Script di Logon Windows: Logon Script (T1037.001)

In un esercizio red team, la simulazione di T1037.001 è tra le più semplici da implementare e serve a validare le capacità di detection del blue team su una chiave di registro poco monitorata. Il payload iniziale può essere un semplice batch, un VBScript o un binario compilato che avvia il beacon C2.

La creazione della persistenza richiede una singola operazione di scrittura nel ramo HKCU, quindi non necessita di privilegi amministrativi: qualsiasi utente autenticato può persistere sul proprio profilo. Con reg.exe nativo:

reg add "HKCU\Environment" /v UserInitMprLogonScript /t REG_SZ /d "C:\Users\Public\payload.bat" /f

Oppure in PowerShell, che offre migliore integrazione in loader in-memory:

Set-ItemProperty -Path "HKCU:\Environment" -Name "UserInitMprLogonScript" -Value "C:\Users\Public\payload.bat"

Dopo la scrittura, il trigger si attiva al successivo logon interattivo dell'utente. Per validare in laboratorio senza attendere, è sufficiente eseguire logoff seguito da nuovo login, oppure invocare runas /user:target cmd per simulare l'iniziazione di sessione.

Dal punto di vista dei framework offensivi, la tecnica è implementata nativamente in Atomic Red Team (open source) con l'atomic test dedicato a T1037.001, che consente esecuzione controllata e cleanup automatico. Empire e Covenant (entrambi open source) espongono moduli di persistenza che scrivono la stessa chiave, così come Metasploit Framework (open source) tramite il modulo di post-exploitation per persistenza registry-based. Chi preferisce operazioni manuali può usare SharPersist (open source), toolkit C# specificamente dedicato alla persistenza Windows, che include il modulo logonscript.

Per una catena d'attacco realistica, il payload puntato dalla chiave dovrebbe essere posizionato in una directory scrivibile dall'utente ma poco ispezionata (es. sottocartelle di AppData\Local), evitando percorsi banali come C:\Users\Public. Una variante più stealth consiste nel far puntare la chiave a uno script che a sua volta decodifica ed esegue payload in memoria via rundll32 o regsvr32, riducendo l'esposizione su disco.

Durante l'esercizio è utile combinare la persistenza con T1548 (Abuse Elevation Control Mechanism) per verificare se lo script eseguito eredita privilegi elevati quando l'utente compromesso appartiene al gruppo Administrators. Il cleanup finale deve rimuovere il valore con reg delete "HKCU\Environment" /v UserInitMprLogonScript /f e cancellare il payload dal filesystem, documentando gli IoC per il debrief con il blue team.

La detection di T1037.001 ruota attorno a due segnali complementari: la modifica della chiave di registro UserInitMprLogonScript e l'esecuzione anomala del processo figlio durante la sequenza di logon, così come formalizzato in DET0072 (analitica AN0199).

La fonte primaria è Sysmon (gratuito, Microsoft Sysinternals) con configurazione che includa l'EventID 13 (RegistryEvent Value Set) filtrato sul path HKCU\Environment\UserInitMprLogonScript. Una regola base intercetta ogni scrittura su quel valore, indipendentemente dal processo sorgente: essendo una chiave raramente toccata da software legittimo, il rumore è minimo. In alternativa, l'auditing nativo di Windows tramite auditpol /set /subcategory:"Registry" /success:enable produce eventi 4657 nel Security log, ma richiede SACL configurata specificamente sulla chiave.

Il secondo pilastro è la correlazione con l'esecuzione: al logon successivo si osserverà un processo figlio di userinit.exe o explorer.exe che non corrisponde ai processi attesi. Sysmon EventID 1 (Process Create) permette di catturare la catena, con particolare attenzione a cmd.exe, wscript.exe, cscript.exe, powershell.exe o binari non firmati lanciati entro i primi secondi dopo l'evento 4624 (logon type 2 o 10) nel Security log.

Una regola di correlazione efficace unisce:

• WinEventLog:Security — evento 4624 per identificare il momento del logon utente
• WinEventLog:System e Sysmon — evento 13 con TargetObject contenente UserInitMprLogonScript
• Sysmon EventID 1 — process creation con ParentImage riconducibile alla catena di logon, entro una finestra di 30-60 secondi

Sul fronte D3FEND, le tecniche difensive rilevanti includono System Init Config Analysis per l'ispezione periodica delle chiavi di autostart, User Behavior Analysis per identificare esecuzioni fuori pattern durante il logon, e Executable Allowlisting come controllo preventivo che blocca lo script se non firmato o non in whitelist.

I falsi positivi più comuni derivano da software di gestione parco macchine (SCCM, agenti di inventario) o script di dominio legittimi distribuiti via GPO, che tuttavia utilizzano il ramo HKLM o il meccanismo Group Policy Logon Scripts, non HKCU\Environment. Una scrittura su UserInitMprLogonScript originata da un processo utente (non da agenti gestiti centralmente) è quasi sempre sospetta.

Il tuning suggerito dai dati MITRE prevede filtri su script_path_keywords per escludere percorsi noti come NETLOGON e SYSVOL, restringere la finestra temporale ai primi minuti post-autenticazione e focalizzare l'analisi su utenti privilegiati o con accesso remoto (RDP, VPN).

L'indagine forense su T1037.001 parte dall'ispezione diretta dell'hive NTUSER.DAT dell'utente sospetto, dove risiede il ramo HKCU. Su un'immagine acquisita, il file si trova in C:\Users<username>\NTUSER.DAT e può essere analizzato con Registry Explorer (gratuito, Eric Zimmerman) oppure RegRipper (open source) tramite il plugin environment, che estrae tutti i valori sotto HKCU\Environment inclusa la stringa UserInitMprLogonScript se presente.

