Esecuzione Proxy tramite Binari Firmati: System Binary Proxy Execution (T1218)
La tecnica T1218 - System Binary Proxy Execution rappresenta una delle strategie di evasione più raffinate del framework MITRE ATT&CK, collocata nella tattica TA0005 (Defense Evasion). L'idea di fondo è tanto semplice quanto efficace: invece di eseguire direttamente un payload malevolo, l'attaccante si appoggia a binari legittimi, firmati digitalmente da Microsoft o già nativi nel sistema operativo, per proxare l'esecuzione di codice arbitrario. Questo approccio permette di aggirare controlli basati su firme digitali, whitelist applicative e reputazione dei processi.
Su Windows i binari coinvolti sono spesso eseguibili di sistema come rundll32.exe, regsvr32.exe, msiexec.exe o wuauclt.exe, tutti dotati di firma valida Microsoft e quindi tipicamente autorizzati dalle policy di sicurezza. Su Linux la stessa logica si estende a utility fidate come split, tee o env, che possono essere concatenate per eseguire comandi malevoli mascherati da normali operazioni di sistema.
L'impatto operativo è significativo: si contano 2 gruppi APT documentati e 6 mitigazioni raccomandate. La tecnica è centrale nelle fasi post-exploitation della kill chain, in particolare durante Execution e Defense Evasion, ed è frequentemente osservata in operazioni di persistenza, esecuzione di secondo stadio e living-off-the-land, dove l'adozione di strumenti nativi riduce drasticamente la superficie di detection tradizionale.
Per un red teamer, T1218 è terreno fertile perché offre decine di vettori documentati nella community, catalogati nel progetto LOLBAS (open source) per Windows e GTFOBins (open source) per Unix-like. Questi due repository rappresentano il punto di partenza obbligato per costruire catene di esecuzione realistiche in ambiente di laboratorio.
Su Windows, la simulazione classica sfrutta regsvr32.exe per caricare una DLL remota o eseguire uno scriptlet COM. Un comando tipico in scenario controllato è:
regsvr32.exe /s /n /u /i:file.sct scrobj.dll
Dove scrobj.dll è il Script Component Runtime firmato Microsoft, che interpreta il contenuto XML del file .sct. Altrettanto comune è l'abuso di rundll32.exe per invocare export di DLL malevole:
rundll32.exe shell32.dll,ShellExec_RunDLL calc.exe
Il caso Lazarus Group documenta l'abuso di wuauclt.exe (Windows Update Client) per caricare DLL malevole tramite parametri di comando specifici, tecnica utile da replicare in esercitazioni Purple Team per validare la copertura EDR.
msiexec.exe consente installazioni silenziose di pacchetti MSI remoti tramite il flag /quiet, mentre mshta.exe interpreta file HTA che possono contenere VBScript o JScript arbitrari. Per ognuno di questi vettori conviene misurare la resistenza dei controlli AppLocker e Windows Defender Application Control (entrambi nativi, gratuiti) verificando se le regole di default coprono realmente i binari abusabili.
Su Linux, come illustrato da Volt Typhoon con il suo approccio living-off-the-land, si punta su binari già presenti. Ad esempio, split può essere usato per ricomporre un payload frammentato, mentre env consente di eseguire comandi bypassando eventuali alias di shell. La catalogazione GTFOBins fornisce esempi di sintassi verificati.
Per l'automazione della fase offensive, framework come Atomic Red Team (open source, mantenuto da Red Canary) includono test atomici dedicati a T1218 con payload safe che validano la detection senza compromettere il sistema. Caldera (open source, MITRE) offre ability precostruite per orchestrare catene multi-step che combinano proxy execution con altre tecniche di Defense Evasion. In ambiente laboratorio consiglio di eseguire ogni test con Sysmon configurato secondo la baseline SwiftOnSecurity (open source) per generare telemetria confrontabile con quella dei detection engineer.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo