Movimento Laterale via DCOM: Distributed Component Object Model (T1021.003)

L'abuso di DCOM in un ingaggio red team richiede credenziali di un account con appartenenza al gruppo Local Administrators sull'host target, oltre alla porta 135/TCP (RPC endpoint mapper) raggiungibile insieme ai range dinamici RPC (49152-65535 per default su sistemi moderni).

Il primo passo consiste nell'enumerare gli oggetti COM esposti sulla macchina remota. In PowerShell si usa il cmdlet nativo per istanziare un oggetto remoto:

$com = [activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.Application","target.lab.local"))

Una volta ottenuto il riferimento, si invoca il metodo ExecuteShellCommand dell'oggetto Document.ActiveView:

$com.Document.ActiveView.ExecuteShellCommand("cmd.exe",$null,"/c calc.exe","7")

Oltre a MMC20, gli oggetti più abusati storicamente sono ShellWindows (CLSID 9BA05972-F6A8-11CF-A442-00A0C90A8F39), ShellBrowserWindow e le istanze di Excel.Application che permettono l'esecuzione di macro tramite il metodo DDEInitiate o RegisterXLL.

Per automatizzare il lavoro, il modulo Invoke-DCOM incluso in Empire (open source) e in vari fork di PowerSploit implementa già le catene per MMC20, ShellWindows e ShellBrowserWindow. La sintassi tipica è:

Invoke-DCOM -ComputerName target.lab.local -Method MMC20 -Command "powershell -enc "

SharpDCOM (open source), porting in C# per esecuzione via .NET Framework, è preferibile quando si vuole evitare l'esecuzione di PowerShell per bypassare AMSI e Constrained Language Mode. Per operatori che lavorano con Cobalt Strike (a pagamento), il comando jump dcom-remote del modulo di lateral movement gestisce nativamente l'iniezione di Beacon tramite oggetti COM. SILENTTRINITY (open source) espone moduli analoghi nel namespace lateral_movement/dcom.

Dal punto di vista OPSEC, considera che ogni invocazione genera event log lato server: un'istanziazione di Excel.Application da parte di svchost.exe con parent services.exe su un host che non ha mai eseguito Office è un'anomalia macroscopica. Per ridurre la superficie, preferisci oggetti già presenti sul target e usa il metodo ShellExecute di ShellWindows che genera come parent explorer.exe, molto meno sospetto in ambienti user-facing.

In lab, valida sempre i test contro sistemi con Windows Defender e Sysmon configurato secondo la baseline swiftonsecurity/sysmon-config (open source) per verificare cosa il blue team osserverà realmente.

La detection di DCOM lateral movement si fonda sulla correlazione multi-evento tra attività RPC in ingresso e successiva creazione di processi anomali. La regola di riferimento DET0285 definisce esattamente questo pattern: invocazione DCOM da account privilegiato via porta 135, seguita entro una finestra temporale configurabile (tipicamente 300 secondi) da instanziazione di processi indicativi di esecuzione codice.

Le log source primarie sono WinEventLog:Security e WinEventLog:Sysmon. Sul canale Security, l'evento chiave è EventCode 4624 con LogonType 3 (network logon) che documenta l'autenticazione remota, correlato con 4672 se l'account ha privilegi speciali. Su Sysmon, gli eventi rilevanti sono EventCode 1 (Process Creation) per identificare processi figli anomali, EventCode 3 (Network Connect) per il traffico RPC, e soprattutto EventCode 7 (Image Load) quando DLL COM vengono caricate da processi inattesi.

Il pattern comportamentale distintivo è la genealogia dei processi: quando un attaccante invoca MMC20.Application remotamente, sul target compare mmc.exe come processo figlio di svchost.exe (con command line contenente -Embedding), che a sua volta genera cmd.exe o powershell.exe. Analogamente, l'abuso di Excel.Application produce excel.exe come figlio di svchost.exe con flag -Embedding, cosa che non avviene mai in un uso legittimo dove Excel è figlio di explorer.exe.

