Servizi Remoti: Remote Services (T1021)

Un red teamer che simula T1021 parte quasi sempre dal recupero di credenziali valide — dump di LSASS, ticket Kerberos, hash NTLM — e le riutilizza contro servizi remoti esposti internamente. La regola d'oro è restare aderenti agli strumenti che l'IT usa già, così da confondersi con il traffico amministrativo.

Su Windows il framework di riferimento è Impacket (open source), usato ad esempio da Ember Bear per lateral movement. Gli script più utili sono psexec.py, wmiexec.py, smbexec.py e atexec.py — quest'ultimo replica esattamente la tecnica di Aquatic Panda basata su scheduled task remoti. Un esempio classico:

impacket-wmiexec DOMAIN/user:password@10.10.10.5 "whoami"

Per RDP interattivo si usano xfreerdp (open source) o rdesktop (open source), mentre per pass-the-hash su RDP è disponibile xfreerdp /pth:HASH. CrackMapExec e il suo successore NetExec (open source) automatizzano l'enumerazione e l'esecuzione di comandi su interi range:

nxc smb 10.10.10.0/24 -u user -H NTLMHASH -x "ipconfig"

Per WMI standalone senza Impacket si può usare wmic /node:target /user:DOMAIN\user process call create "cmd.exe /c payload" oppure PowerShell remoting con Invoke-Command -ComputerName target -Credential $cred -ScriptBlock {...}.

Su Linux e macOS SSH resta il vettore principale. Con credenziali o chiavi rubate: ssh -o StrictHostKeyChecking=no user@target. Per pivoting attraverso host jump si usano ssh -J o tunnel dinamici ssh -D 1080 combinati con proxychains (open source). sshuttle (open source) fornisce una VPN-like sopra SSH utile per estendere l'accesso.

Sul fronte C2, Brute Ratel C4 (a pagamento) implementa nativamente RPC per lateral movement, e Cobalt Strike (a pagamento) offre i comandi jump psexec, jump winrm e remote-exec wmi. In laboratorio, Sliver (open source) è un'alternativa gratuita che supporta pivoting SMB e TCP.

Per ESXi il red team può testare l'accesso via ssh root@esxi-host dopo aver ottenuto le credenziali di root o abusato di vCenter — replicando lo scenario di ransomware come Ryuk che Wizard Spider ha distribuito via WebDAV su file share di rete. In ambienti IaaS si simula l'abuso di AWS Systems Manager Session Manager o Azure Bastion con credenziali federate.

Ogni test deve prevedere allowlisting temporaneo degli IP del red team e logging esteso per non contaminare le baseline del SOC.

La detection di T1021 non può basarsi sul singolo evento di login remoto, che è statisticamente rumoroso in qualsiasi enterprise. Il valore sta nella correlazione temporale tra autenticazione remota e ciò che accade nei minuti successivi sull'host di destinazione.

Su Windows la strategia AN0750 parte dagli eventi Security 4624 (logon con LogonType 3, 7, 10) e 4648 (explicit credential logon), correlati con eventi Sysmon EventCode 1 (process creation), 3 (network connection) e 11 (file creation). Un pattern ad alta fedeltà è: logon RDP di un account amministrativo seguito entro 5 minuti da spawn di cmd.exe, powershell.exe o wmic.exe con parent anomalo, e connessioni SMB verso host mai contattati prima. Per WMI lateral movement si guardano gli eventi WMI-Activity/Operational 5857 e 5861 insieme a EventCode 4688 con parent WmiPrvSE.exe. Il tuning va fatto restringendo il perimetro a service account e privileged user, e allowlistando i jump server ufficiali.

Su Linux (AN0751) il focus è su sshd in syslog e auth.log, correlato con auditd SYSCALL per catturare execve di shell interattive, sudo, su e connessioni outbound. Un allarme robusto si costruisce così: SSH accept da IP sorgente mai visto nella baseline dell'host, seguito entro pochi secondi da esecuzione di binari non tipici dell'utente e da nuove connessioni TCP verso porte 22, 3389 o 445 di altri host interni.

