Abuso di Sistemi di Deployment: Software Deployment Tools (T1072)

In un esercizio red team l'abuso di Software Deployment Tools è tra gli obiettivi più remunerativi perché consente il salto da un singolo host compromesso al pieno controllo della flotta. La catena tipica parte dalla ricognizione: enumerare la presenza di agenti SCCM cercando il servizio CcmExec e la cartella *C:\Windows\CCM*, verificare l'esistenza di PDQDeployRunner o BESClient.exe (BigFix), controllare policy Intune tramite le chiavi HKLM\SOFTWARE\Microsoft\Enrollments.

Per SCCM lo strumento di riferimento in laboratorio è SharpSCCM (open source), che consente enumerazione di collezioni, device e credenziali Network Access Account. Comandi tipici di ricognizione includono SharpSCCM.exe get site-info e SharpSCCM.exe get devices, seguiti da SharpSCCM.exe exec per deployment di script arbitrari verso una collezione target. In parallelo cmloot (open source) permette di raccogliere contenuti sensibili dalle share SCCM. La libreria offensiva Misconfiguration-Manager documenta tecniche come SCCM Site Takeover e credential relay verso il Management Point.

Per ambienti Intune, il modulo PowerShell Microsoft.Graph (open source, ufficiale Microsoft) consente a un Global Admin o Intune Administrator compromesso di creare una policy PowerShell che esegue payload come SYSTEM sugli endpoint Entra-joined: sequenza operativa via cmdlet New-MgDeviceManagementDeviceManagementScript e assegnazione ai gruppi target. Il tempo di propagazione è tipicamente 60 minuti, ma un check-in forzato accelera i tempi.

Su AWS il servizio Systems Manager (SSM) è abusabile con credenziali IAM che dispongano di ssm:SendCommand: aws ssm send-command --document-name AWS-RunShellScript --targets Key=tag:Environment,Values=prod --parameters commands= esegue codice su tutte le istanze con l'agente attivo. Simile logica con Azure Arc tramite Invoke-AzVMRunCommand.

Per PDQ Deploy (a pagamento) la simulazione consiste nella creazione di un package custom che esegue un binario di test firmato dal red team; la console rende triviale il targeting di intere OU. In ambienti misti, CrackMapExec/NetExec (open source) resta utile per identificare host con agenti di deployment esposti su SMB.

Ogni azione va concordata nelle rules of engagement: un errore su una console di deployment ha impatto pari a un incidente reale. Il laboratorio ideale replica un dominio Windows con SCCM Current Branch e almeno una VM Linux gestita via Ansible per esercitare cross-platform.

Il rilevamento di T1072 richiede telemetria sulla console di deployment e sugli endpoint gestiti, con particolare attenzione al contesto padre-figlio dei processi. La rilevazione DET0223 di MITRE indica come segnale primario su Windows lo spawn di script o binari non attesi dal contesto SYSTEM dei processi SCCM/Intune: CCMExec.exe o cmtrace.exe che lanciano powershell.exe, cmd.exe o wscript.exe fuori dalle finestre di manutenzione è indicatore forte.

Le fonti log da correlare sono WinEventLog:Security (EventID 4688 per process creation, 4624/4672 per logon SYSTEM) e WinEventLog:Application per gli eventi del client SCCM. Sysmon (open source, Microsoft) con EventID 1 arricchisce il dato con hash e command line completa, mentre EventID 11 identifica scrittura di file nelle staging directory tipiche come *C:\Windows\ccmcache*. Un baselining accurato della ParentImageList (whitelist di CCMExec.exe, TSManager.exe, ccmsetup.exe) riduce drasticamente i falsi positivi.

Su Linux le pipeline Puppet/Chef/Ansible generano artefatti in auditd:SYSCALL: monitorare execve originati da puppet-agent, chef-client o connessioni SSH da server orchestratori non autorizzati. Il tuning richiede una DeployingHostAllowList con gli IP dei jump box legittimi e una baseline degli interpreti attesi.

