Cattura Schermo: Screen Capture (T1113)

In un ingaggio red team la simulazione di screen capture serve a validare la capacità del SOC di distinguere attività di collection lecite da quelle malevole. Su Windows la primitiva più basilare è PowerShell con .NET:

Add-Type -AssemblyName System.Windows.Forms; $bmp = New-Object System.Drawing.Bitmap 1920,1080; $g = [System.Drawing.Graphics]::FromImage($bmp); $g.CopyFromScreen(0,0,0,0,$bmp.Size); $bmp.Save("$env:TEMP\out.png")

Questo snippet replica esattamente il pattern usato da POWERSTATS, CharmPower e Winter Vivern. Per operazioni più realistiche, il modulo Get-TimedScreenshot di PowerSploit (open source) esegue catture pianificate a intervalli configurabili, simulando il comportamento di Cobalt Strike e Empire.

Su Cobalt Strike (a pagamento) il comando screenshot del Beacon invoca GDI+ direttamente in memoria evitando drop su disco. Alternative open source con capacità equivalenti sono Sliver (open source) tramite il comando screenshot, Havoc (open source) e SILENTTRINITY (open source). Brute Ratel C4 (a pagamento) e Meterpreter di Metasploit Framework (open source) offrono comandi analoghi. Per esercizi lab-safe, Pupy (open source) permette di combinare mouse-logging e cattura di piccole aree attorno al click, tecnica identica a quella descritta per l'omonimo tool nel database MITRE.

Su macOS il binario nativo screencapture offre flag operativi rilevanti: screencapture -x -t jpg /tmp/out.jpg esegue una cattura silenziosa (senza suono otturatore) in formato JPEG, tecnica usata da Proton e Cuckoo Stealer. Il flag -C cattura il cursore, -D 1 seleziona il display primario in configurazioni multi-monitor. Impianti come MacMa e XCSSET invocano invece direttamente le Core Graphics API (CGWindowListCreateImageFromArray, CGDisplayCreateImage) bypassando il binario e riducendo la traccia forense sui log unificati.

Su Linux desktop si utilizzano xwd -root -out /tmp/out.xwd seguito da convert di ImageMagick (open source) per la conversione in formato standard, oppure il comando import -window root /tmp/out.png in un unico passaggio. In ambienti server headless senza X11, la tecnica non è applicabile e va sostituita con altre forme di collection.

Per catene end-to-end, combinare la cattura periodica con esfiltrazione via canali C2 legittimi (Slack API, Telegram Bot API, Discord webhook) replica il comportamento di Octopus, KONNI e Winter Vivern, mettendo alla prova sia le regole di detection endpoint che quelle di egress filtering.

La detection di T1113 richiede l'ancoraggio a tre segnali comportamentali: invocazione di API grafiche da processi non-GUI, scrittura ricorrente di file immagine in path atipici, e sequenze temporali regolari che tradiscono uno scheduler automatico.

Su Windows la fonte primaria è Sysmon con configurazione estesa. L'EventCode 7 (Image Loaded) permette di rilevare processi non standard che caricano gdi32.dll e gdiplus.dll — proprio le librerie usate da Volt Typhoon, ROKRAT e Woody RAT. Un processo powershell.exe o wscript.exe che carica gdiplus è un'anomalia netta rispetto al baseline. L'EventCode 11 (FileCreate) va correlato per intercettare la scrittura di file .bmp, .png, .jpg in directory come %AppData%, %Temp%, %ProgramData%. QuietSieve scrive in Temp\SymbolSourceSymbols\icons, Rover in C:\system\screenshot.bmp, LitePower in %AppData% — pattern statici replicabili in regole Sigma.

La detection AN0980 di MITRE consiglia il tuning su ParentProcessName (distinguere explorer.exe da powershell.exe), TimeWindow (intervalli regolari sotto i 5 minuti sono altamente sospetti), e ImageExtension (file immagine scritti da processi non grafici). Un query esempio in KQL su Microsoft Defender:

DeviceImageLoadEvents | where FileName in ("gdi32.dll","gdiplus.dll") | where InitiatingProcessFileName !in ("explorer.exe","mspaint.exe","snippingtool.exe")

Su macOS il Unified Logging System traccia le invocazioni di screencapture. La query log show --predicate 'process == "screencapture"' --last 1h rivela chi ha invocato il binario e con quali flag. Sospetti indicatori: uso del flag -x (silenzioso), parent process diverso da Terminal o dai processi GUI di sistema, esecuzioni ripetute a intervalli fissi. La detection AN0981 raccomanda regex sui flag e correlazione con il parent process.

Su Linux l'audit framework (auditd) con regole su execve intercetta invocazioni di xwd, import, scrot. La detection AN0982 filtra su sessioni TTY assenti (esecuzione senza terminale interattivo indica automazione) e path esecuzione anomali. Regola auditd esempio: -a always,exit -F arch=b64 -S execve -F path=/usr/bin/xwd -k screencapture.

Dal lato D3FEND, le contromisure applicabili includono Process Analysis e File Access Pattern Analysis. I falsi positivi tipici derivano da tool legittimi (Snipping Tool, Greenshot, Lightshot, ShareX, software di supporto remoto come TeamViewer e AnyDesk). Un baseline dei tool approvati riduce drasticamente il rumore, mentre l'allarme va calibrato su deviazioni dal profilo utente più che sulla singola cattura.

L'analisi forense di T1113 si concentra sul recupero degli artefatti immagine, sulla ricostruzione della cadenza di cattura e sull'identificazione del processo generatore.

Su Windows il primo passo è l'enumerazione delle immagini in path non standard. KAPE (gratuito) con target ScreenCaptureFiles raccoglie file .bmp, .png, .jpg da directory transitorie. L'analisi con Autopsy (open source) o Magnet AXIOM (a pagamento) permette di estrarre metadati EXIF che, in caso di cattura via GDI+, contengono spesso il software generatore. File come screenshot.bmp in *C:\system* (Rover), shot.png in *\ProgramData\Mail\MailAg* (Trojan.Karagany), Filter3.jpg nella directory locale (SLOTHFULMEDIA) o scr.jpg (MarkiRAT) sono fingerprint documentate.

La Prefetch in *C:\Windows\Prefetch* rivela l'esecuzione di binari sospetti. Tool come PECmd di Eric Zimmerman (open source) estraggono timestamp di prima e ultima esecuzione, utili per delimitare la finestra di attività. Le Shimcache e Amcache confermano l'esecuzione di eseguibili non più presenti sul disco. Per malware che opera in memoria come Cobalt Strike o Havoc, l'analisi va portata su un dump RAM con Volatility 3 (open source): il plugin windows.pslist identifica processi anomali, windows.dlllist verifica il caricamento di gdiplus.dll in processi sospetti, windows.handles rivela handle a device grafici.

Gli EventLog Microsoft-Windows-Sysmon/Operational offrono la timeline più ricca: correlare EventCode 1 (process creation), EventCode 7 (image load) ed EventCode 11 (file create) permette di ricostruire la sequenza "processo avviato → librerie grafiche caricate → file immagine scritto". La cadenza temporale è diagnostica: intervalli fissi di 30, 60 o 90 secondi indicano scheduler malware (BLUELIGHT, Rover, Micropsia), mentre catture sporadiche sono compatibili con operatori umani via Beacon.

Su macOS il Unified Log (accessibile via log collect) conserva invocazioni di screencapture con parent process e argomenti. Il database FSEvents in .fseventsd/ traccia creazione file immagine anche se successivamente cancellati. Per impianti che usano Core Graphics come MacMa o LightSpy, l'analisi va portata sui KnowledgeC.db e sui bundle applicativi caricati.

Su Linux i log auditd in /var/log/audit/audit.log mostrano execve di xwd, import, scrot. Il file .bash_history può contenere comandi manuali, mentre analisi di persistenza (cron, systemd timer, ~/.config/autostart/) rivela job schedulati per catture ricorrenti.

