Software di Controllo Remoto: Remote Desktop Software (T1219.002)

In un ingaggio red team, l'abuso di RMM legittimi consente di simulare in modo realistico il pattern operativo di Scattered Spider o degli affiliati Conti. Il flusso tipico parte da un vettore di social engineering — spesso una chiamata al service desk con pretesto — che induce la vittima a installare il client RMM tramite installer MSI firmato scaricato dal portale del vendor.

Per un lab controllato, l'installazione silente di AnyDesk (freemium) su Windows si esegue con l'installer ufficiale in modalità unattended: AnyDesk.exe --install "C:\ProgramData\AnyDesk" --start-with-win --silent. Impostare una password non presidiata richiede la scrittura nel file di configurazione tramite echo | AnyDesk.exe --set-password. Il risultato è un endpoint accessibile via ID a nove cifre attraverso i relay del vendor, senza necessità di port forwarding.

ScreenConnect (ora ConnectWise Control, freemium/a pagamento) è particolarmente diffuso nei playbook criminali perché consente al red teamer di generare installer personalizzati con branding neutro dal portale di amministrazione, riducendo i sospetti dell'utente target. TeamViewer (freemium) rimane la scelta storica: RTM, Kimsuky e Mustang Panda ne hanno utilizzato versioni modificate o istanze legittime per il C2.

Per scenari che richiedono maggior stealth, è utile combinare l'RMM con un tunnel: ngrok (freemium) espone servizi interni verso l'esterno e figura esplicitamente nell'arsenale di Scattered Spider. Il comando ngrok tcp 3389 pubblica un endpoint TCP che l'operatore raggiunge senza toccare regole firewall inbound.

Su Linux, x11vnc (open source) permette di condividere una sessione X esistente: x11vnc -display :0 -forever -shared -rfbauth ~/.vnc/passwd -bg. Su macOS, l'attivazione programmatica di Screen Sharing avviene tramite sudo launchctl load -w /System/Library/LaunchDaemons/com.apple.screensharing.plist, sebbene richieda credenziali locali privilegiate.

Durante l'esercizio è fondamentale documentare i canali cloud utilizzati (relay AnyDesk, gateway ScreenConnect) per consentire al blue team di validare le proprie rilevazioni egress. Un buon test finale consiste nel verificare che il traffico RMM attraversi il proxy aziendale senza ispezione TLS e senza allertare la piattaforma EDR, replicando la condizione osservata in C0015 dove AnyDesk fu installato nel corso dell'intrusione senza triggerare blocchi.

La detection di T1219.002 si costruisce su tre pilastri: inventario software, correlazione process-to-network e baseline comportamentale delle sessioni remote. La telemetria MITRE evidenzia che i log Sysmon (open source) su Windows sono la fonte primaria, integrati dai log del Windows Firewall e da NSM/flow su Linux.

Sul lato process monitoring, configurare Sysmon con una regola Event ID 1 che intercetti l'esecuzione di binari noti come AnyDesk.exe, TeamViewer.exe, ScreenConnect.ClientService.exe, AmmyyAdmin.exe, aa_v.exe* e NinjaOne.exe. La regola va abbinata a Event ID 3 (network connect) dello stesso processo verso destinazioni esterne, con particolare attenzione a porte non standard: 7070 per AnyDesk, 5938 per TeamViewer, 8040/8041 per ScreenConnect. Il tuning MITRE avverte che questi strumenti usano spesso porte configurabili o high port randomici, quindi la regola non deve essere port-based ma process-based.

Un secondo strato riguarda la provenienza dell'installazione. Correlare Event ID 11 (file create) di installer MSI in %TEMP%, %APPDATA% o Downloads, seguito entro pochi minuti da Event ID 1 di un binario RMM in Program Files o ProgramData. Il pattern install-to-first-beacon è il segnale più affidabile: una connessione uscente entro 60-120 secondi dall'installazione di un RMM su un endpoint dove non è mai stato osservato indica quasi certamente hands-on-keyboard o social engineering in corso.

Su Linux, monitorare tramite auditd le syscall execve per binari come x11vnc, tightvncserver, vncserver, tigervnc e agenti cloud RMM. Correlare con NSM/Zeek (open source) i flussi TLS verso ASN di provider RMM (TeamViewer GmbH, philandro Software GmbH per AnyDesk, ConnectWise). Su macOS, il unified log traccia l'attivazione di Screen Sharing e l'esecuzione di client RMM: filtrare per subsystem com.apple.screensharing e per processi non firmati dal team ID atteso.

Dal punto di vista D3FEND, le contromisure rilevanti sono Executable Allowlisting (allineato a M1038) e Outbound Traffic Filtering (M1037). Alimentare il SIEM con un asset inventory dei soli RMM autorizzati dall'IT: ogni esecuzione di uno strumento fuori lista deve generare un alert ad alta priorità.

I falsi positivi principali arrivano dagli MSP legittimi e dai team di supporto interno. La mitigazione operativa consiste nel mantenere un allowlist di coppie (utente, RMM, orario, sorgente) e nel richiedere che ogni sessione supporto sia preceduta da un ticket, così che il SOC possa validare la correlazione.

L'analisi forense di un abuso di RMM richiede la ricostruzione precisa di installazione, sessioni e file transfer, perché questi strumenti — come osservato in C0018 dove AnyDesk fu utilizzato per trasferire tool tra sistemi — sono spesso il canale con cui l'attaccante muove payload secondari.