Su macOS (AN0752) l'unified log (log stream --predicate 'process == "screensharingd"') e query osquery (open source) sui processi ARD sono la fonte primaria. Vanno correlati con modifiche ai file protetti da TCC (~/Library/Application Support/com.apple.TCC/TCC.db).

In ambiente IaaS (AN0753) si monitorano CloudTrail per eventi StartSession di Systems Manager, GetConsoleOutput e SendCommand, correlati con VPC Flow Logs che mostrano traffico SSH/RDP outbound dalla VM bastion verso subnet non attese. Su ESXi (AN0754) i log vmkernel.log, shell.log e hostd.log rivelano login vSphere API (vimService) e sessioni SSH, da correlare con esecuzione di comandi shell non riconducibili a script di gestione.

MITRE D3FEND mappa contromisure di detection come Remote Terminal Session Detection e Network Traffic Analysis, e controlli di hardening come Multi-factor Authentication e Network Isolation. I falsi positivi principali derivano da tool di deployment (SCCM, Ansible, Salt), scanner di vulnerabilità e attività di help desk: la mitigazione passa da allowlist esplicite degli asset di gestione e correlazione con ticket ITSM.

L'analisi forense di T1021 ricostruisce due lati della stessa sessione: l'host sorgente da cui parte la connessione e l'host di destinazione che la riceve. Solo la correlazione dei due permette di distinguere lateral movement malevolo da attività amministrativa legittima.

Su Windows destinazione gli artefatti chiave sono nel Security.evtx: gli eventi 4624 con LogonType 3 (network), 10 (RemoteInteractive/RDP) e 7 (unlock) contengono IP sorgente, nome workstation e authentication package. Vanno estratti con EvtxECmd di Eric Zimmerman (open source) o con wevtutil qe Security /q:"[System[EventID=4624]]"*. Il registro HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon e le chiavi TerminalServer\Client\Servers rivelano connessioni RDP outbound persistenti. Le cache bitmap RDP in %LOCALAPPDATA%\Microsoft\Terminal Server Client\Cache possono ricostruire visivamente le sessioni con bmc-tools (open source).

Per WMI lateral movement (usato da Aquatic Panda via scheduled task) si esaminano Microsoft-Windows-WMI-Activity/Operational.evtx e il repository WMI in %SystemRoot%\System32\wbem\Repository, oltre a Microsoft-Windows-TaskScheduler/Operational.evtx per gli eventi 106 (task registered) e 200 (action started). PECmd e Amcache parser (open source, suite Zimmerman) confermano l'esecuzione di binari sospetti.

Su Linux la timeline si costruisce da /var/log/auth.log o /var/log/secure per accepted SSH, /var/log/wtmp e /var/log/btmp letti con last e lastb, e ~/.ssh/authorized_keys per identificare chiavi aggiunte dall'attaccante. Il file ~/.bash_history (se non wipato) e i log auditd in /var/log/audit/audit.log — filtrati con ausearch -m EXECVE — mostrano i comandi eseguiti post-login. Plaso/log2timeline (open source) aggrega tutto in una super-timeline navigabile con Timesketch (open source).

Su macOS l'unified log è la fonte primaria: log show --predicate 'subsystem == "com.apple.RemoteDesktop"' --last 7d estrae attività ARD. Il database TCC in ~/Library/Application Support/com.apple.TCC/TCC.db rivela consensi concessi (rilevante per l'escalation SSH→ARD pre-10.14 descritta nei dati MITRE). Il log screensharingd mostra sessioni VNC.

Su ESXi i file rotanti /var/log/hostd.log, /var/log/vmkernel.log, /var/log/shell.log e /var/log/auth.log documentano login vSphere API e comandi shell — cruciali dopo campagne ransomware che colpiscono infrastruttura virtualizzata.

MITRE D3FEND identifica come digital artifact rilevanti Authentication Log, Network Session, User Account e Process: sono esattamente le entità da correlare in una timeline forense. La ricostruzione della catena da host A (compromesso iniziale) a host B, C, D permette di stimare dwell time e blast radius per la notifica agli stakeholder.

L'abuso di servizi remoti è talmente diffuso da essere presente nel playbook praticamente di ogni threat actor con capacità post-exploitation. I dati MITRE per T1021 mappano tre gruppi con approcci diversi ma complementari.

Wizard Spider (G0102), noto per l'ecosistema TrickBot/Ryuk/Conti, ha utilizzato il protocollo WebDAV per eseguire payload Ryuk ospitati su file share di rete. Questo pattern è tipico degli operatori ransomware che, dopo aver ottenuto privilegi di dominio, distribuiscono il payload finale sfruttando share SMB accessibili a Domain Users o Authenticated Users, minimizzando la telemetria endpoint. La strategia consente deployment simultaneo su centinaia di host in pochi minuti prima dell'esecuzione della cifratura.

Aquatic Panda (G0143), attore allineato agli interessi cinesi con focus su intelligence collection, ha impiegato scheduled task remoti per installare software malevolo durante fasi di lateral movement. La tecnica corrisponde all'abuso di at.exe o schtasks via SMB/RPC, spesso automatizzato con Impacket atexec.py. È un pattern silenzioso perché sfrutta il Task Scheduler nativo e sopravvive a reboot, rendendolo utile sia per movimento che per persistenza light.

Ember Bear (G1003), gruppo legato ad attività contro l'Ucraina e paesi NATO, utilizza credenziali di rete valide raccolte tramite credential harvesting per muoversi lateralmente, spesso impiegando il framework Impacket. Il ricorso sistematico a Impacket è un tratto tecnico condiviso con molti attori state-sponsored perché offre implementazione Python affidabile di SMB, WMI, DCOM e Kerberos, riducendo la dipendenza da tool custom rilevabili.

Sul fronte software, quattro famiglie sono mappate a T1021 con capacità distinte. Stuxnet (S0603) — il worm che colpì il programma nucleare iraniano — si propaga via peer-to-peer e aggiornamenti tramite RPC, dimostrando quanto sia longeva la superficie RPC come vettore di lateral movement. Brute Ratel C4 (S1063), framework offensivo commerciale finito nell'arsenale di gruppi allineati a Russia e sospettati Conti-affiliates, integra nativamente RPC per lateral movement e ha guadagnato popolarità come alternativa a Cobalt Strike per la sua migliore evasione EDR.

Kivars (S0437) è un RAT con capacità di trigger remoto di input tastiera e click del mouse, tipico di malware di sorveglianza. MacMa (S1016), backdoor macOS attribuita ad attività di cyber-espionage contro comunità di attivisti in Asia, gestisce sessioni di screen remoto — sfruttando esattamente la superficie ARD/VNC descritta nella tecnica.

Il trend osservabile è la convergenza tra attori financially-motivated e state-sponsored sull'uso di framework comuni (Impacket, Cobalt Strike, Brute Ratel) e su living-off-the-land via RDP/SSH/WMI/RPC. Per un CTI officer questo significa che gli indicatori atomici (hash, IP) invecchiano rapidamente, mentre i pattern comportamentali — correlazione logon/execution, uso di scheduled task remoti, deployment via share — restano validi come detection durature.

MITRE ATT&CK T1021 (Remote Services), tattica TA0008. Gruppi G0102 (Wizard Spider), G0143 (Aquatic Panda), G1003 (Ember Bear). Software S0437 (Kivars), S0603 (Stuxnet), S1016 (MacMa), S1063 (Brute Ratel C4). Mitigazioni M1018, M1027, M1032, M1035, M1042, M1047. Detection strategy DET0269 con analytic AN0750-AN0754. MITRE D3FEND per contromisure e digital artifact. Integrazioni da conoscenza professionale su tool forensi e offensivi (Impacket, NetExec, EvtxECmd, Plaso, osquery) con verifica di sintassi e disponibilità.