Esecuzione in Macchina Virtuale: Run Virtual Instance (T1564.006)

In un red team engagement, la simulazione di T1564.006 richiede prudenza: si opera in ambienti lab isolati con snapshot di rollback. Su Windows, il vettore più rapido è Windows Sandbox (feature nativa, gratuita in Pro/Enterprise). Un file .wsb minimale definisce una cartella mappata e un comando di logon:

C:\payloadfalseC:\Users\WDAGUtilityAccount\Desktop\payload\stage2.exe

Doppio click sul .wsb avvia la sandbox e lancia il payload in un ambiente effimero che non lascia traccia persistente sul disco host.

Per scenari più realistici tipo Maze o Ragnar Locker, si utilizza VirtualBox (open source) in modalità headless. Dopo aver droppato i binari portabili, l'esecuzione avviene con:

VBoxManage.exe startvm "TinyVM" --type headless

La configurazione della shared folder da CLI:

VBoxManage.exe sharedfolder add "TinyVM" --name "host" --hostpath "C:" --automount

Ottiene accesso read/write all'intero disco C: dall'interno del guest, replicando lo schema del ransomware.

Su Linux, QEMU (open source) permette di lanciare una VM leggera senza installazione formale, sfruttando binari statici. La flag -nographic sopprime l'output video mentre -snapshot evita modifiche persistenti all'immagine:

qemu-system-x86_64 -m 512 -nographic -snapshot -drive file=tiny.img,format=raw -netdev user,id=n0 -device e1000,netdev=n0

Su ESXi, con accesso SSH root, la creazione di una VM invisibile a vCenter avviene preparando un .vmx custom in un datastore e lanciandolo direttamente:

/bin/vmx -x /vmfs/volumes/datastore1/hidden/hidden.vmx &

Aggiungere la stessa riga in /etc/rc.local.d/local.sh garantisce la persistenza. La VM non apparirà in vim-cmd vmsvc/getallvms ma sarà visibile in esxcli vm process list.

Per la fase di validazione, tool come Atomic Red Team (open source) includono test per varianti di T1564.006, utili per verificare la copertura dei sensori. Caldera (open source) di MITRE permette di orchestrare catene più complesse. In laboratorio è utile combinare la VM con un C2 leggero come Sliver (open source) o Mythic (open source) per simulare il traffico di comando che emerge dall'adapter bridged, spesso NAT-ato in modo da non correlare con l'hostname compromesso.

La detection di T1564.006 poggia su un principio semplice: se non hai visibilità dentro la VM, devi rilevarne la nascita e l'esecuzione dall'esterno. Il framework D3FEND suggerisce di concentrarsi sugli artefatti Process e sulle Executable Files che precedono il lancio dell'hypervisor.

Su Windows, i log chiave arrivano da Sysmon (open source, Microsoft): EventID 1 (Process Creation) e EventID 11 (File Create). L'alerting deve triggerare sulla comparsa di VBoxManage.exe, VBoxHeadless.exe, vmware-vmx.exe, vmwp.exe e qemu-system-*.exe con argomenti sospetti come --type headless, -nographic, -snapshot, o percorsi in %TEMP%, %APPDATA%, C:\Users\Public. Un buon segnale è la presenza di binari VirtualBox portabili in directory scrivibili dall'utente, senza corrispondente installazione registrata in HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall.

Per Windows Sandbox, monitorare EventID 1 con parent WindowsSandboxClient.exe o WindowsSandbox.exe e correlare con file .wsb creati recentemente. La feature è raramente usata in produzione: la sua attivazione su endpoint non-developer è di per sé un segnale forte.

Un'ulteriore regola discrimina tra uso legittimo e malevolo osservando la cardinalità: un amministratore usa VirtualBox su una singola workstation dedicata; un ransomware droppa i binari su decine di host in una finestra ristretta. Correlare Sysmon EventID 11 (creazione di .vdi, .vmdk, .vmx) tra host diversi in una finestra di 30 minuti è un pattern ad alta confidence.

Su Linux, auditd con regole sulla syscall execve cattura invocazioni di qemu-system-x86_64, VBoxHeadless, kvm con flag anomali. Una regola esempio:

-a always,exit -F arch=b64 -S execve -F path=/usr/bin/qemu-system-x86_64 -k vm_exec

Su macOS, l'unified log (log stream --predicate 'process == "vmware-vmx"') traccia esecuzioni di Fusion, Parallels e VirtualBox; monitorare anche modifiche a plist in ~/Library/LaunchAgents che avviano VM al login.

Su ESXi, la strategia D3FEND si traduce in confronto periodico tra l'output di vim-cmd vmsvc/getallvms (VM registrate) e esxcli vm process list (VM in esecuzione): ogni delta è una VM rogue. Automatizzare lo script via cron e inviare i risultati al SIEM. Monitorare anche modifiche a /etc/rc.local.d/local.sh con auditd o con integrity monitoring.

Falsi positivi tipici: laboratori di sviluppo, team QA, sysadmin che testano immagini. Il tuning richiede whitelist per host role e user context. L'uso in orario notturno da account non-IT resta un red flag affidabile.

L'analisi forense di T1564.006 si sviluppa su due piani paralleli: l'host che ha ospitato l'hypervisor e, quando recuperabile, l'immagine della VM guest. Gli artefatti chiave, secondo la classificazione D3FEND, sono Executable Files, Process e File System entries.

Su Windows, la prima fonte è il Prefetch (C:\Windows\Prefetch\). Un file come VBOXHEADLESS.EXE-<hash>.pf conferma l'esecuzione, con timestamp di prima e ultima esecuzione. Strumenti come PECmd (open source, Eric Zimmerman) estraggono i metadati:

PECmd.exe -f VBOXHEADLESS.EXE-XXXXXXXX.pf --json output.json

Amcache.hve (C:\Windows\appcompat\Programs\Amcache.hve) registra hash SHA-1 e percorsi dei binari eseguiti, utile per identificare copie portabili di VirtualBox in directory anomale. AmcacheParser (open source) automatizza l'estrazione.

