Iniezione IFEO: Image File Execution Options Injection (T1546.012)

In laboratorio la tecnica si presta a esercitazioni di persistenza e privilege escalation su Windows 10/11 e Server 2019+. La procedura più didattica è la classica sticky keys backdoor: sostituire il debugger di utilman.exe o sethc.exe con cmd.exe, così da ottenere una shell SYSTEM dalla schermata di logon o via RDP.

Esempio di impianto diretto via reg.exe (richiede privilegi di amministratore locale):

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\utilman.exe" /v Debugger /t REG_SZ /d "C:\Windows\System32\cmd.exe" /f

Una volta alla schermata di lock, la combinazione Win+U invoca Utility Manager, ma il sistema lancia cmd.exe in contesto SYSTEM. La stessa logica funziona con osk.exe, magnify.exe e narrator.exe. Per la variante SilentProcessExit, si opera su due chiavi: sotto SilentProcessExit<target> si impostano ReportingMode (a 1) e MonitorProcess con il percorso del payload, mentre sotto IFEO si aggiunge GlobalFlag a 0x200. In questo modo la terminazione anomala del processo bersaglio (ad esempio notepad.exe) innesca il monitor.

Dal punto di vista offensivo, i framework di post-exploitation più comuni includono moduli dedicati. PowerSploit (open source, ora archiviato ma ancora funzionante come reference) contiene Get-RegistryAlwaysAutoElevate e utilità di persistenza registry. Empire e Covenant (entrambi open source) espongono task per la modifica di chiavi di persistenza. Metasploit Framework (open source) offre il modulo post/windows/manage/persistence_exe che può essere adattato per scrivere Debugger IFEO.

Per scenari di red team con esclusione temporanea di un EDR, è documentato l'uso di IFEO per puntare un debugger inesistente sull'agente di sicurezza (es. MsMpEng.exe): il servizio non parte più. Va eseguito solo in lab isolati.

Un piccolo playbook di esercizio:

1. Preparare una VM Windows con Sysmon (open source) e configurazione SwiftOnSecurity attiva.
2. Impiantare la chiave IFEO su utilman.exe.
3. Verificare la persistenza dopo reboot triggerando Win+U in console RDP.
4. Testare la variante SilentProcessExit con un processo utente.
5. Osservare gli eventi generati per calibrare le regole di detection.

Strumenti utili per l'analisi del registro durante l'esercizio: Registry Explorer di Eric Zimmerman (gratuito), Autoruns di Sysinternals (gratuito) che elenca esplicitamente la sezione Image Hijacks, e Process Monitor (gratuito) per correlare in tempo reale accessi al registro e creazioni di processo.

La detection di T1546.012 poggia principalmente sul monitoraggio delle scritture al registro sotto i due percorsi noti e sulla correlazione con la successiva esecuzione anomala di processi. La fonte primaria è Sysmon (open source) con configurazione che copra EventID 13 (Registry Value Set) e 12 (Registry Object Create) per le chiavi Image File Execution Options e SilentProcessExit. Va affiancato al canale Security nativo, in particolare EventID 4657 (registry value modified), attivo solo se l'auditing SACL è configurato sulle chiavi target.

Una regola di base per SIEM osserva qualsiasi scrittura del valore Debugger o GlobalFlag nelle sottochiavi IFEO, indipendentemente dal binario. Il processo che effettua la scrittura è tipicamente reg.exe, powershell.exe, regedit.exe o un binario custom; il contesto normale è raro (installer legittimi di debugger come WinDbg possono generare rumore). Un filtro utile esclude drwtsn32, vsjitdebugger, e i publisher Microsoft firmati.

La correlazione più efficace è a due stadi:

• Stadio 1: scrittura di Debugger sotto Image File Execution Options<X>.
• Stadio 2: entro un intervallo tunable (la detection MITRE DET0422 suggerisce una TimeWindow configurabile), creazione di processo (Sysmon EventID 1, Security EventID 4688) in cui viene invocato ma il processo effettivamente avviato è quello indicato nel valore Debugger, con relazione parent-child anomala.

Casi ad alto sospetto da elevare immediatamente:

• Debugger impostato su utilman.exe, sethc.exe, osk.exe, narrator.exe, magnify.exe, displayswitch.exe: firma quasi certa di accessibility backdoor.
• Debugger impostato su processi di sicurezza (MsMpEng.exe, MpCmdRun.exe, agenti EDR, SenseIR.exe): pattern di Impair Defenses.
• MonitorProcess sotto SilentProcessExit con path in %TEMP%, %APPDATA% o directory utente scrivibili.
• Sottochiave IFEO creata da processo non-Microsoft o da script (parent powershell.exe, wscript.exe, cscript.exe).

Per i falsi positivi vanno considerati: installazioni di Application Verifier (che scrive GlobalFlag legittimamente), profiling con Visual Studio, agenti APM che iniettano debugger su processi target. Una lista di allow-list basata su hash e firma del processo scrittore riduce drasticamente il rumore.

Sul fronte preventivo, il monitoraggio dei login a console con EventID 4624 logon type 2 (interattivo) e 10 (RemoteInteractive) subito seguiti da creazione di cmd.exe con parent winlogon.exe è una firma inequivocabile della sticky keys backdoor. La correlazione TokenElevationContext aiuta a distinguere elevazioni SYSTEM legittime da quelle inattese, come indicato nel tuning di DET0422. Le regole vanno testate contro parent-child anomalies: winlogon.exe che genera cmd.exe non ha alcun uso legittimo.

L'analisi forense di un impianto IFEO parte dagli hive di registro. Su un'immagine live o offline, il target è l'hive SOFTWARE, estraibile da C:\Windows\System32\config\SOFTWARE. I percorsi da esaminare sono Microsoft\Windows NT\CurrentVersion\Image File Execution Options e la parallela SilentProcessExit, incluse le viste WoW6432Node su sistemi a 64 bit.

Gli strumenti di riferimento sono Registry Explorer di Eric Zimmerman (gratuito), che permette di navigare la struttura e vedere i timestamp di last-write per ogni sottochiave, e RegRipper (open source) con il plugin imagefile che estrae direttamente tutti i valori Debugger configurati. Per triage rapido su endpoint live, Autoruns di Sysinternals (gratuito) espone una tab Image Hijacks dedicata proprio a IFEO e AppInit_DLLs.

Gli artefatti chiave per la timeline:

• LastWrite time della sottochiave IFEO: indica il momento dell'impianto e va confrontato con la timeline di compromissione.
• Valore Debugger: il path del binario invocato — se punta a %TEMP%, %PUBLIC%, %APPDATA% o directory non standard, è indicatore forte.
• GlobalFlag con valore 0x200: necessario per abilitare SilentProcessExit sulla sottochiave IFEO corrispondente.
• MonitorProcess e ReportingMode sotto SilentProcessExit<X>.

Oltre al registro, l'analisi va estesa a:

• Event Log Security (%SystemRoot%\System32\winevt\Logs\Security.evtx): EventID 4657 se l'auditing era attivo.
• Event Log Sysmon (Microsoft-Windows-Sysmon%4Operational.evtx): EventID 13 per la scrittura registry, EventID 1 per l'esecuzione del debugger.
• Prefetch (C:\Windows\Prefetch*.pf): tracce di esecuzione del binario impiantato, con timestamp di prima e ultima esecuzione. Analizzabili con PECmd di Zimmerman (gratuito).
• Amcache.hve e SRUM: presenza del binario debugger nel database di compatibilità e nel resource usage monitor.
• NTFS $MFT: timestamp di creazione del binario debugger, utile per stabilire l'ordine cronologico rispetto alla modifica registry.

La timeline consolidata si costruisce con plaso/log2timeline (open source), che parsifica hive, event log, prefetch e MFT in un supertimeline unico. La correlazione da cercare è: creazione del binario payload → LastWrite della chiave IFEO → esecuzione registrata in prefetch/Sysmon → eventuale logon interattivo che ha innescato il trigger.

Sul piano dei casi documentati, la campagna C0032 attribuita a TEMP.Veles ha visto modifiche estese sotto Image File Execution Options come meccanismo di persistenza in ambienti IT che precedevano il pivoting verso reti OT. SUNBURST ha usato IFEO puntando alla chiave di dllhost.exe per innescare l'installazione di Cobalt Strike, mentre SDBbot condiziona l'uso di IFEO alla verifica di privilegi admin e versione Windows superiore a 7 — un dettaglio utile per orientare la ricerca in incident response.

Il panorama di attori che hanno adottato T1546.012 è ristretto ma qualitativamente significativo, con una netta convergenza verso operatori sofisticati orientati a persistenza di lungo periodo piuttosto che a intrusioni opportunistiche.

Il caso più rilevante documentato è la campagna C0032, attribuita agli attori dietro TEMP.Veles (noti anche in altre tassonomie come i responsabili del framework TRITON/TRISIS contro sistemi safety instrumented). Nel periodo 2014-2017 il gruppo ha condotto un'operazione estesa focalizzata sull'ottenimento di un foothold in ambienti IT enterprise, come fase preparatoria di potenziali pivot verso reti industriali. In questo contesto la manipolazione delle chiavi Image File Execution Options è stata usata per mantenere persistenza silenziosa: la scelta di IFEO invece di meccanismi più rumorosi come Run key o servizi indica maturità operativa e conoscenza della telemetria tipica dei SOC. Il vettore è coerente con la strategia di lungo termine di questo attore, orientata alla presenza pluriennale in target del settore energetico e petrolchimico.

Sul fronte del malware, SUNBURST (S0559) — il payload della supply-chain compromise di SolarWinds Orion, attribuito a APT29 / Cozy Bear / UNC2452 / Nobelium in molteplici tassonomie di threat intelligence — utilizza IFEO in modo mirato: crea un valore Debugger sulla chiave IFEO di dllhost.exe, un processo host legittimo COM+, per triggerare l'installazione di Cobalt Strike come stadio successivo. La scelta di dllhost.exe come trigger è tatticamente elegante: il processo viene invocato frequentemente e in modo legittimo, rendendo il payload difficile da distinguere in una baseline non profilata.

SDBbot (S0461), banker/downloader associato in letteratura pubblica a operazioni cybercrime finanziariamente motivate, adotta un approccio condizionale: attiva la persistenza IFEO solo dopo aver verificato di girare con privilegi admin e su una versione Windows successiva a 7. Questa logica di fallback suggerisce una progettazione modulare e la volontà di massimizzare la stealth su target moderni, evitando di lasciare tracce inefficaci su sistemi legacy dove altri meccanismi funzionano meglio.

Il pattern emergente da questi tre casi mostra una duplice direttrice. Da un lato, attori state-sponsored ad alta capacità (TEMP.Veles, gli operatori di SUNBURST) usano IFEO come componente di catene di persistenza robuste in operazioni long-dwell contro target strategici — infrastruttura critica, supply chain governative, settore tecnologico. Dall'altro, il crimine organizzato (operatori SDBbot) ha adottato la tecnica per operazioni finanziarie, dimostrando la trickle-down capability tipica di TTP originariamente APT che vengono commoditizzate nell'ecosistema criminale. Il trend suggerisce che il monitoraggio delle chiavi IFEO debba essere considerato baseline per qualsiasi organizzazione con esposizione a threat model sia APT sia eCrime.

MITRE ATT&CK T1546.012 (Image File Execution Options Injection); tattiche TA0003 e TA0004; software S0461 (SDBbot) e S0559 (SUNBURST); campagna C0032 (TEMP.Veles); detection strategy DET0422 con analytic AN1186. Tool di detection e analisi citati: Sysmon, Autoruns, Process Monitor, Registry Explorer, RegRipper, PECmd, plaso/log2timeline. Parte dei dettagli operativi su comandi Windows e artefatti forensi deriva da conoscenza professionale consolidata in ambito DFIR e red teaming.