Una query Splunk efficace correla i due eventi:

index=windows EventCode=4624 LogonType=3 | join Computer [search index=sysmon EventCode=1 ParentImage="svchost.exe" (Image="mmc.exe" OR Image="excel.exe" OR Image="winword.exe") CommandLine="Embedding"] | where _time_diff<300

Per tuning, mantieni una RemoteHostList dei sistemi che legittimamente utilizzano DCOM (server di gestione, workstation admin) e una UserContext baseline delle utenze che normalmente eseguono attività amministrative cross-host. I falsi positivi principali derivano da software di gestione enterprise (SCCM, Nessus con credentialed scan, backup agent) che utilizzano oggetti COM remoti in modo legittimo — vanno mappati e whitelistati per hostname e account di servizio.

Allineandosi alle contromisure D3FEND, l'hardening preventivo prevede la revisione delle ACL DCOM tramite Dcomcnfg.exe per rimuovere il permesso Remote Launch e Remote Activation dal gruppo Administrators dove non necessario, e l'attivazione del Windows Firewall che blocca l'istanziazione DCOM in default. Strumenti come Sigma (open source) forniscono regole già pronte nella categoria lateral_movement/win_dcom_lateral_movement pronte per essere convertite verso Splunk, Elastic o Sentinel tramite sigmac o pySigma (open source).

L'analisi forense di un incidente DCOM richiede l'esame parallelo del sistema sorgente (da cui parte l'invocazione) e del sistema destinazione (dove avviene l'esecuzione), correlando timeline al secondo.

Sul sistema destinazione, gli artefatti primari risiedono nell'event log Security (%SystemRoot%\System32\winevt\Logs\Security.evtx). L'evento 4624 LogonType 3 con AuthenticationPackageName NTLM o Kerberos documenta l'autenticazione dell'account attaccante, con IpAddress e IpPort che identificano il sorgente. L'evento 4672 segnala l'assegnazione di privilegi speciali, tipico degli account amministrativi usati per DCOM. Il Sysmon EventLog (Microsoft-Windows-Sysmon/Operational.evtx) fornisce l'evidenza definitiva tramite EventID 1: la presenza di processi come mmc.exe, excel.exe o winword.exe con parent svchost.exe e command line contenente -Embedding è patognomonica di DCOM instantiation.

Sul registro di sistema, la chiave HKLM\SOFTWARE\Classes\AppID{GUID} conserva le ACL degli oggetti COM: modifiche recenti a queste chiavi (verificabili tramite il LastWriteTime estratto con RegRipper open source o il plugin registry di Volatility 3 open source) possono indicare tentativi di persistenza o hijacking. Anche HKLM\SOFTWARE\Microsoft\Ole merita attenzione per modifiche ai default di sicurezza system-wide.

Gli artefatti di esecuzione sul target includono Prefetch (C:\Windows\Prefetch*.pf) dei processi generati dall'invocazione DCOM, analizzabili con PECmd di Eric Zimmerman (open source), che rivelano timestamp di prima e ultima esecuzione. Le ShimCache (AppCompatCache nel registry hive SYSTEM) e Amcache.hve conservano tracce persistenti dei binari eseguiti anche dopo cancellazione.

Lato network, se è disponibile packet capture o NetFlow, il traffico RPC verso la porta 135/TCP seguito da connessioni sulle porte dinamiche 49152-65535 tra due host non sospetti costituisce l'evidenza di canale. Zeek (open source) con il parser DCE-RPC produce log strutturati che documentano gli endpoint UUID invocati — l'UUID di MMC20 o di applicazioni Office in una sessione DCE-RPC è forte indicatore.

Per la timeline complessiva, Plaso/log2timeline (open source) permette di fondere event log, MFT, registry e prefetch in un supertimeline CSV o Elasticsearch, correlabile con Timesketch (open source). L'obiettivo è dimostrare la sequenza: logon di rete sul target → creazione processo COM con flag Embedding → spawn di child process attaccante → attività post-exploitation (dump credenziali, discovery, C2).

