Exploitation Client-Side: Exploitation for Client Execution (T1203)
Exploitation for Client Execution identifica lo sfruttamento di vulnerabilità nelle applicazioni client — browser, suite Office, lettori PDF, plugin come Flash e Java, archiviatori come WinRAR — per ottenere esecuzione arbitraria di codice sull'endpoint della vittima. La tecnica è collocata nella tattica TA0002 (Execution) del framework ATT&CK e rappresenta uno degli snodi più delicati della kill chain, perché trasforma un contatto passivo (un documento aperto, una pagina visitata) in controllo attivo del processo utente.
L'impatto strategico è notevole: 41 gruppi APT documentati, 14 famiglie malware, 5 campagne tracciate e solo 3 mitigazioni consolidate. Il rapporto tra attaccanti e difese disponibili evidenzia quanto la superficie sia difficile da presidiare, soprattutto quando il vettore d'ingresso è un allegato di posta o un link legittimo verso un dominio compromesso.
Le tre grandi famiglie di exploit sono ricorrenti nei dati: browser-based (spesso senza interazione utente, come nei drive-by), Office e produttività (che richiedono l'apertura del file), e applicazioni di terze parti ampiamente diffuse in azienda. La ripetizione di CVE come CVE-2017-11882 (Equation Editor), CVE-2017-0199 (Word OLE) e CVE-2012-0158 (MSCOMCTL) su decine di attori diversi dimostra che gli exploit efficaci sopravvivono per anni nell'arsenale offensivo, ben oltre la disponibilità delle patch.
In un red team engagement, l'obiettivo non è bruciare zero-day ma dimostrare che la superficie client resta esposta. Il framework di riferimento in laboratorio è Metasploit Framework (open source), che include moduli storici per moltissime CVE citate nei dati MITRE: use exploit/windows/fileformat/office_ms17_11882 genera un RTF con payload embedded contro Equation Editor, mentre use exploit/windows/fileformat/office_word_hta copre CVE-2017-0199 tramite oggetti OLE remoti.
Per la generazione di documenti malevoli in ambiente controllato, CVE-2017-11882-Exploit e progetti simili su GitHub (open source) offrono POC didattici. La libreria python-oletools (open source) di Philippe Lagadec è indispensabile per analisi e per costruire documenti test: olevba documento.doc estrae macro e stream OLE, rtfobj campione.rtf isola gli oggetti embedded tipici degli exploit Equation Editor.
Per scenari browser, BeEF - Browser Exploitation Framework (open source) permette di simulare hook e post-exploitation lato client dopo un drive-by, mentre social-engineer-toolkit (SET) (open source) genera pagine di phishing e vettori applet. Contro applicazioni terze come WinRAR (CVE-2018-20250) o Follina (CVE-2022-30190, sfruttata da Woody RAT), esistono POC pubblici verificabili su Exploit-DB (gratuito).
La catena tipica in un lab red team ricalca quanto documentato per Frankenstein, Cobalt Group e APT37:
- Ricognizione della postura patch tramite pretexting o metadati esposti
- Weaponization di un documento Office o di un link a landing page controllata
- Delivery via spearphishing simulato attraverso GoPhish (open source)
- Exploitation con payload staged verso Cobalt Strike (a pagamento) o Sliver (open source) come C2
Per emulare APT29 o APT41 in modo realistico si può ricorrere a CALDERA (open source) di MITRE, che include ability legate a T1203 e permette di orchestrare la catena in modo ripetibile. Su macOS, dove i dati indicano attività di gruppi come UNC4736 nel caso 3CX, la simulazione va condotta con payload firmati e attenzione al quarantine attribute: Mythic (open source) supporta agent nativi per il testing.
Regola operativa fondamentale: ogni exploit va detonato in VM isolata con snapshot, mai su asset di produzione, e le CVE vanno confermate contro la versione target prima di generare rumore inutile.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.