Script di Logon di Rete: Network Logon Script (T1037.003)

L'esecuzione di un'operazione red team su T1037.003 parte dall'enumerazione dell'ambiente Active Directory. Il primo passo consiste nell'identificare le GPO che assegnano script di logon di rete e gli account con privilegi di scrittura sui percorsi SYSVOL. Il modulo PowerView (open source, parte di PowerSploit) fornisce cmdlet come Get-DomainGPO e Get-DomainOU per mappare le relazioni tra GPO, OU e account bersaglio.

Una sequenza operativa tipica in laboratorio prevede:

• Enumerazione GPO con Get-DomainGPO -Properties displayname,gpcfilesyspath per identificare i percorsi SYSVOL rilevanti
• Verifica delle ACL con Get-DomainObjectAcl -Identity 'nome-gpo' -ResolveGUIDs per individuare GPO con permessi di scrittura eccessivi
• Enumerazione degli utenti con script di logon assegnati tramite l'attributo scriptPath dell'oggetto utente: Get-DomainUser -LDAPFilter '(scriptPath=)'*

Una volta identificato un target, la modifica dello script può avvenire tramite accesso diretto alla share SYSVOL (path tipico *\dominio\SYSVOL\dominio\scripts*) oppure modificando l'attributo scriptPath con PowerShell Active Directory module (integrato in Windows RSAT, gratuito): Set-ADUser -Identity vittima -ScriptPath 'logon.bat'.

Per scenari basati su GPO, il tool SharpGPOAbuse (open source) permette di aggiungere script di logon a una GPO esistente specificando il payload da eseguire. La sintassi tipica è SharpGPOAbuse.exe --AddUserScript --ScriptName script.bat --ScriptContents "comando" --GPOName "Nome GPO".

Su ambienti Linux integrati con dominio via SSSD o Winbind, gli script di logon possono essere veicolati attraverso i meccanismi PAM (pam_script) o tramite login shell configurate centralmente, anche se il pattern nativo è meno diffuso rispetto a Windows.

In fase di post-exploitation, l'operatore red team deve valutare la ricorrenza del payload: uno script che si riscarica ad ogni logon garantisce persistenza anche dopo bonifica parziale dell'endpoint, ma aumenta anche la superficie di rilevamento. Il payload dovrebbe quindi essere modulare, con logica di verifica per evitare esecuzioni ridondanti e telemetria eccessiva.

Per laboratori isolati, il framework BadBlood (open source) permette di popolare rapidamente un dominio Active Directory con utenti, GPO e relazioni realistiche su cui testare la catena completa senza impattare ambienti di produzione. La combinazione BloodHound (open source) più SharpHound completa la fase di ricognizione visualizzando graficamente i percorsi di attacco che portano al controllo di GPO ad alto impatto.

Il rilevamento di T1037.003 richiede correlazione tra modifiche alla configurazione di Active Directory ed eventi di esecuzione successivi sugli endpoint. La detection DET0367 fornita da MITRE (AN1034) si basa proprio sulla correlazione multi-evento tra aggiornamenti di Group Policy e successiva esecuzione remota di script scatenata dai logon utente.

Le fonti di log primarie sono il Windows Security log e il System log. Gli eventi chiave da monitorare includono:

• EventCode 5136 (Directory Service Changes) — modifica di attributi su oggetti AD, in particolare scriptPath su oggetti utente o gPCFileSysPath su GPO
• EventCode 5145 (Detailed File Share) — accessi in scrittura su share SYSVOL
• EventCode 4688 (Process Creation) con parent process associato a userinit.exe o gpscript.exe, che indica esecuzione di script durante la sequenza di logon
• EventCode 4624 (Logon) di tipo 2 o 10 seguito entro breve finestra temporale da esecuzione di interpreti come cmd.exe, powershell.exe, wscript.exe, cscript.exe

La logica di correlazione dovrebbe considerare una finestra temporale di 2-10 minuti tra la modifica GPO e la successiva esecuzione, come suggerito dal tuning MITRE. È fondamentale filtrare per il UserContext, distinguendo account amministrativi noti (che modificano GPO come parte delle mansioni) da account anomali o compromessi.

