Dump della Memoria via /proc: Proc Filesystem (T1003.007)

In un esercizio red team autorizzato, la simulazione di T1003.007 parte dall'ottenimento di privilegi di root sull'host Linux target, tipicamente tramite abuso di sudo, kernel exploit o servizi mal configurati. Una volta ottenuti, l'operatore può procedere con approcci manuali o tool consolidati.

L'approccio manuale è didatticamente utile per comprendere il meccanismo. Il comando classico documentato da MITRE identifica le regioni di memoria leggibili di un processo:

grep -E "^[0-9a-f-] r" /proc/$pid/maps | cut -d' ' -f 1*

Da qui si estrae l'offset iniziale e finale di ogni segmento e si legge /proc/$pid/mem con dd posizionandosi tramite skip= e count=, oppure con uno script Python che apra il file in modalità binaria e faccia seek() sull'indirizzo. Il dump risultante viene poi analizzato con strings e grep su pattern come password=, Authorization: Bearer, BEGIN RSA PRIVATE KEY.

Per un'operazione più efficiente, i tool di riferimento sono:

• MimiPenguin (open source, repository GitHub di huntergregal): specializzato nell'estrazione di password in chiaro da processi come gdm, lightdm, VSFTPd, Apache2 e SSH. Si esegue come sudo ./mimipenguin.sh oppure nella variante Python sudo python3 mimipenguin.py.
• LaZagne (open source, repository GitHub di AlessandroZ): copre browser, client mail, wifi e database. Su Linux si lancia con sudo python3 laZagne.py all per scansionare tutti i moduli, o sudo python3 laZagne.py browsers per limitarsi ai browser.
• procdump for Linux (open source, Microsoft/Sysinternals): utile per generare core dump di processi specifici con procdump -p , che poi si analizzano offline con strings o volatility-like parser.

Un workflow tipico prevede prima l'enumerazione dei processi interessanti tramite ps -ef | grep -Ei 'ssh|gnome-keyring|firefox|chrome', poi il targeting selettivo. Attenzione operativa: la lettura di /proc/<PID>/mem di processi non propri genera syscall openat e pread64 rumorose, facilmente intercettabili se auditd o Sysmon for Linux sono configurati. In un red team maturo si valuta se accettare il rumore o preferire tecniche alternative come T1555 (Credentials from Password Stores) su file su disco. Il post-processing dei dump va sempre fatto su una macchina isolata per evitare esfiltrazione accidentale.

La detection di T1003.007 ruota attorno alla regola DET0593 e si basa su due telemetrie fondamentali sui sistemi Linux: auditd con eventi SYSCALL e Sysmon for Linux (open source, Microsoft), che dalla versione 1.0 registra eventi FileCreate, ProcessCreate e soprattutto FileAccess utili al caso.

Il segnale primario è l'accesso in lettura a path del tipo /proc/<PID>/mem o /proc/<PID>/maps da parte di un processo diverso dal proprietario del PID target. Una regola auditd efficace si costruisce con:

auditctl -a always,exit -F arch=b64 -S openat -F path=/proc -F perm=r -k proc_mem_access

Questa è volutamente ampia e richiede tuning: va filtrata escludendo processi legittimi come ps, top, htop, agenti di monitoring (Datadog, Zabbix, node_exporter), backup tool e debugger autorizzati. L'insieme dei processi consentiti dipende dall'ambiente, quindi è opportuno costruire una baseline di 2-4 settimane prima di attivare l'alert in produzione.

Il secondo segnale è comportamentale: un singolo processo che apre in sequenza /proc/<PID>/maps seguito da /proc/<PID>/mem per N processi diversi in una finestra temporale ristretta (es. >10 PID in <60 secondi) è altamente sospetto. Questa correlazione si implementa in Splunk, Elastic o Sentinel con una query che raggruppi per process.pid origine e conti i distinct file.path target.

Segnali di supporto da correlare:

• Esecuzione di binari con nomi noti (mimipenguin, lazagne) o hash corrispondenti — banale da bypassare ma utile contro attaccanti opportunistici
• Uso di ptrace verso processi terzi, tracciabile via auditd sulla syscall omonima
• Chiamate a setuid(0) o transizioni di privilegio poco prima dell'accesso a /proc
• Lettura massiva seguita da compressione (gzip, tar) e connessione di rete in uscita, indicatore di esfiltrazione del dump

Sul fronte hardening preventivo, allineato a M1026 e M1027, il parametro sysctl kernel.yama.ptrace_scope=2 limita ptrace ai processi con capability CAP_SYS_PTRACE, riducendo la superficie. Anche AppArmor e SELinux possono confinare l'accesso a /proc per applicazioni sensibili. I falsi positivi principali arrivano da tool di observability, container runtime (containerd, runc leggono /proc costantemente) e software di sicurezza endpoint: whitelisting per path del binario e user context è essenziale per mantenere il segnale utile.

L'analisi forense post-incidente di T1003.007 presenta una sfida caratteristica: la tecnica opera interamente in memoria e non lascia artefatti persistenti sul filesystem tradizionale, a meno che l'attaccante non salvi il dump su disco. La timeline va quindi ricostruita a partire da log di sistema, artefatti volatili raccolti tempestivamente e tracce indirette.

