API Hooking Credenziali: Credential API Hooking (T1056.004)

In un ingaggio red team, la simulazione di API hooking richiede laboratori isolati e binari firmati dal team stesso per evitare contaminazioni. Il punto di partenza classico su Windows è Frida (open source), che espone un'interfaccia JavaScript per installare hook inline su funzioni arbitrarie. Con frida-trace -p -i "CredEnumerateA" si intercettano le chiamate all'API sfruttata da TrickBot per catturare credenziali RDP salvate nel Credential Manager, osservando i parametri in tempo reale.

Per emulare IAT hooking in stile FinFisher o Zeus Panda, il framework Detours di Microsoft Research (open source) resta il riferimento didattico: consente di riscrivere i puntatori nella Import Address Table di un processo target dopo injection della DLL tramite CreateRemoteThread + LoadLibrary. Un pattern operativo tipico prevede injection in explorer.exe o in un browser, con hook su WinHttpSendRequest per catturare credenziali basic-auth in POST.

Per la variante SetWindowsHookEx, usata da NOKKI, si installa un hook globale WH_KEYBOARD_LL o WH_CBT tramite una DLL esportata che viene mappata in ogni processo GUI. Il framework PowerSploit (open source, non più mantenuto ma ancora funzionante in lab) e alcuni moduli di Empire (open source, versione BC-Security) offrono payload pronti, come netripper citato nei dati MITRE, che intercetta traffico cifrato prima della cifratura hookando funzioni SSL.

Su Linux la simulazione è più immediata: si compila una shared library che ridefinisce read o PAM_conv, poi si esporta LD_PRELOAD=/tmp/libhook.so prima di lanciare ssh o sudo. Un esempio didattico è il progetto linux-pam-backdoor (open source su GitHub), utile per dimostrare intercettazione di password PAM in scenari controllati. Su macOS, l'equivalente usa DYLD_INSERT_LIBRARIES ma richiede binari non protetti da SIP e senza flag hardened runtime, quindi la superficie è drasticamente ridotta sui sistemi moderni.

Per la validazione dei rilevamenti, API Monitor di Rohitab (gratuito) e Process Hacker (open source) permettono di ispezionare i moduli caricati e verificare integrità delle prime istruzioni delle funzioni API, confrontandole con la copia on-disk della DLL originale. Il red team dovrebbe documentare ogni hook installato e rimuoverlo esplicitamente a fine test per evitare persistenze accidentali.

Il rilevamento di API hooking richiede telemetria a livello di memoria e module loading, perché la tecnica non genera artefatti di rete e spesso non tocca il filesystem oltre alla DLL iniettata. Su Windows la sorgente primaria è Sysmon (gratuito) con configurazione estesa che includa EventID 7 (Image Loaded), EventID 8 (CreateRemoteThread) e EventID 10 (ProcessAccess). La detection AN0389 del dataset MITRE si concentra proprio sulla correlazione tra modifiche di memoria e installazione di hook in processi credential-sensitive come lsass.exe, explorer.exe e winlogon.exe.

Un pattern robusto è filtrare EventID 10 con GrantedAccess pari a 0x1FFFFF (PROCESS_ALL_ACCESS) o combinazioni come 0x1F3FFF verso processi sensibili, correlando entro 5-10 secondi con EventID 8 dallo stesso SourceImage. Falsi positivi frequenti provengono da soluzioni EDR, antivirus e strumenti di accessibilità che legittimamente installano hook globali: mantenere una allowlist per firme digitali di vendor noti riduce drasticamente il rumore.

Per identificare SetWindowsHookEx abuse, si può monitorare il caricamento di DLL non firmate in molteplici processi GUI nell'arco di pochi secondi — pattern caratteristico di NOKKI. Sysmon EventID 7 con filtro su Signed=false e ImageLoaded in path anomali come %TEMP% o %APPDATA% offre un segnale iniziale. Per IAT hooking e inline hooking la detection real-time è più difficile senza un EDR che ispezioni l'integrità delle sezioni .text dei moduli caricati; strumenti come PE-sieve di hasherezade (open source) possono essere schedulati periodicamente per scansionare processi long-running e generare alert su modifiche.

Su Linux la detection AN0390 si basa su auditd con regole SYSCALL sulla execve di ssh, sudo, login correlate alla presenza della variabile d'ambiente LD_PRELOAD. Una regola auditd efficace è -a always,exit -F arch=b64 -S execve -F key=preload_watch, poi si arricchisce il log estraendo l'environment del processo da /proc//environ. Alert dedicati vanno generati per .so caricati da path world-writable come /tmp o /dev/shm.

Su macOS la detection AN0391 sfrutta unified log con predicato su DYLD_INSERT_LIBRARIES e fs_usage per tracciare accessi al segmento __TEXT di binari di autenticazione. L'attivazione di hardened runtime e SIP blocca la maggior parte degli attacchi, ma applicazioni legacy senza queste protezioni restano vettori validi. Correlare il parent process — Terminal, bash o AppleScript launcher — aiuta a distinguere sviluppo legittimo da abuso.

L'analisi forense di un incidente con API hooking richiede acquisizione della memoria RAM il prima possibile, perché la tecnica vive quasi esclusivamente in memoria e la riavvio del sistema distrugge le prove primarie. Su Windows lo strumento di riferimento è WinPmem (open source) per il dump, seguito da analisi con Volatility 3 (open source). I plugin critici sono windows.malfind per identificare regioni di memoria con permessi RWX contenenti codice iniettato, windows.apihooks (disponibile in Volatility 2 e in alcuni fork di Volatility 3) per enumerare hook IAT e inline, e windows.ldrmodules per confrontare i moduli caricati con le tre liste PEB (InLoad, InInit, InMemory) evidenziando DLL unlinked tipiche di injection stealth.

