Persistenza via Terminal Services DLL: Terminal Services DLL (T1505.005)

In un contesto di red team autorizzato, la simulazione di T1505.005 parte dall'ottenimento di privilegi SYSTEM o Administrator sul target — condizione necessaria per modificare la chiave TermService\Parameters e per sostituire termsrv.dll in System32, protetta da Windows Resource Protection.

La catena tipica prevede tre fasi. Prima si arresta il servizio con sc.exe stop TermService (nativo Windows), verificando eventuali dipendenze con sc.exe qc TermService. Successivamente si prende ownership del file con takeown /f %SystemRoot%\System32\termsrv.dll e si concedono permessi di scrittura tramite icacls %SystemRoot%\System32\termsrv.dll /grant Administrators:F. Infine si sostituisce la DLL o si modifica il valore di registro con reg add "HKLM\System\CurrentControlSet\services\TermService\Parameters" /v ServiceDll /t REG_EXPAND_SZ /d "C:\path\evil.dll" /f.

Un caso didattico ampiamente documentato è la patch di termsrv.dll per abilitare sessioni RDP concorrenti su Windows 10/11. Il progetto RDPWrap (open source, repository stascorp/rdpwrap su GitHub, non più attivamente manutenuto ma ancora funzionante con file INI aggiornati dalla community) implementa questa modifica come wrapper che intercetta le chiamate di termsrv.dll senza toccare il binario originale, riducendo il rischio di rollback via Windows Update. L'installazione avviene con install.bat e la verifica con RDPConf.exe.

Per scenari offensivi più realistici, il red teamer può sviluppare una DLL proxy che riesporta tutte le funzioni di termsrv.dll originale (rinominata) aggiungendo logica di backdoor nel DllMain. Tool come DLLProxyGenerator (open source, disponibile su GitHub) o Spartacus (open source, repository Accenture/Spartacus) automatizzano la generazione degli stub di forwarding a partire dall'analisi della export table.

Dopo il deploy si riavvia il servizio con sc.exe start TermService e si verifica il caricamento con tasklist /svc /fi "imagename eq svchost.exe" individuando il PID che ospita TermService, poi listdlls.exe -p (Sysinternals, gratuito) per confermare che la DLL modificata sia mappata.

Regola d'ingaggio fondamentale: operare solo in lab isolati o ambienti autorizzati con Rules of Engagement scritte. La modifica di termsrv.dll è invasiva, sopravvive ai riavvii e può interferire con aggiornamenti di sicurezza; prevedere sempre snapshot di rollback e restauro del binario originale a fine esercizio con sfc /scannow.

La detection di T1505.005 si fonda su tre pilastri correlati: monitoraggio delle modifiche al registro, tracciamento dei caricamenti DLL anomali nel contesto di svchost.exe, e osservazione dei riavvii inattesi del servizio TermService. La strategia MITRE DET0212 (analitica AN0595) suggerisce proprio la correlazione temporale tra questi eventi.

Sul fronte registro, l'evento chiave è la scrittura sulla chiave HKLM\System\CurrentControlSet\services\TermService\Parameters\ServiceDll. Con Sysmon (open source, Microsoft Sysinternals) configurato con una regola RegistryEvent (Value Set) sul target path, si genera l'EventID 13. In alternativa, abilitando l'auditing nativo Windows con auditpol /set /subcategory:"Registry" /success:enable /failure:enable e configurando la SACL sulla chiave, si ottiene l'EventID 4657 nel canale Security. Qualsiasi valore diverso da %SystemRoot%\System32\termsrv.dll deve generare alert ad alta priorità.

Il secondo livello è il caricamento DLL. L'EventID 7 di Sysmon (ImageLoad) filtrato per processi svchost.exe avviati con la command line -k termsvcs rivela ogni libreria mappata nel contesto del servizio. Un baseline pulito include termsrv.dll firmato Microsoft e un set noto di dipendenze; qualsiasi DLL non firmata, con path fuori da System32, o con hash sconosciuto è un forte indicatore. La correlazione con EventID 6 (DriverLoad) e EventID 1 (ProcessCreate) del svchost ospitante completa la telemetria.

Il terzo indicatore è il riavvio del servizio: EventID 7036 nel canale System ("Terminal Services entered the running state") fuori finestra di manutenzione, specialmente se preceduto entro pochi minuti da un evento di scrittura registro, costituisce una kill chain di persistenza ad alta confidenza.

Detection aggiuntive utili: modifiche al file termsrv.dll rilevate via EventID 11 (FileCreate) di Sysmon con target su System32\termsrv.dll, e verifica periodica dell'integrità con sfc /verifyfile=%SystemRoot%\System32\termsrv.dll. Sul piano preventivo, la mitigazione M1024 raccomanda di restringere via GPO i permessi di scrittura sulla chiave TermService\Parameters, mentre M1047 suggerisce audit periodici dell'hash di termsrv.dll contro il valore di riferimento Microsoft.

Falsi positivi realistici includono aggiornamenti Windows che sostituiscono legittimamente termsrv.dll (correlabili con EventID 19 di WindowsUpdateClient) e strumenti di gestione RDP di terze parti in ambienti di supporto. Il tuning consigliato da DET0212 prevede whitelist per ParentProcessName di automazione autorizzata e finestre temporali di correlazione tra modifica registro e caricamento DLL.

L'analisi forense di un compromesso via T1505.005 ruota attorno a tre categorie di artefatti: registro di sistema, file system e log eventi, tutti da correlare in una timeline unificata.