Le fonti primarie sono i log di auditd (/var/log/audit/audit.log), che se configurato con regole sulla syscall openat verso /proc mostra chiaramente chi ha letto cosa e quando. Il campo auid (audit user ID) è particolarmente utile perché sopravvive ai cambi di UID via su o sudo, permettendo di attribuire l'azione all'account originario. In parallelo, i log di Sysmon for Linux in /var/log/syslog o via journald forniscono contesto sul processo che ha effettuato l'accesso, inclusi command line completo e parent process.

Gli artefatti di supporto da raccogliere includono:

• Bash history (~/.bash_history, ~/.zsh_history) per comandi manuali
• Log di sudo in /var/log/auth.log o /var/log/secure per correlare l'escalation di privilegio
• Contenuto di /tmp, /dev/shm e directory dell'utente per file di dump abbandonati, spesso con estensioni .dmp, .dump, .raw o senza estensione
• Timestamp atime su file eseguibili sospetti, se il filesystem non è montato con noatime
• Output di last, lastlog e wtmp per sessioni utente correlate temporalmente

Se l'host è stato acquisito ancora acceso, un dump di memoria completo con AVML (open source, Microsoft) o LiME (open source) permette di identificare frammenti dei tool utilizzati e stringhe residue dei dump di credenziali. Volatility 3 (open source) supporta profili Linux e consente di analizzare la memoria alla ricerca di processi terminati recentemente e handle a /proc/<PID>/mem.

La timeline tipica di compromissione mostra questa sequenza: sessione utente stabilita, escalation a root (spesso via kernel exploit o sudo abuse), download o drop del tool di credential dumping in /tmp o /var/tmp, esecuzione con permessi elevati, output redirezionato su file o su stdout catturato in una sessione remota, cleanup con rm e talvolta shred. La finestra temporale è generalmente breve — da pochi secondi a qualche minuto — perché lo scraping di /proc è rapido.

Lato attribuzione, la scelta del tool aiuta: MimiPenguin e LaZagne sono pubblici e usati da profili variegati, mentre PACEMAKER è associato a intrusion set più mirati. La presenza di stringhe specifiche o hash noti nei dump di memoria supporta l'attribuzione a famiglie note tramite YARA rule pubbliche.

Il dataset MITRE per T1003.007 non riporta gruppi APT esplicitamente mappati né campagne strutturate associate alla tecnica: questo è un dato significativo di per sé e va interpretato correttamente. Non implica che la tecnica sia poco usata, ma piuttosto che l'attribuzione formale è complessa perché il credential dumping su Linux via /proc è spesso una fase intermedia opportunistica, difficile da distinguere dal rumore di post-exploitation generico e raramente documentata come signature distintiva di un attore specifico.

Il vero segnale di threat intelligence arriva dal panorama dei tool documentati:

• MimiPenguin (S0179): rilasciato pubblicamente nel 2017, ispirato dichiaratamente a Mimikatz ma orientato a Linux. Essendo open source e ben documentato, è adottato da un ampio spettro di attori — commodity crimeware, penetration tester, insider malicious — che ne rende l'osservazione un indicatore di basso valore attributivo ma alto valore operativo.
• LaZagne (S0349): framework Python multi-modulo per estrarre credenziali da browser, mail client, wifi e servizi di sistema. La sua natura multipiattaforma (Windows/Linux/macOS) lo rende popolare in scenari di lateral movement dove l'attaccante non sa a priori quale sistema operativo troverà. Frequentemente osservato in intrusioni ransomware-adjacent e in campagne di data theft.
• PACEMAKER (S1109): classificato come malware (non tool pubblico), documentato con capacità di estrazione credenziali da memoria OS. Il suo profilo più mirato suggerisce uso da parte di attori con obiettivi definiti, tipicamente in contesti di intrusioni prolungate su infrastrutture Linux server-side.

Il pattern strategico emergente è chiaro: la tecnica è cresciuta in rilevanza parallelamente all'espansione di Linux come piattaforma target per intrusioni enterprise — server web, container host, orchestrator Kubernetes, appliance di rete basate su Linux, sistemi di build CI/CD. Ambienti storicamente considerati "più sicuri" di Windows sono ora bersaglio primario per credential access, in particolare per il valore delle credenziali che vi transitano: chiavi cloud (AWS, GCP), token di orchestrator, credenziali di database, chiavi SSH per lateral movement.

La scarsità di attribuzioni formali suggerisce anche una lacuna nel telemetry coverage: molti SOC hanno maturità detection elevata su Windows (Sysmon, EDR consolidati) e più limitata su Linux, dove auditd è spesso disabilitato per performance e Sysmon for Linux ha adozione più recente. Un Threat Intelligence Officer dovrebbe quindi assumere che l'uso reale della tecnica sia sottostimato nei report pubblici e prioritizzare l'investimento in visibilità su fleet Linux, soprattutto per asset che gestiscono credenziali cloud o service account con privilegi trasversali.

MITRE ATT&CK T1003.007 (Proc Filesystem), tattica TA0006. Software: S0179 (MimiPenguin), S0349 (LaZagne), S1109 (PACEMAKER). Mitigazioni: M1026 (Privileged Account Management), M1027 (Password Policies). Detection: DET0593 con analytic AN1631 su telemetria auditd e Sysmon for Linux. Parte dei contenuti operativi (comandi, tool di detection, procedure forensi) integra conoscenza professionale verificata su repository e documentazione ufficiale dei tool citati.