Esecuzione via Servizi Windows: Service Execution (T1569.002)
La tecnica T1569.002 - Service Execution descrive l'abuso del Service Control Manager (SCM) di Windows, il processo services.exe che governa la creazione, l'avvio e la gestione dei servizi di sistema. Gli attaccanti sfruttano questa interfaccia — accessibile tramite utility come sc.exe, net.exe o strumenti amministrativi come PsExec — per eseguire payload malevoli con privilegi elevati, spesso SYSTEM, sia in locale che su host remoti.
L'inquadramento MITRE ATT&CK la colloca nella tattica TA0002 (Execution), ma il suo valore operativo si estende naturalmente al movimento laterale: PsExec e cloni come Winexe o Impacket permettono di creare un servizio temporaneo su una macchina remota, eseguire il payload e rimuovere l'artefatto, tutto in pochi secondi. È il meccanismo di esecuzione tipicamente accoppiato a T1543.003 (Windows Service) quando l'obiettivo è persistenza o privilege escalation.
I numeri chiariscono la rilevanza: 16 gruppi APT documentati, 51 famiglie di malware e tool che la implementano, 4 campagne di alto profilo tra cui Operation Honeybee, Operation Wocao, APT41 DUST e la recente SharePoint ToolShell Exploitation. Ransomware come LockBit 3.0, BlackByte, Pysa, NotPetya e Bad Rabbit la usano per deployment massivo, mentre gruppi state-sponsored come APT38, APT41, Ke3chang e Wizard Spider la sfruttano per persistenza silente.
Sul piano offensivo, la tecnica offre una superficie ampia e ben documentata. La catena più classica passa per PsExec (open source, Sysinternals), che crea un servizio temporaneo chiamato PSEXESVC sul target remoto, esegue il binario come SYSTEM e rimuove il servizio a fine sessione. Il comando canonico è psexec.exe \\target -accepteula -s -d cmd.exe, dove -s forza l'esecuzione come SYSTEM e -d rende asincrona la chiamata. DarkGate documenta una variante locale: cmd /c c:\temp\PsExec.exe -accepteula -j -d -s [Target Binary].
Per esercizi red team che vogliono evitare la firma PsExec, esistono alternative funzionalmente equivalenti. Impacket (open source) include psexec.py, smbexec.py e atexec.py, ciascuno con impronte diverse sul target. CrackMapExec e il suo successore NetExec (open source) integrano queste modalità con nxc smb
La manipolazione diretta tramite sc.exe è utile per scenari a bassa rumorosità o per persistenza. Il pattern osservato in FIN7 (sc start sshd) e in Operation Honeybee (sc start COMSysApp, sc stop COMSysApp) mostra come dirottare servizi esistenti sia più stealth della creazione ex novo. La sequenza operativa tipica è:
- sc create
binPath= "cmd.exe /c " start= auto - sc start
- sc delete
Attenzione allo spazio dopo binPath=, richiesto dalla sintassi. Per esecuzione remota: sc \\target create ....
Cobalt Strike (a pagamento) e Brute Ratel C4 (a pagamento) offrono moduli jump psexec e jump psexec_psh che replicano la logica con payload in-memory, riducendo drop su disco. PoshC2 (open source), Empire (open source) e Koadic (open source) integrano varianti PsExec-like nei loro moduli di lateral movement.
Per scenari che sfruttano servizi legittimi come vettore di DLL sideloading, il pattern osservato in Blue Mockingbird — dirottamento del servizio wercplsupport per caricare XMRig — è replicabile in laboratorio identificando servizi con permessi ACL lassi tramite AccessChk (open source, Sysinternals): *accesschk.exe -uwcqv "Authenticated Users" *. Il tool PowerUp dentro PowerSploit (open source) automatizza la ricerca di servizi vulnerabili con Invoke-AllChecks.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.