Su Windows, gli artefatti chiave di AnyDesk risiedono in *%ProgramData%\AnyDesk* e *%AppData%\AnyDesk*. Il file ad.trace contiene un log dettagliato con timestamp, ID remoti connessi, direzione della sessione e trasferimenti file. Il file ad_svc.trace traccia le operazioni del servizio, incluse le autenticazioni fallite. Le connessioni dei peer remoti sono elencate in connection_trace.txt, che sopravvive alla disinstallazione se il processo non ripulisce esplicitamente la cartella. Per TeamViewer, i log TeamViewer_Logfile.log e Connections_incoming.txt in %ProgramData%\TeamViewer forniscono ID partner, timestamp e durata sessione — evidenza usata frequentemente nei casi di attribuzione a Kimsuky, RTM e Mustang Panda.

ScreenConnect lascia traccia in *%AppData%\ScreenConnect Client ()* dove l'hash identifica univocamente il tenant server: recuperarlo consente di risalire all'infrastruttura dell'operatore, elemento chiave nei casi attribuiti a Storm-1811. Il registro HKLM\SYSTEM\CurrentControlSet\Services contiene il servizio ScreenConnect Client con il campo ImagePath che espone l'URL del server C2 e il session ID.

La timeline si costruisce combinando: Prefetch (C:\Windows\Prefetch\ANYDESK.EXE-.pf*), Amcache (Amcache.hve con hash SHA1 del binario RMM), UserAssist per l'esecuzione via GUI, e ShimCache per la prima esecuzione. Gli eventi di installazione MSI in Application.evtx (Event ID 1033, 1040, 11707) forniscono il timestamp esatto di deploy. Per correlare con la sessione remota effettiva, Security.evtx registra logon di tipo 10 (RemoteInteractive) quando l'RMM avvia una sessione desktop.

Su Linux, i log di x11vnc finiscono in syslog o journald a seconda della distribuzione; auditd conserva le syscall execve correlate. La cronologia bash dell'utente e i file in ~/.vnc/ rivelano configurazione e password hash. Su macOS, il database TCC (~/Library/Application Support/com.apple.TCC/TCC.db) registra i permessi Screen Recording e Accessibility concessi ai client RMM: una entry recente per AnyDesk o TeamViewer su un sistema aziendale non autorizzato è indicatore forte di compromissione.

Raccogliere infine il traffico pcap se disponibile: la firma TLS SNI di .anydesk.com, .teamviewer.com o dei domini ScreenConnect tenant-specifici consente di validare la finestra temporale della sessione C2.

L'abuso di RMM legittimi si è trasformato in una tecnica pervasiva che attraversa tutti i segmenti dell'ecosistema threat, dal cybercrime opportunistico all'espionage state-sponsored. I dati MITRE documentano nove gruppi con profili operativi e motivazioni molto diverse.

Scattered Spider (G1015) rappresenta il caso più maturo di industrializzazione della tecnica. Il gruppo — attivo contro telco e BPO nella campagna C0027 (giugno-dicembre 2022) — combina social engineering ai service desk, SIM swapping e deployment sistematico di un intero arsenale RMM: TeamViewer, AnyDesk, LogMeIn, ngrok e ConnectWise. La ridondanza di strumenti garantisce persistenza anche quando uno viene bloccato dal blue team.

Storm-1811 (G1046) è specializzato nell'abuso di ScreenConnect, NetSupport Manager e AnyDesk, tipicamente dopo intrusione via voice phishing su Teams. Storm-0501 (G1053) opera invece con AnyDesk, NinjaOne e Level.io, mostrando la tendenza degli attori ransomware a diversificare verso RMM meno noti per aggirare le detection basate su blocklist statiche.

Sul fronte espionage, Kimsuky (G0094, nordcoreano) utilizza una versione modificata di TeamViewer come canale C2, pattern condiviso con RTM (G0048) che impiega TeamViewer e Remote Utilities. Mustang Panda (G0129, cinese) installa TeamViewer sui target, mentre Thrip (G0076) ha adottato LogMeIn cloud-based per operazioni verso il sud-est asiatico. Evilnum (G0120) ha sviluppato la variante malware TerraTV che orchestra un'istanza legittima di TeamViewer, tecnica raffinata di living-off-the-land.

Contagious Interview (G1052), attribuito ad attori nordcoreani, scarica AnyDesk durante finti colloqui di lavoro rivolti a sviluppatori — vettore che unisce social engineering mirato e abuso RMM in una catena particolarmente efficace contro il settore crypto e software.

Le campagne ransomware C0015 (Conti, agosto 2021) e C0018 (AvosLocker, febbraio-marzo 2022) confermano che AnyDesk è il tool preferito dagli affiliati ransomware sia per persistenza sia per movimento laterale di tooling. Il pattern è consolidato nei playbook Conti trapelati e continua a essere replicato dai gruppi successori.

Il trend è chiaro: la convergenza tra cybercrime e espionage sull'uso di RMM commerciali riflette un calcolo economico e operativo. Costo zero di sviluppo, firma digitale valida, whitelisting IT diffuso e infrastruttura relay gestita dal vendor rendono questi tool superiori a molti C2 custom. Per la threat intelligence, tracciare i tenant ID di ScreenConnect e gli account TeamViewer riutilizzati tra intrusioni è diventato un vettore di clustering attribuibile.

MITRE ATT&CK T1219.002 (Remote Desktop Software), tattica TA0011. Gruppi G0048, G0076, G0094, G0120, G0129, G1015, G1046, G1052, G1053. Campagne C0015, C0018, C0027. Mitigazioni M1037, M1038, M1042. Detection DET0259 (AN0714 Windows, AN0715 Linux, AN0716 macOS). Framework MITRE D3FEND per Executable Allowlisting e Outbound Traffic Filtering. Contenuti operativi su comandi, artefatti forensi e sintassi tool derivano da conoscenza professionale di cybersecurity verificata su documentazione ufficiale dei vendor RMM citati.