La timeline forense parte dalla correlazione tra Sysmon archived logs (se disponibili), Security.evtx con eventi 4688 di process creation, e artefatti di persistenza. Per famiglie come Carberp e Ursnif l'installazione della DLL hooking lascia tracce nel registro sotto HKCU\Software\Microsoft\Windows\CurrentVersion\Run o come AppInit_DLLs — quest'ultimo raggiungibile in HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows. FinFisher modifica IAT pointers su CreateWindowEx, quindi confrontare la IAT del processo target in memoria con l'IAT della DLL on-disk (ricostruita con dumpbin /imports) evidenzia le deviazioni.

Per VersaMem, che ha hookato il metodo Java setUserPassword nel software Versa, l'analisi si sposta sull'AppServer: dump del JVM con jmap, ispezione dei bytecode caricati con javap o CFR decompiler (open source) confrontati con la versione ufficiale del vendor. La presenza di classi non firmate o di agenti caricati via -javaagent fuori dal manifest atteso è un indicatore chiave.

Su Linux la timeline ricostruisce l'esecuzione dei processi ssh/sudo hookati partendo da /var/log/auth.log, correlata con auditd logs se attivo. La libreria malevola può essere estratta da /proc//maps finché il processo vive, e le variabili d'ambiente da /proc//environ. Path persistenti tipici includono /etc/ld.so.preload — file che se popolato forza LD_PRELOAD globalmente ed è spesso trascurato nelle baseline. Su filesystem, timestamp MAC di .so recenti in /tmp, /dev/shm o directory home compromesse costituiscono pivot investigativi.

Su macOS, unified log preserva eventi di dyld injection anche dopo riavvio per finestre limitate; osquery (open source) con query sulla tabella process_envs permette hunting retroattivo su DYLD_INSERT_LIBRARIES. I dylib sospetti vanno estratti e analizzati con otool -L e codesign -dv per verificare firma e dipendenze.

Il panorama degli attori che sfruttano Credential API Hooking mostra una netta bipartizione tra criminalità finanziaria e operazioni state-sponsored, con 11 famiglie malware documentate nel dataset MITRE che coprono entrambi i segmenti.

PLATINUM è l'unico gruppo APT formalmente mappato sulla tecnica nei dati forniti. Attivo prevalentemente nel Sud-Est asiatico contro target governativi e diplomatici, il gruppo integra hook Windows per credential access come parte di un toolkit più ampio orientato alla persistenza silenziosa di lungo periodo. L'uso di hook API si allinea al suo profilo operativo: bassa rumorosità, evitamento di tool commodity, preferenza per capacità custom.

Sul fronte crimeware, la tecnica è patrimonio consolidato dei banking trojan. TrickBot hooka CredEnumerateA per estrarre credenziali RDP dal Credential Manager, capability aggiunta durante l'evoluzione modulare del malware verso l'accesso corporate. Zeus Panda, derivato del sorgente Zeus leaked nel 2011, mantiene IAT hooking come meccanismo core per intercettare form submission bancari. Carberp e Ursnif appartengono alla stessa scuola tecnica, con Ursnif che estende gli hook al monitoraggio del traffico browser prima della cifratura TLS — approccio identico concettualmente a netripper di Empire.

FinFisher rappresenta il segmento commercial spyware: sviluppato da Gamma Group e venduto storicamente a governi, usa IAT hooking su CreateWindowEx per interception credenziali GUI. La sua presenza in operazioni di sorveglianza interna documentate in vari paesi lo rende un indicatore geopoliticamente sensibile. Zebrocy, tool associato ad operazioni russe di raccolta informazioni, usa hook applicativi Windows con finalità di data staging più che di credential harvesting puro.

NOKKI presenta legami tecnici con il malware KONNI, storicamente attribuito a cluster nordcoreani, e usa SetWindowsHookEx con injection in ogni processo GUI — approccio rumoroso ma efficace su target scarsamente monitorati. ZxShell è una RAT cinese pubblicamente disponibile, riutilizzata da molteplici gruppi tra cui alcuni cluster associati a operazioni originate da attori state-nexus dell'area APAC. RDFSNIFFER è stato osservato in operazioni contro provider di managed service, con focus su hijacking di interfacce di remote management.

Il caso più recente e istruttivo è VersaMem, impianto che ha hookato l'autenticazione Java del SD-WAN Versa Director. Rappresenta un trend rilevante: lo spostamento dell'hooking da API di sistema tradizionali verso runtime applicativi (JVM, .NET, interpreti Python) di prodotti enterprise edge, dove la telemetria EDR classica ha visibilità limitata. Per un analista TI, l'estensione del monitoring a runtime application-layer di appliance critiche è ormai indispensabile.

MITRE ATT&CK T1056.004 (Credential API Hooking), tattiche TA0006 e TA0009. Detection MITRE AN0389 (Windows), AN0390 (Linux), AN0391 (macOS). Software S0182, S0251, S0266, S0330, S0353, S0363, S0386, S0412, S0416, S0484, S1154. Gruppo G0068 (PLATINUM). Framework MITRE D3FEND per artefatti difensivi correlati. Integrata conoscenza professionale su tool di detection e analisi forense (Sysmon, Volatility, Frida, PE-sieve, osquery, auditd) verificata su documentazione ufficiale e repository pubblici.