Dal punto di vista della difesa proattiva allineata al framework D3FEND, le tecniche di Process Analysis e File Analysis applicate al percorso SYSVOL forniscono baseline comportamentali. Il monitoraggio degli artefatti Group Policy Object, User Account e Script File consente di identificare deviazioni dalle configurazioni approvate.

I falsi positivi principali derivano da:

• Attività legittima del team IT durante aggiornamenti di GPO pianificati (mitigabile con integrazione al sistema di change management)
• Software di gestione endpoint che modifica script di logon per deploy di configurazioni
• Ambienti in cui gli script di logon vengono aggiornati frequentemente per esigenze di business

Regole SIEM efficaci dovrebbero incrociare gli eventi di modifica su SYSVOL con l'identità dell'attore, l'orario (attività fuori orario lavorativo pesa di più) e la presenza dell'account modificatore in liste autorizzate. Un ulteriore livello è l'analisi dei contenuti dei nuovi script tramite integrazione con Sysmon (open source) Event ID 11 (File Create) su path SYSVOL, che consente ispezione automatica dei nuovi file introdotti.

Infine, l'abilitazione dell'audit avanzato tramite auditpol /set /subcategory:"Directory Service Changes" /success:enable /failure:enable è precondizione tecnica per raccogliere gli eventi 5136 necessari alla detection.

L'analisi forense di un incidente riconducibile a T1037.003 ruota attorno a tre categorie di artefatti: modifiche agli oggetti di Active Directory, contenuto della share SYSVOL, e tracce di esecuzione sugli endpoint impattati.

Sul Domain Controller, l'artefatto primario è il database NTDS.dit (percorso C:\Windows\NTDS\ntds.dit), che contiene lo stato corrente degli attributi scriptPath per gli account utente. Un'estrazione offline con libesedb (open source) o NTDSDumpEx permette di enumerare tutti gli utenti con script assegnati e confrontarli con la baseline documentata. Il metadata di modifica (whenChanged, uSNChanged) fornisce indicazioni temporali su quando l'attributo è stato alterato.

Gli Event Log del Domain Controller sono la seconda fonte critica. Il file Security.evtx contiene gli eventi 5136 con dettaglio dell'attributo modificato, del valore precedente e dell'account responsabile. Il parsing con EvtxECmd (open source) di Eric Zimmerman produce output CSV facilmente pivotabile per timeline analysis.

La share SYSVOL, replicata tra tutti i Domain Controller, contiene i file di script effettivi sotto il percorso *\dominio\SYSVOL\dominio\Policies{GUID-GPO}\User\Scripts\Logon*. L'analisi dei metadati NTFS di questi file — Standard Information e File Name attributes estratti con MFTECmd (open source) — rivela timestamp di creazione e modifica utili per collocare l'evento nella timeline. Il confronto con backup precedenti o con lo stato replicato su DC secondari può evidenziare tampering.

Sugli endpoint interessati, gli artefatti di esecuzione includono:

• Prefetch in *C:\Windows\Prefetch* per interpreti eseguiti durante il logon (cmd, powershell, wscript)
• UserAssist e ShimCache nel registro utente e di sistema per tracciare esecuzioni ripetute
• PowerShell Operational log (Microsoft-Windows-PowerShell/Operational.evtx) con eventi 4103 e 4104 se lo script conteneva codice PowerShell e il logging era attivo
• AmCache.hve per binari eseguiti dallo script

La correlazione della timeline richiede allineamento tra il timestamp di modifica dell'oggetto AD sul DC, il timestamp di creazione del file su SYSVOL, e i timestamp di esecuzione sui singoli endpoint. Uno scostamento minimo tra questi eventi conferma la catena causale.

