Environmental Keying: Environmental Keying (T1480.001)

Dal punto di vista offensivo, l'Environmental Keying serve a costruire payload che si attivano solo sul bersaglio corretto. Il pattern tipico prevede una fase di discovery ambientale, la derivazione di una chiave dai valori raccolti e la decifratura del secondo stadio.

Su Windows il valore più sfruttato è il numero di serie del volume, come fanno PowerPunch (chiave XOR) e Ninja (chiave dinamica dal serial del disco per un payload cifrato nel Registry). Puoi enumerare il valore con:

vol C:

oppure via WMI con wmic path Win32_LogicalDisk get VolumeSerialNumber. Altri elementi utili sono il nome host (hostname), l'utente e il dominio (whoami /fqdn, systeminfo) e il tick count di sistema. PUBLOAD combina volume serial, computer name, username e machine tick count; TONESHELL usa il nome del computer più valori di configurazione e genera GUID per identificare la vittima.

Un approccio robusto è la DPAPI: InvisiMole e APT41 cifrano componenti con chiavi legate all'utente e alla macchina, così il payload si decifra solo su quel sistema. In un lab puoi replicare la logica con le API CryptProtectData/CryptUnprotectData (native Windows) senza portare chiavi con te.

Per derivazioni personalizzate, in laboratorio è utile combinare valori host con un KDF: openssl (open source) permette di generare chiavi da un seed ambientale, ad esempio dando in pasto il serial del volume come materiale segreto. Il dropper di Winnti for Windows mostra una variante minimalista: verifica la presenza di uno specifico parametro da riga di comando e lo usa come chiave di decifratura, terminando se assente.

Su Linux i valori si raccolgono con uname -a, hostname, id, ip addr e ispezione di cat /etc/machine-id o mount point specifici. Su macOS si usano system_profiler SPHardwareDataType per il serial number, sw_vers e scutil --get ComputerName. La logica di keying resta identica: nessun valore corretto, nessuna decifratura.

Per sviluppo e test controllati sono adatti framework di emulazione come Atomic Red Team (open source) per orchestrare le sequenze di discovery, e CyberChef (open source) per prototipare rapidamente le trasformazioni di derivazione chiave. Ricorda l'osservazione di ROKRAT, che decifra stringhe importanti solo su un hostname specifico, e di Pikabot, che interrompe l'esecuzione se la lingua del sistema rientra in un elenco (georgiano, kazako, russo, ucraino e altri): keying "al contrario" ma dello stesso spirito.

La detection dell'Environmental Keying è comportamentale, non basata su firme: il payload cifrato appare inerte finché non incontra il valore corretto. La strategia efficace, coerente con DET0474, correla la catena discovery → validazione ambientale → operazione crittografica → esecuzione.

Gli artefatti digitali coinvolti sono essenzialmente Process, File, Command e chiavi di Registry, oltre al contesto di rete e dominio. In ottica D3FEND, le contromisure Detect più pertinenti sono Process Spawn Analysis, System Call Analysis e Script Execution Analysis, mentre come Harden/Isolate valgono l'Execution Isolation e il controllo applicativo per bloccare i tool più a monte nella catena.

Su Windows le fonti chiave sono WinEventLog:Security, WinEventLog:Sysmon, WinEventLog:WMI e WinEventLog:PowerShell. Cerca il clustering temporale di discovery multipla: query WMI verso Win32_LogicalDisk per il volume serial, enumerazione di dominio e share, letture di hostname. In Sysmon sono utili EventCode 1 (process creation), EventCode 7 (image load di librerie crittografiche) e EventCode 13 (registry set) — quest'ultimo particolarmente rilevante per campioni tipo Ninja che scrivono payload cifrati sotto chiavi Interface.

Su Linux appoggiati a auditd:SYSCALL, linux:syslog e osquery: la sequenza di uname, hostname, id, ip/ifconfig seguita dal caricamento di libcrypto/libssl è un segnale forte. Su macOS i unifiedlog e gli fsevents evidenziano l'uso di system_profiler, sw_vers e scutil correlato a chiamate CommonCrypto o Security.framework.

La correlazione va parametrizzata con una finestra temporale (default 300 secondi) e una soglia minima di tecniche di discovery distinte entro la finestra. Definisci gli artefatti target-specific della tua organizzazione (nomi dominio, share, hostname, versioni software) e i pattern di indicatori crittografici (nomi processo, command line, API di decifratura).

I falsi positivi principali arrivano da attività amministrativa legittima: script di inventario, tool di asset management e MDM eseguono discovery estesa. Mitiga mantenendo una lista aggiornata di account autorizzati e applicando un baseline di orario lavorativo, assegnando punteggi di rischio più alti alle sequenze fuori orario. Attenzione anche ai motori antivirus e ai backup che invocano librerie crittografiche in modo massivo: senza la componente di discovery ambientale correlata, non costituiscono l'indicatore ricercato.

L'analisi forense dell'Environmental Keying richiede di ricostruire due tempi: la raccolta dei valori ambientali e la successiva decifratura ed esecuzione. Gli artefatti digitali da mappare in timeline sono Process, File, chiavi di Registry, Command History e il contesto di rete/dominio.

