Dirottamento Ordine di Ricerca: Path Interception by Search Order Hijacking (T1574.008)

L'attività di red team parte dall'enumerazione dei processi vulnerabili: applicazioni installate in directory scrivibili dall'utente che invocano utility di sistema senza path assoluto. Il modulo PowerUp incluso in PowerSploit (open source, repository PowerShellMafia archiviato ma ancora disponibile su GitHub) automatizza gran parte del lavoro. Dopo aver importato il modulo, la funzione Invoke-AllChecks esegue una batteria completa di verifiche su servizi, permessi di directory e configurazioni sospette.

Import-Module .\PowerUp.ps1

Invoke-AllChecks

Per un check mirato al search order hijacking, Get-ModifiableServiceFile e Get-UnquotedService identificano servizi che potrebbero essere sfruttati anche in combinazione con T1574.009. Empire (open source, fork BC-Security mantenuto attivamente) integra gli stessi moduli PowerUp sotto la categoria privesc/powerup/, utili quando si opera con un agent già stabilito sull'host.

Una volta identificato un processo target — poniamo un'applicazione installata in *C:\Program Files\VendorX* che invoca net user tramite cmd.exe — la catena operativa prevede di:

• Verificare i permessi NTFS sulla directory dell'applicazione con icacls "C:\Program Files\VendorX"
• Compilare un payload rinominato in net.com (l'estensione .com ha precedenza su .exe nell'ordine PATHEXT)
• Depositare il binario nella directory bersaglio
• Attendere o forzare l'invocazione del processo padre

Un proof-of-concept minimale in C può essere compilato con MinGW producendo un eseguibile che lancia una reverse shell tramite cmd.exe /c e poi rilancia il vero net.exe di sistema per non insospettire l'utente. La chiave è mantenere la funzionalità legittima come wrapper, tecnica nota come proxy execution.

Su ambienti di laboratorio, Process Monitor (gratuito, suite Sysinternals) è indispensabile per identificare a runtime quali processi eseguono lookup su path non qualificati: filtrare per Operation is CreateFile e Result is NAME NOT FOUND nella directory del processo rivela immediatamente le opportunità di hijacking. Altro strumento utile è AccessChk (gratuito, Sysinternals) per verificare i permessi di scrittura su directory di installazione tramite accesschk.exe -wus "Everyone" "C:\Program Files".

In contesti macOS ed ESXi la tecnica non si applica nella forma classica: il focus resta esclusivamente su Windows, dove la logica di risoluzione dei percorsi e PATHEXT rendono l'attacco praticabile.

La detection di T1574.008 richiede una strategia comportamentale centrata sulla correlazione tra creazione file e successiva esecuzione, come formalizzato nella strategia AN1560. Il presupposto è disporre di Sysmon (gratuito, Microsoft Sysinternals) configurato con una policy che copra almeno gli EventID 1 (Process Create), 11 (FileCreate) e 13 (Registry modification), indirizzati verso il canale Microsoft-Windows-Sysmon/Operational.

L'alert primario si costruisce identificando l'esecuzione di binari con nomi tipici delle utility di sistema — net.exe, cmd.exe, powershell.exe, findstr.exe, python.exe, net.com — quando il percorso di caricamento non è C:\Windows\System32 o C:\Windows\SysWOW64. In KQL su Microsoft Defender XDR, una query orientativa filtra DeviceProcessEvents dove FileName appartiene alla lista sospetta e FolderPath non è la directory di sistema attesa.

La tuning list raccomandata dalla strategia di detection comprende quattro dimensioni:

• SuspiciousBinaryList: nomi di utility comunemente dirottate
• MonitoredDirectories: cartelle applicative e sottocartelle del profilo utente dove non ci si aspetta scritture di eseguibili
• TimeWindow: finestra di correlazione tra evento FileCreate e successivo ProcessCreate dello stesso file (tipicamente 24-72 ore)
• ParentProcessBaseline: mappa dei processi padre attesi per ciascuna utility critica

La correlazione più efficace unisce Sysmon EventID 11 (creazione di net.com o net.exe in una directory non di sistema) con un successivo EventID 1 dove Image punta a quello stesso file. Un secondo layer di detection controlla le anomalie nella parentela di processo: se net.exe viene lanciato da un binario residente in *C:\Program Files\VendorX* invece che da cmd.exe o explorer.exe, il pattern merita triage.

Sul fronte della prevenzione, l'adozione di AppLocker (incluso in Windows Enterprise) o Windows Defender Application Control (gratuito, incluso nell'OS) permette di applicare policy che bloccano l'esecuzione di binari non firmati o non whitelistati da directory scrivibili dall'utente. Una regola di path rule su *%PROGRAMFILES%\VendorX* con enforcement può essere pubblicata via New-AppLockerPolicy in modalità Enforced.

I falsi positivi più comuni derivano da installer legittimi che copiano temporaneamente utility nella propria directory di lavoro e da software di sviluppo (Python virtualenv, Node.js, toolchain C) che rilegano binari con nomi standard. La tuning con una allowlist di publisher firmati riduce sensibilmente il rumore. Anche software di backup e agenti di gestione remota (RMM) possono generare pattern simili durante operazioni di deploy.

L'indagine forense su T1574.008 ricostruisce la timeline di piantamento ed esecuzione del binario malevolo. Il primo artefatto da acquisire è il Master File Table del volume di sistema tramite tool come MFTECmd (open source, Eric Zimmerman) per estrarre timestamp di creazione, modifica e accesso di ogni file con nome sospetto nelle directory applicative.

