Abuso di InstallUtil: System Binary Proxy Execution via InstallUtil (T1218.004)

La catena d'attacco tipica prevede la creazione di un assembly .NET contenente una classe decorata con [System.ComponentModel.RunInstaller(true)], che eredita da System.Configuration.Install.Installer e implementa la logica malevola in override dei metodi Install o Uninstall.

La compilazione può avvenire con il compilatore C# incluso nel framework:

C:\Windows\Microsoft.NET\Framework\v4.0.30319\csc.exe /target:library /out:payload.dll payload.cs

L'esecuzione avviene poi con il flag di logfile nullo e senza output verboso:

C:\Windows\Microsoft.NET\Framework\v4.0.30319\InstallUtil.exe /logfile= /LogToConsole=false /U payload.dll

Il parametro /U (uninstall) è particolarmente sfruttato perché innesca il metodo Uninstall dell'assembly, spesso usato per caricare shellcode o payload secondari. Il flag /logfile= sopprime la scrittura del log su disco, riducendo artefatti.

Per un red team engagement, i framework offensivi più usati sono:

• Covenant (open source) — il framework C2 .NET nativo genera launcher InstallUtil tramite XML, producendo direttamente un assembly pronto all'uso per l'installazione di listener Grunt.
• Cobalt Strike (a pagamento) — supporta la generazione di stager compatibili con InstallUtil tramite Artifact Kit e Aggressor Script personalizzati.
• Metasploit Framework (open source) — il modulo windows/smb/smb_delivery combinato con payload .NET può essere adattato.
• Nps_Payload (open source) — genera specificamente payload progettati per esecuzione via MSBuild/InstallUtil con shellcode incorporato.
• GreatSCT (open source, non più mantenuto ma ancora funzionante in laboratorio) — nasce come fork di Veil per generare payload LOLBin, inclusa la variante InstallUtil.

Una variante interessante per bypass di application control consiste nell'usare InstallUtil per invocare un assembly che a sua volta esegue shellcode tramite VirtualAlloc, CreateThread e API P/Invoke, evitando la creazione di processi figli sospetti come cmd.exe o powershell.exe. Questa tecnica riduce drasticamente le firme comportamentali standard.

Per la fase di sviluppo in laboratorio è utile testare il payload prima con AMSI bypass noti, verificare l'assenza di stringhe rilevate da Windows Defender tramite AmsiScanBuffer e validare la persistenza dell'esecuzione tramite log di Sysmon configurato con configurazione SwiftOnSecurity o Olaf Hartong. Un test end-to-end su una VM Windows 10/11 con Defender aggiornato mostra rapidamente quali artefatti restano visibili.

La detection di InstallUtil malevolo si fonda sul monitoraggio del processo padre-figlio e sull'analisi della riga di comando. Il detection pack DET0138 identifica esecuzioni di InstallUtil.exe dalle directory .NET con argomenti che puntano ad assembly non standard, correlate con la creazione recente del file assembly e con eventuali processi figli sospetti.

Le fonti di log essenziali sono Sysmon (open source) — in particolare EventID 1 per process creation, EventID 11 per file creation e EventID 7 per image loading — e PowerShell operational log (EventID 4104 per script block logging). Anche il canale Security con EventID 4688 (process creation con command line auditing abilitato tramite policy) offre visibilità di base.

Una query di baseline in KQL per Microsoft Defender for Endpoint filtra i processi InstallUtil.exe che caricano assembly da directory scrivibili dall'utente:

DeviceProcessEvents | where FileName =~ "InstallUtil.exe" | where ProcessCommandLine has_any ("AppData", "Temp", "Users\Public", "ProgramData") | project Timestamp, DeviceName, AccountName, ProcessCommandLine, InitiatingProcessFileName

Segnali di alta confidenza includono: presenza del flag /logfile= vuoto combinato con /U, esecuzione da account non amministrativi, assembly con path in %TEMP% o %APPDATA%, e assenza di firma digitale sull'assembly caricato. Il tuning suggerito dal detection pack prevede regex sul path di InstallUtil per limitare ai binari legittimi nelle directory .NET, pattern per identificare assembly sospetti in cartelle utente, e una lista di processi figli anomali (cmd.exe, powershell.exe, rundll32.exe, regsvr32.exe).