Su Windows parti dal numero di serie del volume, valore ricorrente in campioni come PowerPunch, PUBLOAD e Ninja: annotalo dall'immagine disco perché è proprio il materiale da cui deriva la chiave. Ninja archivia il payload finale nel Registry sotto una chiave Interface cifrata con chiave dal serial del disco: ispeziona gli hive SOFTWARE con strumenti come RegRipper (open source) e cerca blob binari anomali. Per i campioni basati su DPAPI (InvisiMole, APT41) recupera i masterkey DPAPI dell'utente e della macchina: senza il contesto originale la decifratura offline è ardua, quindi conserva l'intero profilo utente e i file %APPDATA%\Microsoft\Protect. DPAPImk2john e la suite impacket (open source) aiutano nell'analisi dei blob.

La timeline si arricchisce con Prefetch, ShimCache/AmCache e UserAssist per collocare l'esecuzione, e con l'event log per correlare la discovery. Il tick count di sistema e il computer name usati come chiave (PUBLOAD, TONESHELL) sono ricostruibili dai metadati del sistema al momento dell'infezione; i GUID generati da TONESHELL per identificare la vittima possono comparire in traffico C2 e in artefatti su disco.

Su Linux correla auditd, la history di shell e i comandi uname/hostname/id/ip con il caricamento di libcrypto/libssl; controlla /etc/machine-id e i mount point specifici come possibili sorgenti di keying. Su macOS i unifiedlog e i FSEvents documentano l'uso di system_profiler per il serial hardware e l'accesso a CommonCrypto o Security.framework prima dell'esecuzione del bundle applicativo.

Un nodo cruciale: se recuperi solo il payload cifrato senza i valori ambientali della macchina originale, il reverse engineering può risultare impraticabile — è l'obiettivo stesso della tecnica. Perciò preserva un'immagine completa e coerente del sistema, evitando reimaging prematuri. Per l'analisi statica dei loader usa Ghidra (open source), verificando la logica di derivazione chiave e le stringhe che, come in ROKRAT, si decifrano solo con l'hostname corretto. Documenta ogni valore ambientale rilevato: costituisce la prova che collega il campione a quello specifico bersaglio.

L'Environmental Keying è appannaggio di attori sofisticati che vogliono proteggere le proprie capacità dall'esposizione. I dati disponibili indicano 2 gruppi e 8 famiglie malware, un profilo coerente con operazioni di spionaggio mirato.

Equation (G0020) è stato osservato impiegare l'Environmental Keying nella consegna dei payload, a testimonianza di una maturità tecnica notevole nella protezione degli strumenti: il campione resta illeggibile ovunque tranne che sul bersaglio designato.

APT41 (G0096) mostra un doppio approccio. Da un lato cifra payload con la DPAPI, che lega le chiavi allo specifico account utente su una specifica macchina; dall'altro chiave ambientalmente il secondo stadio con una chiave RC5 derivata in parte dal numero di serie del volume del sistema infetto. Questa combinazione rende la decifratura offline estremamente onerosa per gli analisti.

Sul fronte software emerge un pattern chiaro: il volume serial number è il valore ambientale più sfruttato, condiviso da PowerPunch (S0685, chiave XOR), Ninja (S1100, payload nel Registry) e PUBLOAD (S1228, che aggrega serial, computer name, username e tick count). Questo overlap suggerisce una convergenza tecnica tra sviluppatori diversi verso un identificatore hardware stabile e facilmente leggibile.

TONESHELL (S1239) e PUBLOAD condividono l'uso del computer name e di valori di configurazione per il keying, un accostamento interessante dal punto di vista dell'attribuzione perché entrambi sono associati ad attività di matrice cinese contro obiettivi governativi e diplomatici. TONESHELL aggiunge la generazione di GUID per identificare le vittime e la gestione di sottoprocessi reverse shell.

ROKRAT (S0240) adotta una variante basata sull'hostname, decifrando stringhe critiche solo sul target atteso, mentre InvisiMole (S0260) sfrutta la DPAPI analogamente ad APT41. Il dropper di Winnti for Windows (S0141) rappresenta la variante più semplice, con la chiave passata da riga di comando.

Un caso a parte è Pikabot (S1145), che interrompe l'esecuzione se la lingua di sistema è georgiano, kazako, uzbeko, tagiko, russo, ucraino, bielorusso o sloveno: un guardrail geografico che riflette una probabile origine regionale dell'operatore, evitando la compromissione di sistemi in aree "amiche". Il trend complessivo indica un'adozione crescente di guardrail crittografici per allungare i tempi di risposta difensiva.

MITRE ATT&CK: T1480.001 (Environmental Keying), tattica TA0005. Gruppi G0020, G0096; software S0141, S0240, S0260, S0685, S1100, S1145, S1228, S1239; mitigazione M1055; detection DET0474 (AN1305 Windows, AN1306 Linux, AN1307 macOS). Tool di analisi citati: RegRipper, impacket, Ghidra, osquery, Sysmon, CyberChef, Atomic Red Team, openssl. Parte dei comandi e delle procedure operative deriva da conoscenza professionale di cybersecurity verificata.