MFTECmd.exe -f \.\C:$MFT --csv output\ --csvf mft.csv

Il parsing consente di identificare quando un file come net.com o net.exe è comparso in una directory diversa da System32, incrociando il Created0x10 (timestamp SI) con il Created0x30 (timestamp FN) per rilevare eventuali manipolazioni di timestomping (T1070.006).

Gli artefatti di esecuzione fondamentali sono:

• Prefetch in *C:\Windows\Prefetch* analizzato con PECmd (open source, Zimmerman) che rivela quante volte il binario è stato eseguito, il primo e ultimo timestamp
• Amcache.hve in *C:\Windows\AppCompat\Programs* estraibile con AmcacheParser per hash SHA1 e path del binario
• ShimCache (AppCompatCache) nella chiave SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache per prova di esecuzione anche in assenza di Prefetch
• UserAssist e BAM/DAM per attività associate a sessioni utente

Sul fronte degli event log, il canale Microsoft-Windows-Sysmon/Operational è la fonte primaria: gli EventID 1 con full path anomalo e gli EventID 11 di creazione file permettono di ricostruire la sequenza. Il Security.evtx con EventCode 4688 fornisce lo stesso dato in assenza di Sysmon, purché sia stata attivata la Audit Process Creation con inclusione della command line.

La timeline ideale correla quattro momenti: (1) creazione del binario malevolo nella directory di hijacking, (2) prima esecuzione registrata in Prefetch/Amcache, (3) esecuzioni successive periodiche che confermano la persistenza, (4) eventuali connessioni di rete originate dal processo tramite Sysmon EventID 3.

Per analisi del binario stesso, il calcolo hash con Get-FileHash PowerShell e la sottomissione a VirusTotal (freemium) o MalwareBazaar (gratuito, abuse.ch) permette di verificare se il campione è già noto e attribuito a una famiglia specifica. CAPA (open source, Mandiant) estrae capability comportamentali dal PE senza esecuzione, utile a distinguere un wrapper proxy da un dropper puro.

La presenza di un binario legittimo di net.exe firmato Microsoft in una directory non-System32, insieme a un file net.com non firmato nella stessa cartella, è un pattern altamente indicativo dell'abuso PATHEXT descritto nella tecnica.

Il dataset MITRE ATT&CK per T1574.008 non associa gruppi APT specifici né campagne documentate a questa sotto-tecnica. Questa assenza non implica che la tecnica sia poco utilizzata: al contrario, il search order hijacking è tipicamente uno step secondario all'interno di catene di persistenza più ampie, spesso riportato sotto le sotto-tecniche affini T1574.001 (DLL Search Order Hijacking) o T1574.009 (Path Interception by Unquoted Path), che raccolgono la maggior parte delle attribuzioni pubbliche.

Gli unici asset ATT&CK collegati direttamente sono due tool offensivi:

• PowerSploit (S0194), framework PowerShell offensivo il cui modulo PowerUp incorpora funzioni specifiche per l'identificazione e lo sfruttamento di vulnerabilità di search order. Storicamente adottato in numerose operazioni di red team e ripreso da threat actor per la sua natura file-less e per l'assenza di dipendenze binarie sull'host target.
• Empire (S0363), framework post-exploitation che integra gli stessi moduli PowerUp all'interno del proprio agent, permettendo l'automazione del check e dell'exploit direttamente dall'infrastruttura C2. La sua versione originale è stata archiviata, ma il fork mantenuto da BC-Security continua a essere aggiornato e resta uno dei framework più diffusi in scenari di intrusione.

Il pattern di adozione osservabile a livello di intelligence indica che il search order hijacking è preferito quando l'attaccante ha già ottenuto un foothold utente e cerca una via silenziosa per elevare privilegi o garantire persistenza senza modificare chiavi di autorun facilmente monitorate. La tecnica lascia meno artefatti rispetto a Run keys, scheduled task o servizi custom, motivo per cui rappresenta una scelta razionale per operatori orientati alla stealth.

Dal punto di vista del trend difensivo, l'introduzione di Windows Defender Application Control con policy di code integrity e la crescente adozione di AppLocker in ambienti enterprise stanno erodendo la superficie utile. Anche i vendor di software commerciale hanno progressivamente adottato path qualification esplicita nelle proprie applicazioni, riducendo il numero di target vulnerabili out-of-the-box.

Un'area di evoluzione da monitorare è l'uso combinato con LOLBAS e con tecniche di masquerading (T1036), dove il binario piantato non solo intercetta l'invocazione ma si presenta con metadata (VersionInfo, icona, digital signature clonata) che imitano il file legittimo. In assenza di attribuzioni ATT&CK specifiche, il threat intelligence officer dovrebbe integrare fonti come i report annuali dei principali vendor EDR per tracciare campagne recenti che sfruttano varianti di path interception in contesti reali.

MITRE ATT&CK T1574.008 (Path Interception by Search Order Hijacking); tattiche TA0003, TA0004, TA0005; software S0194 (PowerSploit), S0363 (Empire); mitigazioni M1022, M1038, M1047; detection strategy DET0564 con analytic AN1560. Framework difensivo MITRE D3FEND per artefatti File e Process. Il contenuto operativo su tool (Sysmon, MFTECmd, PECmd, AmcacheParser, AppLocker, WDAC, Process Monitor, AccessChk, CAPA) si basa su conoscenza professionale di cybersecurity e documentazione ufficiale dei rispettivi progetti.