Le ShimCache e UserAssist entries confermano l'interazione utente. Per Windows Sandbox, cercare file .wsb in Recent, Downloads, o nella cronologia di Explorer via ShellBags; il registro HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs\.wsb è particolarmente rivelatore. RegRipper (open source) o Registry Explorer (gratuito) sono gli strumenti di riferimento.

Le immagini disco della VM (.vdi, .vmdk, .qcow2) vanno cercate su tutto il volume, inclusi percorsi non standard: gli operatori di Maze e Ragnar Locker hanno collocato le immagini in C:\SDRSMLINK\, %PROGRAMDATA%\, o in cartelle nascoste. Una volta identificate, si montano in read-only con FTK Imager (gratuito), Arsenal Image Mounter (freemium) o si convertono con qemu-img (open source) per analisi con Autopsy (open source) o X-Ways (a pagamento). L'analisi dell'immagine guest rivela il payload effettivo (nel caso di Ragnar Locker, un binario di ransomware).

I VirtualBox log (.vbox e VBox.log nella cartella della VM) contengono timestamp di start/stop e configurazione delle shared folder — quest'ultima è la prova diretta dell'interazione con il file system host.

Su Linux, auditd logs (/var/log/audit/audit.log), ~/.bash_history e /var/log/syslog documentano l'esecuzione di QEMU. File .qcow2 in /tmp o /var/tmp sono altamente sospetti.

Su ESXi, i log hostd.log e vmkernel.log in /var/log/ registrano ogni power-on di VM, incluse quelle non registrate in vCenter. Confrontare l'inventario vCenter con i processi vmx attivi e ispezionare /etc/rc.local.d/local.sh per persistence. /var/log/shell.log traccia i comandi shell dell'attaccante, spesso con l'invocazione diretta di /bin/vmx.

La timeline si costruisce correlando prefetch/amcache dell'host, timestamp di creazione delle immagini disco, log dell'hypervisor e — se presenti — artefatti di rete come DNS query verso C2 emerse dall'adapter bridged.

Il panorama threat intelligence su T1564.006 è dominato da tre famiglie malware documentate in MITRE ATT&CK, tutte convergenti su un modello operativo comune: usare la VM come guscio evasivo per il payload principale.

Maze (S0449) è stata la prima famiglia ransomware a portare la tecnica su scala, adottando VirtualBox con una VM Windows 7 minimale. Il file di configurazione mappava le shared network drives dell'azienda vittima, permettendo al ransomware di cifrare non solo il disco locale ma anche le condivisioni remote — un moltiplicatore di impatto notevole in ambienti enterprise. L'operazione Maze ha di fatto codificato il playbook che altri gruppi hanno replicato.

Ragnar Locker (S0481) ha raffinato l'approccio riducendo l'immagine guest a una Windows XP stripped di soli 49 MB, distribuita insieme a un installer MSI di VirtualBox portabile. La shared folder configurata nel .vbox file dava accesso all'host, replicando il modello Maze ma con footprint ridotto. Il gruppo dietro Ragnar Locker ha colpito principalmente vittime enterprise nel settore energetico e manifatturiero, con richieste di riscatto multi-milionarie e double extortion.

LoudMiner (S0451) rappresenta la variante cryptomining della stessa tecnica: distribuito principalmente attraverso installer craccati di software audio VST per macOS e Windows, ha utilizzato sia QEMU che VirtualBox per eseguire una Tiny Core Linux VM che ospitava XMRig e comunicava con il C2 per aggiornamenti. La scelta di Tiny Core (poche decine di MB) minimizza il footprint e la Linux VM su host Windows/macOS elude praticamente tutti gli antivirus consumer.

Il pattern che emerge è duplice. Sul piano tecnologico, VirtualBox domina per portabilità dei binari e supporto shared folder, mentre QEMU è preferito quando serve leggerezza estrema o esecuzione cross-platform. Sul piano tattico, la tecnica accomuna operatori di ransomware big-game (Maze, Ragnar Locker) e operazioni cryptomining opportunistiche (LoudMiner), suggerendo che la barriera d'ingresso è bassa e la ROI (in termini di evasione) altissima.

L'evoluzione probabile del threat landscape include l'abuso crescente di Windows Sandbox, che offre virtualizzazione nativa senza necessità di droppare binari, e la migrazione verso attacchi ESXi-native dove i gruppi ransomware come varianti di Akira, Black Basta e affiliati ALPHV/BlackCat hanno dimostrato di operare direttamente sull'hypervisor. La creazione di VM invisibili a vCenter via /bin/vmx diretto è una tecnica sofisticata che richiede accesso root all'ESXi, tipicamente ottenuto tramite credenziali vSphere compromesse o exploit come CVE-2021-21985.

Per i threat hunter, la priorità va data alla telemetria hypervisor-side e al monitoraggio di installazioni non autorizzate di software di virtualizzazione, particolarmente in segmenti di rete non-developer.

MITRE ATT&CK T1564.006 (Run Virtual Instance), tattica TA0005. Software: S0449 (Maze), S0451 (LoudMiner), S0481 (Ragnar Locker). Mitigazioni: M1038, M1042, M1047. Detection strategy DET0321 con analytics AN0909-AN0912. MITRE D3FEND per artefatti Process ed Executable Files. Integrazione con conoscenza professionale per sintassi comandi VBoxManage, QEMU, ESXi vmx, tool forensi (PECmd, Autopsy, FTK Imager) e framework di simulazione (Atomic Red Team, Caldera).