Per ricostruire l'estensione del compromesso, l'analista deve enumerare tutti gli utenti coperti dalla GPO manipolata (tramite Get-GPOReport o analisi degli oggetti gpLink su OU e domain root) e verificare i log di logon di ciascuno per stimare il numero di esecuzioni avvenute. Gli eventi 4624 su ciascun host, incrociati con eventi 4688 di processi figli di userinit.exe o gpscript.exe, delimitano l'ambito temporale dell'esposizione.

Strumenti come Velociraptor (open source) o KAPE (gratuito per uso non commerciale) accelerano la raccolta parallela di questi artefatti su parchi macchine estesi durante la fase di response.

I dati MITRE ATT&CK forniti per T1037.003 non riportano gruppi APT, software o campagne specificamente attribuite a questa sotto-tecnica. Questa assenza non riflette una scarsa rilevanza operativa, ma piuttosto la natura trasversale della tecnica: la manipolazione di script di logon di rete è tipicamente uno step all'interno di catene più ampie di compromissione del dominio, spesso registrato sotto tecniche padre o correlate come T1484.001 (Domain Policy Modification: Group Policy Modification) o T1078.002 (Valid Accounts: Domain Accounts).

Dal punto di vista dell'intelligence strategica, l'assenza di attribuzioni pubbliche formali su questa specifica sotto-tecnica suggerisce due considerazioni. La prima è che gli attori che raggiungono il livello di controllo necessario per modificare script di logon a livello di dominio hanno tipicamente già ottenuto privilegi elevati e utilizzano una combinazione di tecniche di persistenza, rendendo l'attribuzione del singolo vettore meno frequente nei report pubblici. La seconda è che questa tecnica è particolarmente attraente per operazioni di lungo periodo in cui la persistenza distribuita è preferita alla presenza rumorosa su singoli host: profilo compatibile con operazioni di spionaggio, ransomware operator con fase di dwell time estesa, e insider threat.

Il pattern di targeting associato alla manipolazione di infrastruttura Active Directory è tipicamente orientato a organizzazioni con dominio Windows maturo e centralizzato, che include:

• Enti governativi e difesa, dove AD è spina dorsale della gestione identità
• Grandi enterprise con migliaia di endpoint, dove la propagazione via GPO massimizza l'impatto
• Managed Service Provider, il cui compromesso consente accesso trasversale a più clienti

L'unica mitigazione mappata dai dati forniti è M1022 (Restrict File and Directory Permissions), che opera sul livello file system limitando la scrittura sui percorsi SYSVOL agli account amministrativi legittimi. Questa mitigazione, sebbene fondamentale, è insufficiente da sola: la protezione efficace richiede combinazione con hardening delle GPO (delega granulare, non ereditata), monitoraggio continuo delle modifiche agli oggetti AD critici, e segmentazione dei privilegi tramite tiering model.

Come trend osservato nell'ecosistema delle minacce, la manipolazione di meccanismi nativi di distribuzione di codice (Living off the Land applicato all'infrastruttura di dominio) rappresenta un'evoluzione rispetto alle tecniche di persistenza basate su singolo endpoint. La stessa logica applicabile a T1037.003 si estende a T1547.001 (Registry Run Keys) distribuiti via GPO, a T1053 (Scheduled Task) creati centralmente, e a modifiche di preferenze GPO che veicolano script.

Per un programma di threat intelligence maturo, il monitoraggio proattivo dovrebbe includere tracking di tool offensivi pubblici come SharpGPOAbuse, PowerView e BloodHound, la cui adozione in campagne osservate anticipa spesso l'utilizzo di T1037.003 come step di persistenza post-compromissione del dominio.

MITRE ATT&CK: tecnica T1037.003, tattiche TA0003 e TA0004, mitigazione M1022, detection DET0367 (AN1034). MITRE D3FEND per mapping di Process Analysis e File Analysis. Per comandi e tool operativi è stata utilizzata conoscenza professionale verificabile su repository pubblici (PowerView/PowerSploit, SharpGPOAbuse, BloodHound, Velociraptor, KAPE, EvtxECmd, MFTECmd, Sysmon, BadBlood, libesedb).