Sul sistema sorgente, cerca in PowerShell/Operational.evtx (EventID 4104) tracce di script contenenti GetTypeFromProgID o CreateInstance con target remoti, e in Microsoft-Windows-WMI-Activity/Operational eventuali attività WMI correlate poiché DCOM è spesso combinato con WMI.

I dati MITRE ATT&CK non associano gruppi APT specifici alla tecnica T1021.003, ma documentano tre famiglie di malware che ne implementano l'uso nativo, e questo pattern permette di derivare considerazioni rilevanti per la threat intelligence.

Cobalt Strike (S0154), framework commerciale a pagamento sviluppato originariamente da Raphael Mudge e ora di proprietà Fortra, è lo strumento di lateral movement più diffuso in assoluto sia in operazioni legittime di red team sia in campagne criminali. Il modulo di lateral movement include nativamente il comando per la consegna di Beacon payload tramite invocazione COM remota, sfruttando gli oggetti canonici (MMC20, ShellWindows). La sua versatilità lo rende presente nell'arsenale di praticamente tutti i gruppi ransomware moderni e di numerosi APT statuali, con leak di versioni crackate ampiamente circolanti dal 2020.

Empire (S0363), framework open source di post-exploitation basato su PowerShell (e nella versione Empire 5 anche su Python), implementa il modulo Invoke-DCOM che supporta multiple catene di execution via oggetti COM. Nato come progetto della community offensive security e successivamente mantenuto da BC Security, Empire è ampiamente adottato sia in ambito training sia in operazioni reali per la sua natura gratuita e modulare.

SILENTTRINITY (S0692), sviluppato da Marcello Salvati (byt3bl33d3r) come framework open source, sfrutta il .NET Common Language Runtime attraverso IronPython per eseguire codice in-memory. I moduli di lateral movement utilizzano metodi del System namespace per invocare DCOM in modo evasivo rispetto ai controlli PowerShell-centrici come AMSI e Script Block Logging.

Il pattern comune emergente è la preferenza per framework post-exploitation modulari rispetto a strumenti mono-funzione: gli operatori scelgono DCOM quando altre tecniche di lateral movement (SMB admin shares, WMI diretto, RDP, WinRM) sono monitorate o bloccate. DCOM offre il vantaggio di appoggiarsi a binari e servizi assolutamente legittimi e sempre presenti su Windows, riducendo la superficie di detection basata su indicator statici.

Da un punto di vista strategico, la tecnica è particolarmente favorita in ambienti dove la segmentazione di rete è debole ma esistono controlli EDR sulle catene di esecuzione più comuni. Le campagne ransomware moderne (Conti, LockBit, BlackCat nelle loro evoluzioni) hanno tutte incluso DCOM nei playbook affiliate come alternativa a PsExec quando quest'ultimo viene bloccato. Per un threat intel officer, il monitoraggio di repository pubblici che ospitano nuovi wrapper Invoke-DCOM (spesso mascherati come tool difensivi) fornisce early warning sulla probabile adozione in nuove campagne. Il hunting proattivo su instanze COM anomale è considerato un indicatore ad alto valore in tutti i framework di detection engineering moderni.

MITRE ATT&CK: T1021.003 (Distributed Component Object Model), tattica TA0008. Software: S0154 (Cobalt Strike), S0363 (Empire), S0692 (SILENTTRINITY). Mitigazioni: M1026, M1030, M1042, M1048. Detection: DET0285 con analytic AN0791. Framework difensivo MITRE D3FEND per artefatti e contromisure. Parti relative a comandi operativi, sintassi tool (Invoke-DCOM, SharpDCOM, Sysmon, Plaso, Zeek, RegRipper, PECmd) e query di detection derivano da conoscenza professionale di cybersecurity su strumenti pubblicamente documentati e verificabili.