Rimozione Connessioni Share: Network Share Connection Removal (T1070.005)
La tecnica T1070.005 - Network Share Connection Removal descrive il comportamento con cui un attaccante, dopo aver sfruttato una condivisione di rete SMB o un Windows Admin Share per movimento laterale o esfiltrazione, procede a smontare la connessione per rimuovere tracce operative. In ambiente Windows l'utility nativa più utilizzata è net.exe, tramite il comando net use \system\share /delete, ma esistono equivalenti PowerShell come Remove-SmbMapping e chiamate API dirette a WNetCancelConnection2.
Dal punto di vista tattico la tecnica ricade in TA0005 (Defense Evasion), poiché non produce un impatto diretto sui dati ma mira a ridurre la superficie di evidenze disponibili per il difensore. Nella kill chain si colloca tipicamente in fase post-exploitation, spesso dopo azioni di Collection (TA0009), Lateral Movement (TA0008) o Exfiltration (TA0010). La rimozione della share è un gesto igienico dell'attaccante: cancella la voce dalla lista delle connessioni attive visibile con net use e rimuove l'artefatto MRU dal registro utente.
L'impatto operativo è indiretto ma significativo. La tecnica risulta documentata in 1 gruppo APT (Threat Group-3390) e in 4 famiglie di software malevoli, tra cui InvisiMole, RobbinHood e DUSTTRAP, a conferma di come sia diventata pratica standard per operatori sofisticati e per ransomware moderni che vogliono complicare la ricostruzione forense.
Per un red teamer, T1070.005 non è una tecnica di compromissione ma un passaggio di operational security che chiude una catena. Il contesto tipico è: montaggio di una share amministrativa (ADMIN$, C$, IPC$) su un host target, esecuzione di comandi remoti o esfiltrazione di file, e infine detach della connessione per non lasciare la mount visibile.
In una simulazione controllata su Windows, la sequenza minima è la seguente. Prima si crea la connessione autenticata:
net use \TARGET\C$ /user:DOMAIN\admin Password123
Si eseguono le azioni previste dallo scenario (copia file, staging, lettura registry via reg.exe con path UNC). Al termine, il cleanup si effettua con:
net use \TARGET\C$ /delete /y
Oppure, per smontare tutte le connessioni attive in un colpo solo come fa RobbinHood:
net use * /delete /y
L'equivalente PowerShell, spesso preferito in operazioni moderne perché più difficile da matchare con regex ingenue su net use, è Remove-SmbMapping -LocalPath 'Z:' -Force oppure Get-SmbMapping | Remove-SmbMapping -Force.
Per chi lavora con framework di post-exploitation, Impacket (open source) offre moduli come smbclient.py che gestiscono internamente sessioni SMB senza lasciare voci in net use lato attaccante, ma sul target l'evento di sessione SMB resta comunque tracciato. CrackMapExec/NetExec (open source) automatizza connessione ed esecuzione, e il teardown avviene alla chiusura del processo.
Un dettaglio spesso trascurato: la sola net use /delete rimuove la connessione runtime ma non tocca la MRU sotto HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Map Network Drive MRU né i valori sotto HKCU\Network<lettera>. Un red teamer che voglia essere coerente con la tecnica emula anche la pulizia di quelle chiavi, tipicamente con reg delete HKCU\Network\Z /f.
Per scenari lab-safe consiglio ambienti come DetectionLab (open source) o GOAD - Game of Active Directory (open source), che forniscono domini AD preconfezionati con Sysmon e log forwarding già pronti. Utili per validare che la propria catena di cleanup sia effettivamente coperta (o non coperta) dal SIEM.
Regola operativa: se lo scenario di engagement include stealth, evita net use * /delete /y che è pattern noto e rumoroso; preferisci teardown mirati e cancella le tracce di registro coerentemente.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo