali punti di raccolta sono la MFT per timestamp di creazione di eseguibili droppati in %TEMP%, %APPDATA% e C:\Windows\Temp, con particolare attenzione a nomi come AdvancedRun.exe o binari con entropia elevata. Le Prefetch in C:\Windows\Prefetch confermano l'esecuzione e forniscono conteggio run e timestamp; PECmd di Eric Zimmerman (open source) è lo strumento standard per il parsing. Amcache.hve e ShimCache conservano evidenza di esecuzione anche dopo la rimozione del binario, utili quando l'attaccante ha già ripulito le tracce.

Nel Registry, la chiave HKLM\SYSTEM\CurrentControlSet\Control\Lsa e le sottochiavi di autenticazione possono mostrare modifiche a LsaCfgFlags o RunAsPPL se l'attaccante ha tentato di indebolire la protezione di LSASS prima del token stealing. Le UserAssist in NTUSER.DAT documentano lanci interattivi di runas.exe.

Gli Event Log offrono la timeline più ricca. In Security.evtx: 4688 con TokenElevationType e confronto SID padre/figlio; 4624 Type 9 (NewCredentials) indicativo di uso di runas /netonly; 4672 per assegnazione di privilegi sensibili; 4648 (logon con credenziali esplicite) prodotto da chiamate CreateProcessWithLogonW. In Sysmon Operational: Event 1 per genealogia processo, Event 10 per accessi a lsass.exe, Event 11 per drop di file, Event 25 per process tampering.

L'analisi di memoria con Volatility 3 (open source) o MemProcFS (open source) è dirimente. Il plugin windows.pslist mostra i processi vivi con relativo PPID; windows.tokenimpersonation enumera token duplicati attivi; windows.getsids elenca i SID associati a ciascun processo e rende visibile la discrepanza con il padre. Per catch delle API call si può usare windows.callbacks e ispezionare hook su NtCreateProcessEx.

Sulla timeline dei gruppi documentati, KONNI (S0356) duplica il token di un processo ad alta integrità per spawnare cmd.exe — cercare quindi cmd.exe figli di processi anomali con integrity SYSTEM. Bankshot (S0239) e Azorult (S0344) invocano WTSQueryUserToken: nei log Sysmon si osserva l'accesso a winsta0 e alla sessione interattiva. REvil (S0496) lancia se stesso con runas per elevare a admin: la timestamp del processo ransomware coincide con un evento 4648. PipeMon (S0501) e TONESHELL (S1239) di gruppi APT asiatici mostrano pattern simili di sub-process con token specifici.

La correlazione finale incrocia MFT, Prefetch ed EventLog in un super-timeline generato con plaso/log2timeline (open source), evidenziando la finestra di pochi secondi che separa handle privilegiato, token duplication e nascita del child process anomalo.

Il panorama degli attori che abusano di T1134.002 è ristretto in termini di gruppi formalmente attribuiti ma denso di famiglie malware, segnale che la tecnica è ormai commodity nel post-exploitation Windows.

Turla (G0010), gruppo di cyber-espionage attribuito storicamente all'ecosistema russo, integra la manipolazione di token nelle proprie RPC backdoor. I dati MITRE indicano capacità di impersonare o rubare token di processo prima dell'esecuzione di comandi, comportamento coerente con il profilo del gruppo focalizzato su target governativi e diplomatici, dove la persistenza silenziosa e l'evasione da EDR sono priorità operative superiori alla velocità di azione.

Lazarus Group (G0032), attore state-sponsored nordcoreano attivo su bersagli finanziari, cripto-exchange e infrastrutture critiche, impiega il keylogger KiloAlfa che ottiene token da sessioni interattive e si rilancia via CreateProcessAsUserA nel contesto dell'utente loggato. Questo pattern consente al malware di catturare tastiera e clipboard nel security context della vittima reale, aggirando isolamenti di sessione e producendo log meno anomali.

Sul fronte del crimeware commodity, l'infostealer Azorult (S0344) — venduto storicamente su forum russofoni — utilizza WTSQueryUserToken e CreateProcessAsUser per elevare a LOCAL SYSTEM, tecnica ereditata poi da diverse forcature del codice sorgente trapelato. REvil (S0496), ransomware-as-a-service smantellato ma i cui build circolano ancora, sfrutta runas per rilanciarsi con privilegi amministrativi prima della cifratura di massa. WhisperGate (S0689), il wiper attribuito ad attività distruttive contro target ucraini, incorpora AdvancedRun con parametro /RunAs 8 per operare come TrustedInstaller e disabilitare Windows Defender prima del wipe — un pattern che evidenzia la convergenza tra tecniche APT e strumenti freeware pubblicamente disponibili.

Nel cluster APT asiatico, KONNI (S0356) — associato ad attività riconducibili alla penisola coreana — duplica token di processi ad alta integrità per spawnare cmd.exe. PipeMon (S0501), backdoor modulare vista contro sviluppatori di videogiochi, tenta escalation via token impersonation. TONESHELL (S1239), malware collegato a operazioni contro target del Sud-Est asiatico, crea sub-processi con token specifici di utenti target.

Gli strumenti offensivi Empire (S0363) e PoshC2 (S0378), entrambi framework PowerShell open source ampiamente adottati da red team e criminal actor, forniscono la funzione Invoke-RunAs che ha democratizzato l'uso della tecnica. Bankshot (S0239), RAT collegato ad attività Lazarus contro il settore finanziario turco, e ZxShell (S0412), backdoor cinese con comando RunAs nativo, completano l'inventario.

Il trend osservato è la persistenza della tecnica come standard de facto per privilege escalation locale su Windows: bassa rilevazione se combinata con LOLBins, ampia disponibilità di codice pubblico, riuso trasversale tra APT statali e ransomware operator. La convergenza tra kit APT e commodity crimeware suggerisce che ogni SOC debba considerare T1134.002 non come indicatore di attribuzione ma come baseline di post-exploitation da monitorare in permanenza.

MITRE ATT&CK: T1134.002 Create Process with Token; gruppi G0010 Turla, G0032 Lazarus Group; software S0239 Bankshot, S0344 Azorult, S0356 KONNI, S0363 Empire, S0378 PoshC2, S0412 ZxShell, S0456 Aria-body, S0496 REvil, S0501 PipeMon, S0689 WhisperGate, S1239 TONESHELL; mitigazioni M1018, M1026; detection DET0456 / AN1253. MITRE D3FEND per artefatti Process e Access Token. Integrata conoscenza professionale su tool di detection e IR (Sysmon, Volatility 3, PECmd, plaso, Atomic Red Team, Sigma) verificati come attivi e open source alla data di redazione.