Su macOS gli eventi macos:unifiedlog e i log macos:jamf evidenziano l'esecuzione di osascript o Terminal spawnati da agenti JAMF/Munki fuori orario; il controllo delle signing authority approvate è discriminante.

Per il piano SaaS, AWS CloudTrail cattura le API ssm:SendCommand, ssm:StartSession, ssm:CreateAssociation: l'alert deve confrontare il ruolo IAM chiamante con una allowlist di deployment operator e verificare che il set di target istanze rispetti pattern noti. In Azure il log AuditLogs e AzureActivity tracciano Invoke-AzVMRunCommand e le assegnazioni di script Intune; Microsoft Graph Activity Logs (freemium, incluso in E5) è la fonte per rilevare creazione di device management scripts anomali.

Sul lato network, deployment massivi verso subnet non abituali generano pattern di traffico distinguibili in NSM:Flow (Zeek open source). Per apparati di rete, syslog da FortiManager o Cisco Prime deve segnalare push di configurazione da utenti o IP fuori baseline.

I falsi positivi principali derivano dalle finestre di patching mensili: implementare regole time-aware che sopprimano gli alert nelle finestre di change management approvate, ma mantengano visibilità completa fuori orario. Un playbook maturo integra l'allineamento con il CMDB per validare che ogni deployment osservato corrisponda a un ticket di change.

L'analisi forense post-compromise di T1072 parte dalla console di deployment: è lì che risiede la prova regina del comando eseguito. Su un server SCCM Current Branch gli artefatti chiave includono il database SQL CM_ (tabelle v_Package, v_Advertisement, v_ClientAdvertisementStatus) e i log testuali in *C:\Program Files\Microsoft Configuration Manager\Logs* — in particolare smsprov.log, distmgr.log, statmgr.log. Il file AdminUI.log traccia le azioni interattive dalla console.

Sull'endpoint gestito la timeline si ricostruisce da *C:\Windows\CCM\Logs* (execmgr.log documenta program execution, AppEnforce.log le installazioni applicative) e dalla cache in *C:\Windows\ccmcache* dove i binari deployati permangono spesso anche dopo l'esecuzione. Il calcolo hash di questi file e il confronto con VirusTotal (freemium) o repository interni è passaggio obbligato.

Per PDQ Deploy — coinvolto nella campagna C0018 con AvosLocker — le evidenze centralizzate si trovano nel database SQLite del server C:\ProgramData\Admin Arsenal\PDQ Deploy\Database.db, che conserva package definitions, target list e cronologia delle esecuzioni. Sull'host target il servizio PDQDeployRunner lascia traccia in *C:\Windows\AdminArsenal\PDQDeployRunner*.

Per BigFix (coinvolto nella stessa campagna con Medusa Group) rilevare BESClient.exe attivo e analizzare *C:\Program Files (x86)\BigFix Enterprise\BES Client__BESData__Global\Logs*.

Per Intune l'analisi si sposta al cloud: Microsoft Graph API espone deviceManagementScripts e i risultati di esecuzione (deviceRunStates), correlabili con Entra ID Audit Logs e Sign-in Logs per identificare l'amministratore che ha creato o modificato lo script. La finestra di retention standard è 30 giorni per audit log (estendibile con Log Analytics, a pagamento).

Su AWS Systems Manager la timeline forense passa da CloudTrail (retention 90 giorni default, ma richiede bucket S3 dedicato per conservazione forense) filtrando eventName:SendCommand e eventName:StartSession; l'output effettivo dei comandi si recupera se il logging su S3 o CloudWatch Logs era abilitato prima dell'incidente.

Su Linux l'analisi correla auditd (regole su execve), journalctl per systemd, e log specifici dell'agente (/var/log/salt/, /var/log/puppetlabs/, /var/log/aws/ssm/). Su macOS log show --predicate 'subsystem == "com.jamf.management"' estrae attività dell'agente JAMF dall'unified log.

