Spoofing degli Argomenti di Processo: Process Argument Spoofing (T1564.010)

Per un red team, la simulazione di Process Argument Spoofing richiede familiarità con le API native di Windows e con la struttura del PEB. L'approccio più didattico consiste nello scrivere un piccolo loader in C/C++ o C# che segua il pattern classico: CreateProcessW con flag CREATE_SUSPENDED, risoluzione dell'indirizzo del PEB tramite NtQueryInformationProcess con classe ProcessBasicInformation, individuazione della struttura RTL_USER_PROCESS_PARAMETERS e sovrascrittura del campo CommandLine con WriteProcessMemory, seguita da ResumeThread.

Sul fronte tooling, Cobalt Strike (a pagamento) espone la funzionalità direttamente nel Malleable C2 profile tramite il blocco process-inject e il comando Beacon spawnto, permettendo di lanciare processi con argomenti fittizi visibili ai sensori. Per chi opera in laboratori di training, Nighthawk (a pagamento) e Sliver (open source) offrono primitive analoghe di process spawning con controllo sugli argomenti.

Un'alternativa completamente aperta per esercitazioni è ArgFuscator e i proof-of-concept pubblicati nel repository Hells-Gate e PEB-Masquerading su GitHub (open source), che mostrano l'accesso al PEB senza chiamare API user-mode facilmente hookate. Per la fase di sviluppo, x64dbg (open source) e WinDbg (gratuito, Microsoft) sono indispensabili per ispezionare la struttura RTL_USER_PROCESS_PARAMETERS in tempo reale: il comando WinDbg !peb stampa l'intero PEB del processo debuggato e mostra il puntatore ai parametri.

La catena d'attacco realistica in un engagement red team prevede alcuni passaggi tipici. Si genera un beacon Cobalt Strike con un profilo Malleable che imposta spawnto_x64 su un binario legittimo come dllhost.exe con argomenti plausibili. Si lancia il beacon tramite un initial access vector (phishing, exploit), e il beacon a sua volta effettua spawn di comandi post-exploitation (mimikatz, situational awareness) all'interno di processi con argomenti spoofati. Combinando la tecnica con Parent PID Spoofing (T1134.004), il processo malevolo appare come figlio legittimo di explorer.exe con una command line innocua.

Per validare il risultato in laboratorio, si confrontano l'evento Sysmon 1 raccolto al momento del ResumeThread con l'output di Get-Process | Select CommandLine eseguito subito dopo: la discrepanza dimostra il successo dello spoofing. Documentare entrambi i valori nel report finale aiuta il blue team a calibrare le regole di detection.

La detection di Process Argument Spoofing è intrinsecamente difficile perché rompe l'assunzione di base su cui poggiano la maggior parte delle regole SIEM: che il campo CommandLine dell'evento di creazione processo rifletta l'esecuzione reale. La strategia DET0045 definita da MITRE si basa sulla correlazione tra argomenti loggati alla creazione e comportamento successivo del processo.

Le fonti di log primarie sono WinEventLog:Security (EventCode 4688 con Command Line Auditing abilitato via GPO) e WinEventLog:Sysmon, in particolare gli eventi Sysmon 1 (Process Create), Sysmon 8 (CreateRemoteThread) e Sysmon 10 (ProcessAccess con GrantedAccess che include PROCESS_VM_WRITE 0x0020 e PROCESS_VM_OPERATION 0x0008). L'evento Sysmon 10 è particolarmente prezioso: una chiamata a WriteProcessMemory verso un processo appena creato genera un ProcessAccess con quella combinazione di flag.

Un primo indicatore di alto valore è la sequenza temporale sospetta: un processo viene creato in stato sospeso, riceve una ProcessAccess con permessi di scrittura in memoria da un altro processo, e nei secondi successivi mostra attività di rete o filesystem incoerenti con gli argomenti dichiarati. Il parametro tunable SuspendedProcessWindow definisce l'intervallo entro cui considerare rilevante questa sequenza; valori tra 500ms e 5 secondi sono ragionevoli come baseline.

Un secondo pilastro è la lista SensitiveProcesses: processi critici come explorer.exe, lsass.exe, svchost.exe, dllhost.exe e rundll32.exe devono essere monitorati con soglie più aggressive, perché sono i target preferiti dei loader che implementano la tecnica. Un dllhost.exe creato con command line vuota o con soli CLSID standard, che subito dopo apre connessioni verso IP esterni non correlati al COM+ hosting, è un forte candidato ad alert.

Il BehavioralCorrelationWindow guida la logica di correlazione post-creazione: nei 30-60 secondi successivi alla creazione, ogni deviazione tra CommandLine loggato e attività reale (network connect via Sysmon 3, file write via Sysmon 11, registry via Sysmon 12/13) deve alzare il rischio del processo.

Dal punto di vista D3FEND, le tecniche difensive rilevanti includono Process Segment Execution Prevention e il monitoraggio del Process Code Segment Verification, oltre alla System Call Analysis che permette di osservare le syscall NtWriteVirtualMemory e NtResumeThread in sequenza sospetta. Strumenti come Sysmon (gratuito, Microsoft), Elastic Defend (freemium) e Velociraptor (open source) forniscono la telemetria necessaria.

I falsi positivi principali provengono da debugger legittimi, software di protezione (alcuni EDR fanno self-injection), installer che usano suspend/resume per patching, e ambienti di sviluppo Visual Studio.

Nell'analisi forense post-incidente, Process Argument Spoofing impone una regola d'oro: non fidarsi mai del solo campo CommandLine nei log di creazione processo, ma cercare la verità nella memoria residua del sistema o nei manufatti collaterali. L'artefatto centrale è il PEB del processo compromesso, in particolare la struttura RTL_USER_PROCESS_PARAMETERS che contiene CommandLine, ImagePathName, CurrentDirectory e le variabili d'ambiente.

Su un'immagine di memoria acquisita con WinPmem (open source), DumpIt (gratuito) o Magnet RAM Capture (gratuito), l'analisi si conduce con Volatility 3 (open source). Il plugin windows.cmdline estrae le command line dal PEB di ogni processo attivo al momento dell'acquisizione, mentre windows.pslist e windows.psscan forniscono il contesto di parentela. Il confronto tra l'output di windows.cmdline e i log Sysmon storici rivela immediatamente eventuali discrepanze: se Sysmon 1 registrò dllhost.exe /Processid:{...} ma Volatility mostra una command line diversa (o vuota, o troncata), il processo è candidato a un'analisi approfondita.

Il plugin windows.malfind di Volatility aiuta a individuare regioni di memoria con permessi PAGE_EXECUTE_READWRITE iniettate nel processo target, spesso presenti insieme al PEB manomesso. Un ulteriore controllo con windows.vadinfo permette di ispezionare il Virtual Address Descriptor che contiene il PEB e verificare se sono presenti regioni anomale nelle vicinanze.

Sul filesystem, i Prefetch files in C:\Windows\Prefetch non memorizzano gli argomenti di comando ma registrano l'esecuzione del binario, permettendo di ricostruire la timeline; il tool PECmd di Eric Zimmerman (open source) parserizza rapidamente questi artefatti. L'Amcache.hve (in C:\Windows\AppCompat\Programs) conserva hash SHA1 dei binari eseguiti, utili per identificare loader custom. Le UserAssist e le BAM/DAM keys nel registro forniscono ulteriore conferma dell'esecuzione.

Per la timeline completa, Plaso/log2timeline (open source) aggrega Sysmon, Security log, Prefetch, Amcache e Registry in un supertimeline analizzabile con Timeline Explorer (gratuito). L'obiettivo è correlare il momento del Process Create con eventuali Sysmon 10 (ProcessAccess con VM_WRITE) provenienti dal processo padre malevolo nei millisecondi successivi.

Gli artefatti di rete completano il quadro: connessioni uscenti registrate da Sysmon 3 o da NetFlow, che partono da processi la cui command line loggata non giustifica alcuna attività di rete, sono forti indicatori. Per campagne che coinvolgono Cobalt Strike (S0154), la ricerca di beacon configuration in memoria con CobaltStrikeParser o BeaconEye (entrambi open source) conferma spesso l'uso della tecnica, dato che il default profile del framework abilita lo spoofing degli argomenti. Per SombRAT (S0615), la firma della modifica in-memory del PEB è documentata come comportamento nativo del RAT.

Il panorama di Threat Intelligence su Process Argument Spoofing riflette una tecnica ad alto grado di sofisticazione, adottata prevalentemente da attori che dispongono di framework offensivi maturi o di RAT sviluppati in-house. Il corpus MITRE non attribuisce direttamente la tecnica a gruppi APT specifici, ma i due software mappati raccontano molto del profilo tipico di adozione.

Cobalt Strike (S0154) è il moltiplicatore principale: essendo un framework commerciale ampiamente pirateato e riutilizzato, la funzionalità di spoofing degli argomenti nei processi spawnati è disponibile a qualunque operatore con accesso a un builder o a leak del prodotto. Questo significa che la tecnica è potenzialmente presente in tutte le intrusioni che coinvolgono beacon Cobalt Strike configurati con profili Malleable C2 non-default. La ricchezza dell'ecosistema di profili pubblici (repository GitHub con centinaia di varianti) rende la superficie di detection molto ampia.

SombRAT (S0615) rappresenta invece la categoria dei RAT custom con capacità di manipolazione del PEB integrata a livello di design. È un malware documentato in operazioni di cyberespionage con caratteristiche modulari, e la scelta di implementare nativamente la modifica in-memory degli argomenti indica sviluppatori con solida esperienza in Windows internals.

Dal punto di vista del pattern di adozione, la tecnica si posiziona nel segmento medio-alto della sofisticazione. Non richiede exploit kernel né vulnerabilità zero-day, ma presuppone codice offensivo scritto ad hoc o l'uso consapevole di feature avanzate dei framework commerciali. Per questo motivo, il rilevamento della tecnica in un ambiente è spesso un indicatore di attore hands-on-keyboard con obiettivi mirati piuttosto che di commodity malware opportunistico.

Il tool overlap più rilevante è quello tra Cobalt Strike e le altre tecniche di Defense Evasion che comunemente lo accompagnano: Process Hollowing (T1055.012), Parent PID Spoofing (T1134.004), e Reflective Code Loading (T1620). La presenza di una di queste tecniche nei log dovrebbe indurre a cercare attivamente evidenze anche di Process Argument Spoofing, e viceversa.

Sul piano dei trend evolutivi, la crescente adozione da parte degli EDR di parsing della memoria del PEB (in aggiunta al solo trap sulla creazione processo) sta gradualmente riducendo l'efficacia della tecnica nella sua forma più semplice. La risposta degli attaccanti è duplice: da un lato la variante che ripristina gli argomenti benigni dopo l'esecuzione per ingannare analisi memory forensics tardive, dall'altro l'uso combinato con direct syscalls e API unhooking per evitare la telemetria user-mode.

Per i team di intelligence, il tracking di aggiornamenti nei Malleable C2 profile pubblicati su GitHub e di varianti SombRAT distribuite in campagne mirate rappresenta il canale di early warning più efficace.

MITRE ATT&CK T1564.010 (Process Argument Spoofing), tattica TA0005 Defense Evasion. Software: S0154 Cobalt Strike, S0615 SombRAT. Detection Strategy DET0045 con analytic AN0126. Riferimenti difensivi MITRE D3FEND per Process Segment Execution Prevention e System Call Analysis. Il documento integra conoscenza professionale su tool operativi (Volatility 3, Sysmon, WinDbg, Plaso, PECmd, WinPmem, CobaltStrikeParser, BeaconEye) e API Windows native (WriteProcessMemory, NtQueryInformationProcess) verificate su documentazione ufficiale Microsoft e repository open source pubblici.