Il valore stesso è l'IoC primario: contiene il percorso completo dello script o binario persistito. Il timestamp LastWrite della chiave Environment fornisce il momento approssimativo della compromissione, utile per pivotare sulla timeline. Con rip.exe -r NTUSER.DAT -p environment si ottiene output pronto per l'analisi.

La timeline forense va costruita correlando più fonti. Il Master File Table (analizzabile con MFTECmd di Eric Zimmerman, open source) permette di identificare creazione e modifica del file script puntato dalla chiave, mentre gli UserAssist e ShimCache/AmCache (estraibili con AmcacheParser open source) documentano l'esecuzione storica del binario, anche dopo eventuale rimozione. Il Prefetch in *C:\Windows\Prefetch* conserva evidenze delle prime esecuzioni con timestamp precisi e conteggio dei run.

Sul lato eventi, il Security event log (%SystemRoot%\System32\winevt\Logs\Security.evtx) contiene gli eventi 4624 di logon che hanno triggerato lo script; correlando l'ora del logon con la creazione dei processi figli nel Sysmon operational log si ricostruisce la catena esecutiva completa. EvtxECmd (open source, Zimmerman) è lo strumento di riferimento per il parsing e la normalizzazione in CSV analizzabile.

Gli artefatti D3FEND rilevanti per questa tecnica includono la Windows Registry Key modificata, il File puntato dallo script, il Process generato al logon e l'Authentication Event che ha innescato la catena. Documentare tutti e quattro gli artefatti nella timeline rafforza la narrativa forense.

Sul piano delle campagne documentate, i dati MITRE attribuiscono l'uso di questa esatta chiave al loader di APT28 (G0007) e a Cobalt Group (G0080). Le famiglie malware JHUHUGIT (S0044) e Zebrocy (S0251), entrambe legate all'ecosistema APT28, scrivono il valore come parte della routine di installazione. Attor (S0438) opera via dispatcher, mentre KGH_SPY (S0526) integra la persistenza nel proprio modulo di installazione. La presenza di UserInitMprLogonScript popolato con path non standard è quindi un indicatore ad alta confidenza di attribuzione a queste famiglie in contesti di targeted intrusion.

L'analisi dell'adozione di T1037.001 rivela un pattern interessante: nonostante la tecnica sia banale da implementare, il suo utilizzo documentato è concentrato in un cluster ristretto di attori state-sponsored e criminali di alto profilo, suggerendo che venga preservata come tecnica di persistenza "silenziosa" in operazioni ad alto valore.

APT28 (G0007), noto anche come Fancy Bear o Sofacy, è l'attore più prolifico nell'uso di questa tecnica. Il gruppo, attribuito a operazioni di cyber-espionage con targeting su governi, difesa e organizzazioni giornalistiche, integra la scrittura di UserInitMprLogonScript direttamente nel proprio loader Trojan. La stessa famiglia operativa include JHUHUGIT (S0044) e Zebrocy (S0251), due impianti storicamente attribuiti al gruppo: entrambi implementano identica routine di persistenza sulla medesima chiave, il che rappresenta un chiaro tool overlap e un TTP di attribuzione robusto. La coerenza implementativa tra loader diversi dello stesso attore indica una codebase interna condivisa o linee guida operative standardizzate.

Cobalt Group (G0080) rappresenta il secondo cluster documentato. A differenza di APT28, l'orientamento è prevalentemente finanziario, con targeting su istituzioni bancarie e sistemi di pagamento. L'adozione della stessa tecnica di persistenza da parte di un attore con motivazioni diverse conferma che UserInitMprLogonScript è considerato un vettore affidabile e a basso rischio di detection trasversalmente alle finalità operative. Cobalt Group utilizza la chiave per registrare il file name del payload di stage successivo, integrando la persistenza in una catena multi-stadio.

Sul fronte malware, oltre alle famiglie APT28-related, si registrano Attor (S0438) e KGH_SPY (S0526). Attor è un framework di spionaggio modulare con targeting documentato su utenti russofoni e diplomatici in Europa orientale, caratterizzato da un dispatcher che gestisce plugin specializzati; la persistenza via logon script è parte del setup iniziale del dispatcher. KGH_SPY è associato a operazioni contro entità sudcoreane e mostra come la tecnica sia adottata anche in operazioni APT del quadrante asiatico.

Il pattern geografico emergente vede attori riconducibili all'area russa (APT28, Cobalt Group, Attor) predominare, con un'estensione verso operazioni est-asiatiche (KGH_SPY). L'assenza di adozione documentata da parte di gruppi cinesi di primo livello o attori iraniani sulla stessa chiave suggerisce differenze culturali negli arsenali di persistenza, dove altri cluster preferiscono Run keys, Scheduled Tasks o Services.

Il trend osservabile è la stabilità: la tecnica non è stata dismessa nonostante la sua età, perché continua a eludere detection generiche focalizzate sulle chiavi Run classiche. Per un threat intel officer, la scrittura su UserInitMprLogonScript deve essere trattata come indicatore ad alta priorità e potenziale marker di attribuzione verso il cluster APT28 o affini.

Dati tecnici da MITRE ATT&CK per T1037.001 (Persistence, Privilege Escalation), gruppi G0007 APT28 e G0080 Cobalt Group, software S0044 JHUHUGIT, S0251 Zebrocy, S0438 Attor, S0526 KGH_SPY, mitigazione M1024 e detection DET0072/AN0199. Riferimenti difensivi da MITRE D3FEND. Le indicazioni su tool operativi (Sysmon, Atomic Red Team, Registry Explorer, RegRipper, MFTECmd, EvtxECmd, SharPersist) derivano da conoscenza professionale di cybersecurity e documentazione ufficiale dei rispettivi progetti.