La correlazione con artefatti di esfiltrazione (traffico verso C2, upload cloud) chiude la catena Collection → Exfiltration, elemento essenziale per attribuzione e valutazione dell'impatto.

Screen capture è una capacità trasversale a tutte le geografie APT, ma alcuni gruppi la impiegano con caratteristiche distintive.

APT28 (attribuito al GRU russo) utilizza screen capture attraverso l'arsenale storico CHOPSTICK, JHUHUGIT e XAgentOSX. La variante JHUHUGIT è particolarmente notevole per la tecnica evasiva: simula la pressione del tasto "Take Screenshot" (VK_SCREENSHOT), estrae l'immagine dalla clipboard e la converte in JPG. Zebrocy e Cannon, sempre nell'ecosistema APT28, hanno affiancato queste capacità con esfiltrazione via canali email SMTP. La longevità multi-decennale dell'arsenale conferma che la tecnica è considerata core per operazioni di raccolta intelligence.

Gamaredon Group (attribuito all'FSB russo, focalizzato su target ucraini) opera con Pteranodon e QuietSieve con cadenza di cattura estremamente aggressiva — screenshot ogni minuto e ogni cinque minuti rispettivamente. Il volume di dati raccolti indica priorità sul monitoring continuo piuttosto che su collection mirata. Gli screenshot vengono salvati in path camuffati come Temp\SymbolSourceSymbols\icons, tentativo di mimetizzarsi tra directory di sviluppo software.

MuddyWater e OilRig (attribuiti all'ecosistema iraniano) impiegano rispettivamente POWERSTATS e CANDYKING / RDAT / POWRUNER. Il pattern iraniano privilegia PowerShell come vettore, riducendo la footprint su disco. APT39, altro cluster iraniano, integra screen capture in operazioni di sorveglianza contro dissidenti e settore telecomunicazioni. APT42 — cluster più recente attribuito ai Guardiani della Rivoluzione — ha introdotto GHAMBAR e POWERPOST con capacità analoghe, confermando la continuità operativa.

Kimsuky (attribuito alla Corea del Nord) ha innovato con TRANSLATEXT, malware che cattura screenshot delle tab del browser attivando la funzionalità solo quando è impostato un flag Capture specifico. Questa granularità riduce il rumore e indica maturità operativa nella gestione della raccolta dati. Sempre nordcoreano, BLUELIGHT cattura ogni 30 secondi nei primi 5 minuti e poi ogni 5 minuti, pattern che tradisce logica di triage automatico iniziale seguito da monitoring passivo.

Volt Typhoon (attribuito alla Cina, focalizzato su infrastrutture critiche USA) usa direttamente gdi32.dll e gdiplus.dll per catture rapide durante l'accesso interattivo. L'approccio minimale — senza malware persistente — è coerente con la dottrina living-off-the-land del gruppo.

FIN7 e GOLD SOUTHFIELD rappresentano il segmento cybercrime: il primo con desktop video recording via HALFBAKED, GRIFFON e Lizar, il secondo tramite abuso del tool legittimo ConnectWise. MoustachedBouncer e Winter Vivern, cluster attivi contro target diplomatici europei, confermano che screen capture rimane strumento privilegiato per intelligence su comunicazioni ministeriali.

MITRE ATT&CK: tecnica T1113 (Screen Capture), tattica TA0009 (Collection). Detection DET0346 con analitiche AN0980 (Windows/Sysmon), AN0981 (macOS/UnifiedLog), AN0982 (Linux/auditd). MITRE D3FEND per contromisure Process Analysis e File Access Pattern Analysis. Dati su 18 gruppi APT e 148 famiglie malware dal knowledge base ATT&CK. Sono stati integrati elementi di conoscenza professionale su sintassi comandi, tool di detection open source (Sysmon, KAPE, Volatility, PECmd) e query KQL per completare il quadro operativo.