Dal punto di vista hardening, la mitigazione M1038 raccomanda AppLocker o Windows Defender Application Control (WDAC) con regole di blocco esplicite su InstallUtil.exe laddove non necessario. Una regola AppLocker può essere costruita indicando il path completo del binario nella collezione Executable Rules con azione Deny, applicata a Everyone tranne il gruppo Administrators. La mitigazione M1042 suggerisce di rimuovere il .NET Framework dai sistemi dove non serve, sebbene questo sia raramente praticabile su workstation.

I falsi positivi più comuni derivano da software di installazione enterprise che usano legittimamente InstallUtil per registrare servizi Windows: SCCM, alcuni agent EDR e installer di applicazioni line-of-business. Il tuning richiede whitelisting per hash dell'assembly o per firma del vendor, mantenendo l'alert sui path insoliti. Correlare la finestra temporale tra creazione dell'assembly e sua esecuzione — tipicamente entro pochi minuti in scenari malevoli — riduce ulteriormente il rumore.

L'analisi forense di un incidente che coinvolge InstallUtil parte dalla ricostruzione della timeline di esecuzione e dall'identificazione dell'assembly caricato. Gli artefatti primari risiedono nel filesystem, nel registro e nei log di eventi.

Sul filesystem, l'assembly malevolo è spesso ancora presente in %TEMP%, %APPDATA%\Local\Temp o in sottocartelle di %PROGRAMDATA%. La sua acquisizione con strumenti come KAPE (gratuito per uso non commerciale) tramite target NETPreFetch e EvidenceOfExecution recupera velocemente i file rilevanti. L'analisi statica dell'assembly con dnSpy (open source) o ILSpy (open source) permette di decompilare il codice .NET e identificare le classi decorate con RunInstaller(true), i metodi Install/Uninstall sovrascritti e le chiamate P/Invoke a kernel32.dll tipiche di shellcode loader.

Gli artefatti di esecuzione includono Prefetch in C:\Windows\Prefetch\INSTALLUTIL.EXE-.pf*, analizzabile con PECmd di Eric Zimmerman (open source) per estrarre timestamp di prima e ultima esecuzione, contatore di esecuzioni e file caricati durante l'esecuzione (utile per identificare il path dell'assembly). Le ShimCache e Amcache (C:\Windows\AppCompat\Programs\Amcache.hve) conservano ulteriori tracce, estraibili con AmcacheParser (open source): Amcache in particolare registra hash SHA1 dell'assembly, path completo e timestamp di prima esecuzione.

I log di Sysmon, se configurato prima dell'incidente, forniscono la ricostruzione più completa: EventID 1 mostra la command line esatta di InstallUtil con parent process, EventID 11 traccia la scrittura dell'assembly sul disco e EventID 3 eventuali connessioni di rete generate dal payload. In assenza di Sysmon, il Security log con EventID 4688 — se il command line auditing era attivo tramite GPO — resta la fonte principale. Il PowerShell log (EventID 4104) può contenere la fase preparatoria se il payload è stato scritto da uno script.

Per la correlazione temporale, la finestra tra creazione del file assembly ($STANDARD_INFORMATION e $FILE_NAME MFT timestamps, estratti con MFTECmd, open source) e prima esecuzione di InstallUtil è tipicamente di pochi secondi o minuti. Discrepanze tra i timestamp $SI e $FN possono indicare timestomping, tecnica frequentemente abbinata all'abuso di LOLBin.