Sull'immagine forense, l'hive SYSTEM è la prima fonte da esaminare. Con RegRipper (open source, repository keydet89/RegRipper3.0) o Registry Explorer di Eric Zimmerman (gratuito) si estrae il valore corrente di ControlSet001\Services\TermService\Parameters\ServiceDll, confrontandolo con lo shadow copy o con backup precedenti. L'analisi dei transaction log SYSTEM.LOG1 e SYSTEM.LOG2 può rivelare modifiche recenti non ancora consolidate nell'hive principale. Il timestamp LastWrite della chiave Parameters fornisce la finestra temporale della compromissione.

Sul file system, l'artefatto centrale è %SystemRoot%\System32\termsrv.dll. La verifica va condotta su tre livelli: hash SHA-256 confrontato con il database Microsoft (o con copie note-good della stessa build Windows), firma digitale validata con sigcheck.exe di Sysinternals (gratuito) o con Get-AuthenticodeSignature in PowerShell, e analisi della MFT per timestamp $STANDARD_INFORMATION vs $FILE_NAME che potrebbero rivelare timestomping. Tool come MFTECmd di Eric Zimmerman (gratuito) permettono l'estrazione strutturata. Se la DLL è stata sostituita, il Volume Shadow Copy spesso conserva la versione originale: montare gli shadow con vssadmin list shadows e recuperare il file precedente per analisi comparativa.

I log eventi forniscono la timeline degli attacchi. Nel canale Security gli EventID 4657 (modifica valore registro) e 4663 (accesso a oggetto) tracciano le operazioni sulla chiave, se l'auditing era abilitato. Nel canale System l'EventID 7036 documenta gli stop/start di TermService, mentre 7040 rivela cambi di configurazione del servizio. Il canale Microsoft-Windows-TerminalServices-LocalSessionManager/Operational registra le sessioni RDP effettive con EventID 21, 24, 25, utili per identificare l'uso operativo della persistenza. Se Sysmon era attivo, gli EventID 7, 11, 13 del canale Microsoft-Windows-Sysmon/Operational costituiscono la fonte più ricca.

Per l'analisi della DLL sospetta, il triage statico con PE-bear (gratuito) o CFF Explorer (gratuito) rivela export table, import sospette (WinInet, WS2_32 in una DLL che non dovrebbe comunicare) e sezioni anomale. DIE (Detect It Easy, open source) identifica packer e compilatori. L'analisi dinamica in sandbox con CAPE (open source, repository kevoreilly/CAPEv2) o Any.Run (freemium) osserva il comportamento a runtime.

La correlazione finale dovrebbe includere artefatti di Initial Access (log RDP in entrata, autenticazioni anomale in Security 4624 Type 10) e Lateral Movement precedenti, per ricostruire l'intera kill chain oltre la sola persistenza.

I dati MITRE ATT&CK non associano attualmente T1505.005 a gruppi APT specifici né a campagne documentate o software catalogato. Questa assenza di attribuzione formale non riflette necessariamente una tecnica poco utilizzata, ma piuttosto la difficoltà di attribuzione: la modifica di termsrv.dll è un meccanismo di persistenza living-off-the-land che lascia pochi artefatti distintivi riconducibili a un singolo threat actor, e viene spesso classificata sotto categorie più generiche come Hijack Execution Flow o Modify Registry nei report di incident response.

Dal punto di vista dell'analisi di threat intelligence, questa tecnica presenta caratteristiche che la rendono particolarmente attraente per specifiche categorie di attaccanti. Il primo profilo è quello degli operatori di ransomware human-operated e dei loro affiliate, che necessitano di persistenza stabile su server compromessi durante le fasi di ricognizione ed esfiltrazione precedenti al deployment del payload cifrante. La possibilità di mantenere sessioni RDP concorrenti senza espellere l'utente legittimo è funzionale a operazioni prolungate su domain controller e file server.

Il secondo profilo è quello degli initial access broker, che monetizzano accessi persistenti a reti aziendali. Una backdoor via termsrv.dll è particolarmente pregiata sul mercato underground perché sopravvive a cambi credenziali (l'accesso non dipende dalle password compromesse ma dal binario modificato) e a riavvii, offrendo un canale di ingresso stabile che può essere rivenduto o riutilizzato.

Il terzo profilo comprende gli APT interessati alla long-term persistence su target strategici, dove il basso rumore operativo prevale sulla velocità di azione. La sostituzione di una DLL di sistema con un binario firmato in modo credibile (via certificati rubati o self-signed accettati) può eludere per mesi le detection basate su hash o baselining superficiale.

Sul piano dei trend osservabili, la comunità di difesa segnala un utilizzo crescente di tecniche di DLL hijacking mirato ai servizi Windows in generale, di cui TermService è un caso rappresentativo insieme ad altri servizi come IKEEXT, DNS, e WSearch. Il pattern comune è l'abuso di ServiceDll in chiavi Parameters dei servizi ospitati da svchost.exe.

Per i team di threat intelligence, la raccomandazione operativa è integrare nei propri framework di hunting query specifiche sulla chiave TermService\Parameters correlate con CTI feed su tool pubblici come RDPWrap, il cui uso in contesti enterprise è spesso indicatore di attività non autorizzata. Il monitoraggio di forum underground per menzioni di "persistent RDP" o "termsrv patcher" fornisce early warning su tooling emergente. L'assenza di attribuzione formale in MITRE dovrebbe stimolare la produzione di intelligence interna basata su casistiche osservate direttamente.

MITRE ATT&CK: tecnica T1505.005 (Server Software Component: Terminal Services DLL), tattica TA0003, mitigazioni M1024 e M1047, detection strategy DET0212 con analitica AN0595. MITRE D3FEND per mapping difensivo su Registry e Process artifacts. Per la sezione operativa è stata utilizzata conoscenza professionale su tool open source (Sysmon, RegRipper, MFTECmd, sigcheck, RDPWrap, Spartacus, CAPE, PE-bear) e comandi nativi Windows, verificati per sintassi e disponibilità corrente.