Disabilitazione Strumenti di Sicurezza: Impair Defenses - Disable or Modify Tools (T1562.001)
Gli attori malevoli modificano o disabilitano i tool di sicurezza per evitare il rilevamento delle proprie attività e del malware utilizzato. Questa tecnica si manifesta attraverso la terminazione di processi e servizi di sicurezza, la modifica di chiavi di registro o file di configurazione, e altri metodi per interferire con le capacità di scansione o reporting degli strumenti di protezione.
La tecnica appartiene alla tattica TA0005 (Defense Evasion) e rappresenta una delle mosse più critiche nella kill chain degli attaccanti. Con 30 gruppi APT, 71 famiglie di malware e 9 campagne documentate che la utilizzano, questa tecnica è diventata un passaggio quasi obbligatorio per gli attaccanti sofisticati.
Gli adversari possono anche impedire gli aggiornamenti di sicurezza per evitare che le patch più recenti raggiungano i sistemi vittima. Tecniche avanzate includono l'uso di driver legittimi come Windows Time Travel Debugging per agganciare debugger nei processi EDR, o l'abuso delle policy di mitigazione dei processi Windows per bloccare il caricamento di DLL non Microsoft.
La disabilitazione degli strumenti di sicurezza richiede una combinazione di tecniche che variano in base al sistema operativo e al tipo di protezione presente. Su Windows, il primo passo spesso coinvolge Windows Defender.
sc stop WinDefend seguito da sc config WinDefend start= disabled rappresenta l'approccio classico per fermare il servizio. Tuttavia, le versioni moderne richiedono privilegi elevati e spesso proteggono questi comandi. Un approccio alternativo utilizza PowerShell: Set-MpPreference -DisableRealtimeMonitoring $true.
Per aggiungere esclusioni che permettano l'esecuzione del malware senza rilevamento, Add-MpPreference -ExclusionPath "C:\" esclude l'intero disco C dalle scansioni. Questa tecnica è stata osservata in molteplici campagne ransomware.
La manipolazione del registro offre persistenza maggiore. La chiave HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-Microsoft-Windows-Sysmon-Operational può essere modificata per disabilitare completamente Sysmon, uno strumento di logging critico per molti SOC.
Su Linux, l'approccio varia significativamente. systemctl stop falcon-sensor potrebbe disabilitare CrowdStrike, mentre setenforce 0 mette SELinux in modalità permissiva. Per rendere questi cambiamenti permanenti, modificare /etc/selinux/config impostando SELINUX=disabled.
Gli attaccanti più sofisticati utilizzano tecniche di unhooking delle API. Caricare una copia pulita di ntdll.dll dalla disco e confrontarla con quella in memoria permette di identificare e rimuovere gli hook inseriti dai prodotti di sicurezza.
Per testare queste tecniche in laboratorio, configurare una VM con multiple soluzioni di sicurezza. Utilizzare Process Monitor per osservare quali processi e servizi vengono terminati. Documentare l'ordine delle operazioni è cruciale: alcuni tool devono essere disabilitati in sequenza specifica per evitare il riavvio automatico.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo