Rimozione Indicatori: Indicator Removal (T1070)
La tecnica T1070 - Indicator Removal raccoglie l'insieme di azioni con cui un avversario cancella, sovrascrive o modifica gli artefatti generati durante la propria attività su un sistema compromesso. L'obiettivo è duplice: da un lato ostacolare la detection in tempo reale interferendo con log, event trace e telemetria; dall'altro compromettere l'analisi forense successiva, privando gli investigatori dei dati necessari a ricostruire la catena di intrusione.
Inquadrata nella tattica TA0005 (Defense Evasion), la rimozione degli indicatori è tipicamente una fase tardiva della kill chain, eseguita dopo l'esecuzione del payload, la persistenza o l'esfiltrazione. Il MITRE ATT&CK documenta 4 gruppi APT, 25 famiglie di malware o tool, 2 campagne e 3 mitigazioni direttamente associate.
Gli artefatti bersaglio variano per piattaforma: su Windows si parla di Event Log, chiavi di Registry, Prefetch, Shadow Copies e file di sessione; su Linux di .bash_history, syslog, audit log e voci in /proc; su macOS di Unified Logs e plist di persistenza; su ESXi dei log hostd e vpxa. La casistica include anche la rimozione selettiva di specifici indicatori (una singola chiave, un singolo record) per ridurre il rumore rispetto a un wipe totale, che risulterebbe esso stesso un forte segnale. La sofisticazione di questa tecnica cresce nelle intrusioni state-sponsored, dove il ripristino dello stato originario è parte integrante del playbook.
In un red team engagement, la simulazione di T1070 va pianificata con attenzione perché le azioni sono per definizione distruttive rispetto alla telemetria. La regola operativa è documentare ex ante ogni artefatto che verrà toccato, in modo che il blue team possa verificare successivamente cosa non è stato rilevato.
Su Windows, il comando wevtutil cl Security cancella l'intero Security log, ma nella pratica reale gli attaccanti sofisticati preferiscono approcci selettivi. Strumenti come Invoke-Phant0m (open source) tentano di terminare i thread del servizio EventLog senza generare l'event ID 1102, che è invece la firma classica del clear log. Un altro pattern è la manipolazione della Registry via reg delete HKCU\Software... per eliminare tracce di persistenza appena installata, come fanno SDBbot, Metamorfo e DarkWatchman secondo i dati MITRE. La cancellazione delle Shadow Copies via vssadmin delete shadows /all /quiet è tipica dei ransomware, ma Maze aggiunge il ripristino della Wow64 redirection per non lasciare stato incoerente.
Su Linux, la catena classica include unset HISTFILE, export HISTSIZE=0 e infine history -c per la sessione corrente, seguita da shred -u ~/.bash_history per rendere non recuperabile il file. La rotazione forzata di auth.log e syslog può essere ottenuta con logrotate --force o cancellazione diretta con truncate -s 0. Il pattern di BPFDoor documentato nei dati (svuotamento di /proc/PID/environ) va emulato con attenzione perché richiede syscall dirette.
Su macOS, log erase --all svuota gli Unified Log; la rimozione dei plist di LaunchAgent richiede launchctl unload seguito da rm del file. Su ESXi, gli operatori del red team possono simulare quanto visto nella campagna Cutting Edge interagendo con la shell per troncare hostd.log e vpxa.log, o usando PowerCLI (freemium, VMware) per rimuovere event tramite Remove-VIEvent.
Per catene end-to-end, framework come SILENTTRINITY (open source), Covenant (open source) o Cobalt Strike (a pagamento) offrono moduli di cleanup integrati che eseguono la sequenza in modo coerente col resto dell'operazione, replicando il comportamento di attori reali come Lazarus Group, che secondo MITRE ripristina persino il KernelCallbackTable al valore originale dopo aver dirottato il flusso di esecuzione.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo