Persistenza via Template Office: Office Template Macros (T1137.001)

Dal punto di vista offensivo, la simulazione di T1137.001 in un esercizio red team richiede accesso al profilo utente della vittima e la capacità di scrivere nel percorso dei template. La catena base è deterministica e riproducibile in laboratorio.

Per Word, il target è il file:

C:\Users<username>\AppData\Roaming\Microsoft\Templates\Normal.dotm

Il payload VBA può essere iniettato programmaticamente aprendo il template con Word in modalità automation via PowerShell o COM, iniettando il modulo nella collezione VBProject.VBComponents e salvando. Un pattern classico utilizza l'evento Document_Open() oppure AutoExec() per innescare l'esecuzione ad ogni apertura successiva dell'applicazione.

Per Excel il percorso equivalente è:

C:\Users<username>\AppData\Roaming\Microsoft\Excel\XLSTART\PERSONAL.XLSB

Ogni file .xlsb o .xlsm posto in XLSTART viene caricato all'avvio di Excel, quindi non è nemmeno necessario sovrascrivere un template esistente — basta depositare il proprio.

Sul fronte tooling, gli operatori red team utilizzano tipicamente:

• MacroPack (freemium, versione Community open source e Pro a pagamento) per la generazione di documenti Office weaponizzati con offuscamento VBA
• Cobalt Strike (a pagamento) che, come indicato nei dati MITRE, dispone di funzionalità native per abusare di Excel Workbook abilitando la fiducia sulle macro tramite modifica del registro HKCU\Software\Microsoft\Office<version><app>\Security\VBAWarnings
• Empire e Covenant (open source) per generazione di payload VBA con stager HTTP/HTTPS

La variante avanzata sfrutta la chiave di registro GlobalDotName sotto HKCU\Software\Microsoft\Office<version>\Word\Options, che consente di puntare Word a un template arbitrario — anche su UNC path remoto. Perché GlobalDotName venga onorato, il template deve risiedere in una Trusted Location o essere marcato come Trusted Document; queste locations sono configurate sotto HKCU\Software\Microsoft\Office<version>\Word\Security\Trusted Locations.

Un ulteriore vettore consiste nel dirottare l'ordine di ricerca di Word 2016, che cerca Normal.dotm prima in *C:\Program Files (x86)\Microsoft Office\root\Office16* — piazzare qui un template richiede privilegi elevati ma garantisce persistenza system-wide. In laboratorio, testate sempre in VM isolata con snapshot pre-attacco e verificate il comportamento con Process Monitor (gratuito, Sysinternals) filtrando su Path contains Normal.dotm.

La detection di T1137.001 richiede visibilità combinata su filesystem, registro e telemetria di processo. Il riferimento MITRE è la detection DET0519, articolata sugli analytics AN1436 (Windows endpoint) e AN1437 (Office Suite / M365 Unified logs).

Le fonti di log prioritarie sono Sysmon e Microsoft-Office-Alerts sull'endpoint, integrate con m365:unified per ambienti cloud. La strategia di detection efficace si articola su tre pilastri comportamentali.

Primo pilastro: monitoraggio delle modifiche ai template. Configurate Sysmon con regole FileCreate e FileCreateStreamHash mirate sui percorsi:

• %AppData%\Microsoft\Templates\Normal.dotm
• %AppData%\Microsoft\Excel\XLSTART\*
• %AppData%\Microsoft\Word\STARTUP\*
• %ProgramFiles%\Microsoft Office\root\Office\Normal.dotm*

Ogni scrittura su questi path da parte di un processo diverso da winword.exe, excel.exe o dagli installer Microsoft firmati è altamente sospetta. Attenzione: winword.exe modifica legittimamente Normal.dotm quando l'utente cambia stili — il segnale forte è la scrittura da PowerShell, wscript, cscript, mshta, rundll32 o processi non firmati.

Secondo pilastro: monitoraggio del registro. Con Sysmon EventID 13 (RegistryValueSet), tracciate modifiche a:

• HKCU\Software\Microsoft\Office*\Word\Options\GlobalDotName
• HKCU\Software\Microsoft\Office**\Security\Trusted Locations\*
• HKCU\Software\Microsoft\Office**\Security\VBAWarnings (valore 1 = macro abilitate senza notifica)
• HKCU\Software\Microsoft\Office**\Security\Trusted Documents\TrustRecords

Una modifica di VBAWarnings a valore 1 è un indicatore forte di weaponizzazione, spesso associato all'attività di Cobalt Strike descritta nei dati MITRE per S0154.

Terzo pilastro: process ancestry. Con Sysmon EventID 1, cercate processi figli anomali di winword.exe o excel.exe: spawning di cmd.exe, powershell.exe, wscript.exe, rundll32.exe, regsvr32.exe, mshta.exe o connessioni di rete outbound da questi processi (EventID 3).

Sul fronte preventivo, la mitigazione M1040 raccomanda le regole Attack Surface Reduction di Microsoft Defender, in particolare "Block all Office applications from creating child processes" (GUID D4F940AB-401B-4EFC-AADC-AD5F3C50688A) e "Block Office applications from creating executable content". Queste ASR rule, configurabili via GPO o Intune (incluse in Microsoft Defender for Endpoint, a pagamento), bloccano la catena di esecuzione tipica.

I falsi positivi principali derivano da template aziendali distribuiti via GPO, add-in legittimi di terze parti (SAP, Bloomberg, plugin CRM) e strumenti di document automation. Costruite una baseline per 30 giorni prima di alzare severity ad alta.

L'analisi forense di un caso T1137.001 si concentra su artefatti persistenti nel filesystem utente, chiavi di registro e tracce di esecuzione. La ricostruzione della timeline segue un percorso ben definito, sfruttato correttamente dagli analytics AN1436 e AN1437.

Acquisizione dei template. Il primo passo è collezionare i file target dal profilo utente:

• C:\Users<username>\AppData\Roaming\Microsoft\Templates\Normal.dotm
• C:\Users<username>\AppData\Roaming\Microsoft\Excel\XLSTART\PERSONAL.XLSB
• Contenuto di *C:\Users<username>\AppData\Roaming\Microsoft\Word\STARTUP*
• C:\Program Files (x86)\Microsoft Office\root\Office\Normal.dotm* (se presente)

I timestamp NTFS di questi file (accessibili tramite MFTECmd di Eric Zimmerman, open source) forniscono il momento di iniezione. Confrontate $STANDARD_INFORMATION e $FILE_NAME per rilevare eventuali timestomp — pattern comune in attività di MuddyWater (G0069), che secondo i dati MITRE ha utilizzato proprio Normal.dotm per persistenza.

Estrazione del codice VBA. I file .dotm, .xlsb e .xlsm sono contenitori OOXML (ZIP) o BIFF. Per estrarre e analizzare le macro:

• oletools (open source, in particolare olevba) parsa il contenuto VBA, evidenzia funzioni autoexec (Document_Open, AutoOpen, Workbook_Open, Auto_Open) e stringhe sospette
• oledump.py di Didier Stevens (open source) permette navigazione granulare degli stream OLE
• Per file .xlsb binari, considerate che BackConfig (S0475 nei dati MITRE) nasconde payload in colonne Excel invisibili — controllate hidden="1" negli XML dei fogli e la presenza di colonne con larghezza zero

Analisi del registro. Estraete l'hive NTUSER.DAT del profilo compromesso con RegRipper (open source) o Registry Explorer (gratuito). Chiavi critiche:

• Software\Microsoft\Office<version>\Word\Options\GlobalDotName — se presente e punta fuori dai percorsi standard, è evidenza diretta di hijack
• Software\Microsoft\Office<version>*\Security\VBAWarnings — valore 1 indica bypass configurato
• *Software\Microsoft\Office<version>*\Security\Trusted Locations* — nuove locations aggiunte vanno correlate con IP/host esterni
• Software\Microsoft\Office<version>*\Security\Trusted Documents\TrustRecords — elenca i documenti su cui l'utente ha cliccato "Enable Content"

Timeline di esecuzione. Correlate con artefatti di esecuzione tradizionali: Prefetch (C:\Windows\Prefetch\WINWORD.EXE-.pf*), UserAssist in NTUSER.DAT, ShimCache e Amcache per identificare quando Word/Excel sono stati avviati dopo la modifica del template. RecentDocs e la MRU di Office (Software\Microsoft\Office<version><app>\File MRU) confermano l'uso interattivo.

Infine, i log di Microsoft-Office-Alerts (visualizzabili in Event Viewer sotto Applications and Services) registrano warning macro dismessi dall'utente — evidenza comportamentale utile in fase di attribuzione della responsabilità utente vs. compromissione tecnica.

Il panorama di threat intelligence relativo a T1137.001 mostra un utilizzo circoscritto ma altamente qualificato della tecnica, con un attore APT documentato e strumentazione condivisa tra operazioni criminali e state-sponsored.

MuddyWater (G0069) è l'unico gruppo APT esplicitamente attribuito alla tecnica nei dati MITRE, con uso documentato di Normal.dotm come vettore di persistenza. MuddyWater è un attore le cui operazioni si concentrano storicamente su target governativi, telecomunicazioni e settore energy in Medio Oriente, Asia centrale e occasionalmente Europa. L'uso di Normal.dotm si integra bene con il loro modus operandi basato su spear-phishing con documenti Office weaponizzati come initial access: dopo la compromissione, la persistenza via template garantisce che qualsiasi apertura successiva di Word — anche di documenti benigni — rilanci il loader dell'attaccante, tipicamente uno script PowerShell offuscato che ricontatta il C2.

Sul fronte software, i dati MITRE evidenziano due famiglie che sfruttano attivamente questa tecnica con approcci diversi.

Cobalt Strike (S0154) è il framework commerciale (a pagamento, licenza legittima limitata; largamente presente in versioni craccate nell'ecosistema criminale) più abusato al mondo. La capacità documentata di eseguire codice via Excel Workbook manipolando le impostazioni di trust delle macro riflette una funzionalità nativa dei suoi Aggressor Scripts, utilizzata trasversalmente da threat actor russi, cinesi, iraniani, nord-coreani e da gruppi ransomware (Conti, LockBit, BlackCat storicamente hanno tutti fatto uso estensivo di Cobalt Strike). Questa ubiquità rende difficile l'attribuzione basata solo sul tool.

BackConfig (S0475) rappresenta un approccio più artigianale: l'uso di colonne Excel nascoste per stoccare payload eseguibili e comandi VBA è una tecnica di steganografia documentale che complica sia la detection statica sia l'analisi manuale. BackConfig è associato a operazioni di cyber-espionage con focus regionale asiatico.

Pattern operativi ricorrenti. Da questi dati emergono alcuni trend rilevanti per la threat intelligence:

• La persistenza via template è preferita da attori che privilegiano stealth e longevità rispetto a velocità di monetizzazione — non a caso è più tipica di gruppi APT che di crew ransomware, che tendono a preferire persistenza via scheduled task o servizi
• L'abuso di Trusted Locations e GlobalDotName indica maturità operativa: richiede conoscenza approfondita dell'ecosistema Office e capacità di bypassare le protezioni di default
• Il fatto che sia Cobalt Strike sia BackConfig usino Excel come vettore (rispettivamente workbook trust e colonne nascoste) suggerisce che Excel sia percepito come meno monitorato di Word dalle soluzioni EDR, ipotesi confermata dalla minor copertura di detection tradizionali su PERSONAL.XLSB rispetto a Normal.dotm

Per i team di threat intelligence, tracciare campagne che combinano spear-phishing Office + persistenza template + Cobalt Strike è un pattern ad alta probabilità di attribuzione MuddyWater o gruppi con TTP overlap.

MITRE ATT&CK T1137.001 (Office Template Macros), tattica TA0003. Gruppi: G0069 (MuddyWater). Software: S0154 (Cobalt Strike), S0475 (BackConfig). Mitigazioni: M1040, M1042. Detection: DET0519 con analytics AN1436, AN1437. MITRE D3FEND per mapping difensivo. Per comandi operativi, tool (Sysmon, oletools, MacroPack, MFTECmd, RegRipper, Registry Explorer, Process Monitor) e artefatti forensi è stata integrata conoscenza professionale di cybersecurity verificabile su documentazione ufficiale e repository pubblici dei rispettivi progetti.