La ricostruzione della timeline richiede l'allineamento temporale accurato (verificare drift NTP) tra console, endpoint e log cloud. Plaso/log2timeline (open source) è utile per fondere le fonti Windows in un supertimeline analizzabile con Timesketch (open source). La chain of custody deve preservare copia forense del database della console prima di qualunque azione di remediation.

L'abuso di Software Deployment Tools è un pattern trasversale che accomuna attori state-sponsored e gruppi cybercrime, uniti dal riconoscere il valore moltiplicatore di queste piattaforme.

Sandworm Team (G0034), attribuito al GRU russo (Unit 74455), ha impiegato RemoteExec, tool commerciale per esecuzione remota agentless. Il gruppo è noto per operazioni distruttive contro infrastrutture critiche ucraine ed è tra gli attori più prolifici nell'uso di meccanismi di distribuzione di massa per wiper e ransomware.

APT32 (OceanLotus), gruppo vietnamita orientato a spionaggio economico-politico contro Sud-Est asiatico, dissidenti e multinazionali, ha compromesso una console McAfee ePO per muoversi lateralmente distribuendo malware come deployment task legittimo. Il pattern illustra come una piattaforma di sicurezza (paradossalmente) diventi vettore quando l'attaccante ottiene privilegi amministrativi sulla console.

Mustang Panda (G0129), gruppo cinese attivo dal 2017 contro ONG, think tank ed enti governativi asiatici ed europei, sfrutta software legittimo — agenti antivirus, servizi di sicurezza, tool di sviluppo — per eseguire script e side-loading di DLL. La tecnica converge con il living-off-the-land trend che caratterizza gli APT cinesi.

Silence (G0091), gruppo cybercrime russofono specializzato in attacchi al settore bancario e ATM jackpotting, utilizza RAdmin per controllare workstation e sportelli automatici. L'uso di remote administration tool legittimi rende la detection particolarmente ardua nelle reti bancarie dove tali strumenti sono spesso whitelistati.

Threat Group-1314 (G0028) ha sfruttato Altiris — piattaforma endpoint management — per lateral movement in un ambiente enterprise, dimostrando come suite meno note ma diffuse in verticali specifici siano bersaglio primario.

Medusa Group (G1051), operatore ransomware attivo dal 2021 con modello RaaS, ha impiegato sia BigFix sia PDQ Deploy per distribuire il payload di cifratura, coerente con il trend degli affiliati ransomware che privilegiano tool di deployment enterprise per massimizzare l'impatto in un'unica finestra temporale.

La campagna C0018 (febbraio-marzo 2022) è caso emblematico: un mese di dwell time culminato nel deployment di AvosLocker via PDQ Deploy, dopo accesso iniziale tramite server esposto e uso estensivo di tool open source. Il pattern C0018 è oggi replicato da praticamente ogni affiliato ransomware maturo.

Il malware storico Wiper (S0041) — distribuito tramite un sistema di patch management di un antivirus diffuso — resta il caso di scuola dell'impatto sistemico: un singolo compromesso della supply chain di deployment ha effetto amplificato su intere organizzazioni. Il trend indica che console SCCM, Intune, PDQ e BigFix vanno considerate obiettivi Tier 0 al pari dei domain controller.

MITRE ATT&CK T1072 Software Deployment Tools; tattiche TA0002, TA0008; gruppi G0028, G0034, G0050, G0091, G0129, G1051; software S0041; campagna C0018; mitigazioni M1015, M1017, M1018, M1026, M1027, M1029, M1030, M1032, M1033, M1051; detection DET0223 (AN0623-AN0627); MITRE D3FEND mapping per T1072. Integrazione con conoscenza professionale in cybersecurity per tool operativi (SharpSCCM, cmloot, Misconfiguration-Manager, Sysmon, Plaso, Timesketch) e artefatti forensi delle piattaforme SCCM, Intune, PDQ Deploy, BigFix, AWS SSM.