Casi documentati come WhisperGate mostrano l'uso di InstallUtil per disabilitare Windows Defender: in questi scenari, cercare modifiche recenti a chiavi di registro sotto HKLM\SOFTWARE\Policies\Microsoft\Windows Defender e log di Microsoft-Windows-Windows Defender/Operational con EventID 5001 (real-time protection disabled) fornisce conferma dell'attività distruttiva. Per menuPass e Mustang Panda, l'artefatto tipico è invece uno stager Cobalt Strike Beacon, riconoscibile per la presenza di named pipe caratteristici e traffico C2 su HTTPS.

L'abuso di InstallUtil è diffuso trasversalmente tra attori state-sponsored e criminalità organizzata, con una preferenza marcata per operazioni che richiedono bypass di application control in ambienti enterprise ben difesi.

menuPass (G0045), noto anche come APT10 o Stone Panda, è un gruppo attribuito a operazioni di cyberspionaggio con interessi allineati alla Repubblica Popolare Cinese. Il gruppo ha una lunga storia di targeting contro Managed Service Provider (MSP) e settori manifatturiero, aerospaziale e sanitario in Nord America, Europa e Giappone. L'uso di InstallUtil per eseguire malware si inserisce in una toolchain matura che privilegia LOLBin per ridurre la footprint su endpoint monitorati da SOC evoluti.

Mustang Panda (G0129), altro cluster attribuito a interessi cinesi, opera prevalentemente contro ONG, entità governative e think tank in Asia meridionale, Europa e nel sud-est asiatico. Il gruppo ha usato InstallUtil come proxy per eseguire uno stager Cobalt Strike Beacon, confermando un pattern comune tra gruppi APT cinesi: combinare Cobalt Strike (framework commerciale ampiamente pirato) con tecniche di execution proxy per aggirare EDR e application whitelisting.

Sul fronte del malware commodity e delle operazioni finanziariamente motivate, Chaes (S0631) — banking trojan attivo principalmente in America Latina, con focus su clienti bancari brasiliani — usa InstallUtil per scaricare contenuti aggiuntivi, sfruttando la firma Microsoft per bypassare controlli reputazionali. Saint Bot (S1018) è un loader/downloader utilizzato in campagne di distribuzione malware più ampie, che sfrutta InstallUtil per deployare eseguibili secondari mantenendo bassa la detection nella fase iniziale.

WhisperGate (S0689) merita menzione particolare: è il wiper distruttivo utilizzato in operazioni contro entità ucraine, dove InstallUtil è stato sfruttato non per esecuzione di payload principale ma come componente della catena per disabilitare Windows Defender, abilitando le fasi successive di distruzione dati. Questo uso illustra la versatilità della tecnica oltre il semplice proxy execution.

Sul versante offensive tooling, Covenant (S1155) è un framework command-and-control .NET open source che ha nativizzato la generazione di launcher basati su InstallUtil tramite file XML, rendendo la tecnica accessibile anche a operatori con competenze limitate. Questa democratizzazione contribuisce alla diffusione crescente dell'abuso.

Il pattern emergente mostra convergenza tra APT sofisticati e malware commodity nell'adozione di LOLBin .NET-based: la combinazione di firma Microsoft, presenza garantita e capacità di eseguire codice managed rende InstallUtil una scelta ricorrente in scenari sia di targeted attack sia di distribuzione massiva. La priorità difensiva per organizzazioni con esposizione a questi attori dovrebbe includere blocco esplicito di InstallUtil via WDAC dove non operativamente necessario.

MITRE ATT&CK: tecnica T1218.004, gruppi G0045 (menuPass), G0129 (Mustang Panda), software S0631 (Chaes), S0689 (WhisperGate), S1018 (Saint Bot), S1155 (Covenant), mitigazioni M1038, M1042, detection pack DET0138. Alcuni dettagli su tool operativi (dnSpy, KAPE, PECmd, AmcacheParser, MFTECmd, Covenant, GreatSCT, Nps_Payload) e sintassi di comandi derivano da conoscenza professionale di cybersecurity basata su documentazione pubblica dei rispettivi progetti.