Cattura Video: Video Capture (T1125)

In un ingaggio red team, la simulazione di T1125 punta a validare due controlli: la capacità del SOC di rilevare l'accesso non autorizzato ai dispositivi di acquisizione e l'efficacia dei controlli di consenso applicativo (TCC su macOS, prompt di privacy su Windows 11).

Su Windows il percorso più pulito passa per Media Foundation. Un PoC in Python può usare OpenCV (open source) con cv2.VideoCapture(0) per aprire il device predefinito e salvare frame su disco. Alternativamente, uno script PowerShell può caricare Windows.Media.Capture dal WinRT. Per la fase post-exploitation, il framework Empire (open source) espone il modulo collection/WebcamRecorder che sfrutta avicap32.dll e restituisce screenshot periodici. Anche Pupy (open source) integra un modulo webcamsnap funzionante su Windows, Linux e Android.

Su Linux l'accesso avviene direttamente sul device V4L2. Un comando dimostrativo con ffmpeg (open source) è:

ffmpeg -f v4l2 -i /dev/video0 -t 30 -c:v libx264 /tmp/.cache/out.mp4

Il percorso in .cache simula il pattern osservato in campagne reali, dove il file viene occultato in directory nascoste. Per verificare quale processo detiene il device: fuser /dev/video0 oppure lsof /dev/video0.

Su macOS l'ostacolo principale è TCC. In un lab controllato, un binario compilato con AVFoundation che chiama AVCaptureSession genera un prompt utente al primo accesso a kTCCServiceCamera. Per simulare uno scenario in cui l'utente concede il consenso (es. app di collaborazione fasulla), è utile lo strumento tccutil (nativo) per resettare i permessi tra test consecutivi: tccutil reset Camera.

Per RAT commerciali con capacità video documentate, in lab isolato si possono valutare QuasarRAT (open source, C#), AsyncRAT (open source) e Remcos (a pagamento, licenza commerciale) per confrontare le firme di rete e i pattern di scrittura file. Lo strumento Bewmac, citato nelle operazioni di PoetRAT, è uno script Python minimale che dimostra quanto sia bassa la barriera d'ingresso.

Un red teamer maturo integra la cattura video in una catena più ampia: acquisizione delle credenziali TCC via prompt phishing, attivazione della webcam solo in orari lavorativi per intercettare contenuto sensibile, esfiltrazione staged via HTTPS verso domini con reputazione neutra.

La detection efficace di T1125 richiede una strategia a catena comportamentale che correli tre eventi in una finestra temporale ristretta: apertura del device video, scrittura di file multimediali in percorsi anomali, e traffico di rete uscente subito successivo.

Su Windows, la fonte primaria è il canale Microsoft-Windows-Windows Camera Frame Server/Operational insieme a Sysmon. Configurare Sysmon EventID 7 (ImageLoad) per intercettare processi non whitelistati che caricano avicap32.dll, mf.dll o ksproxy.ax. Correlare con EventID 11 (FileCreate) su estensioni video (.mp4, .avi, .mov, .yuv, .mkv, .h264) scritte in %TEMP%, C:\Windows\Tasks o directory nascoste nel profilo utente. La suppression list deve includere consumer legittimi: Teams.exe, ms-teams.exe, zoom.exe, obs64.exe, chrome.exe, msedge.exe. Aggiungere una soglia di dimensione minima (es. 500 KB) riduce i falsi positivi da thumbnail. Windows 10/11 espone anche la chiave di registro HKCU\Software\Microsoft\Windows\CurrentVersion\CapabilityAccessManager\ConsentStore\webcam che traccia gli accessi per applicazione: la sua manipolazione o l'aggiunta di entry per binari inattesi è un indicatore forte.

Su Linux, la telemetria arriva da auditd con regole sui syscall openat, read e ioctl verso i path /dev/video*. Una regola audit essenziale:

-a always,exit -F arch=b64 -S openat -F path=/dev/video0 -k video_capture

Correlare con osquery (open source) tramite la tabella process_open_files per identificare quale PID mantiene aperto il device. Un pattern sospetto è un processo shell-spawned che genera migliaia di read consecutive sul device seguito da scrittura di file .h264 in /tmp o /dev/shm.

Su macOS il perno è lo Unified Log filtrato sul subsystem com.apple.TCC, che registra ogni concessione o negazione dell'entitlement kTCCServiceCamera. Combinare con Endpoint Security Framework (evento ES_EVENT_TYPE_NOTIFY_OPEN su dispositivi AppleCamera) per validare quale binario apre effettivamente la sessione di cattura. Tool come Santa (open source, di North Pole Security) permettono di bloccare binari non firmati che tentano l'accesso.

I falsi positivi principali derivano da applicazioni di videoconferenza, software di streaming e sistemi di videosorveglianza legittimi (es. motion su Linux). Una whitelist per hash e path, aggiornata trimestralmente, è indispensabile. La regola vincente è la correlazione temporale a 20-30 minuti tra device access, file write e connessione uscente verso IP non nella baseline aziendale.

L'indagine forense su un sospetto uso di T1125 parte dalla ricostruzione della catena device → file → esfiltrazione, con timeline al secondo.

Su Windows, gli artefatti chiave si trovano in più registri. Il file NTUSER.DAT contiene la chiave ConsentStore\webcam, con sottochiavi per applicazione e i valori LastUsedTimeStart e LastUsedTimeStop in formato FILETIME che indicano gli intervalli precisi di attività della webcam per ciascun processo. Estrarre questi valori con RegRipper (open source) o Registry Explorer (gratuito, Eric Zimmerman) offre una timeline granulare. In parallelo, il Prefetch (C:\Windows\Prefetch) rivela l'esecuzione di eseguibili anomali che hanno interagito con mf.dll o avicap32.dll; PECmd (gratuito) parsifica questi file evidenziando handle a dispositivi video. Il canale Microsoft-Windows-Windows Camera Frame Server/Operational archiviato in %SystemRoot%\System32\winevt\Logs conserva eventi di sessione, mentre lo USN Journal documenta la creazione dei file .mp4 o .avi in path sospetti. Il caso T9000 documenta scritture in %APPDATA%\Intel\Skype: una directory Intel dentro AppData è di per sé anomala e va cercata con KAPE (gratuito).

Su Linux, l'analisi ruota attorno ai log di auditd (/var/log/audit/audit.log), ai timestamp dei file video recuperabili con find /home -type f ( -name ".mp4" -o -name ".h264" ) -newer /tmp/reference e ai residui in /proc al momento dell'acquisizione live. Se il sistema era attivo, lsof +D /dev/ permette di catturare handle aperti. Il tool Volatility 3 (open source) su un dump di memoria consente di elencare processi con moduli V4L2 caricati.

Su macOS la fonte principale è il database TCC in ~/Library/Application Support/com.apple.TCC/TCC.db e in /Library/Application Support/com.apple.TCC/TCC.db, interrogabile con SQLite: la tabella access conserva le entry con service kTCCServiceCamera, client bundle ID e timestamp di concessione. Lo Unified Log si estrae con log collect e si analizza con Console o con UnifiedLogReader (open source). Il tool mac_apt (open source) automatizza gran parte del triage.

La timeline finale deve incrociare: primo accesso al device, creazione del file, chiusura del file, connessioni di rete uscenti nel NetFlow aziendale. Il caso Ember Bear, con esfiltrazione da videocamere IP compromesse, insegna che il perimetro include anche dispositivi non-endpoint: log RTSP, credenziali di default e firmware datati vanno inclusi nello scope.

L'ecosistema di T1125 mostra una netta biforcazione tra attori state-sponsored che usano la cattura video come componente di sorveglianza mirata e cybercriminali che la ereditano da RAT commodity.

FIN7 rappresenta il caso più raffinato lato criminale: il gruppo ha sviluppato una capability di registrazione video custom per monitorare l'operatività delle vittime, coerente con il suo focus storico sul settore retail e hospitality dove osservare l'uso di terminali POS o back-office fornisce intelligence per la fase successiva dell'attacco. La scelta di codice proprietario, invece di un RAT off-the-shelf, indica maturità operativa e volontà di evitare firme note.

Silence, gruppo di lingua russa specializzato in attacchi a istituzioni bancarie prevalentemente in CIS ed Europa dell'Est, ha registrato video degli impiegati di banca per studiarne le abitudini quotidiane. Questo pattern è tipico degli attacchi cash-out prolungati, dove la conoscenza dei tempi operativi (turni, pause, momenti di minor supervisione) massimizza la finestra utile per movimentare denaro senza allarmi.

Ember Bear (attribuito ad attività allineate agli interessi russi contro l'Ucraina) ha esfiltrato immagini da videocamere IP compromesse, estendendo la tecnica oltre l'endpoint tradizionale verso l'IoT e la videosorveglianza. Questo pattern è particolarmente rilevante in contesti bellici e di intelligence sul territorio.

Lato tooling, il panorama è vastissimo: 31 famiglie implementano video capture, con forte prevalenza di RAT commodity accessibili anche ad attori con basso skill. Nomi come DarkComet, njRAT, NanoCore, Agent Tesla, Remcos, AsyncRAT, QuasarRAT, Bandook e Revenge RAT dominano il segmento crimeware e commodity espionage, spesso venduti su forum underground o distribuiti come builder crackati. In fascia più sofisticata troviamo Derusbi (associato ad attività cinese), InvisiMole (spionaggio in Europa dell'Est), TajMahal (piattaforma modulare APT di alta complessità), Kazuar (collegato a operazioni Turla) e Machete (LATAM). PoetRAT, con il modulo Bewmac, ha colpito il settore energetico azero.

Il trend emergente è duplice: da un lato la commoditizzazione, con RAT low-cost che rendono la webcam surveillance accessibile a stalker, sextortion ring e attori opportunistici; dall'altro l'estensione verso IP camera aziendali e dispositivi IoT, dove le mitigazioni endpoint tradizionali non arrivano. Il rischio geopolitico è aumentato: video da sale riunioni, uffici governativi o infrastrutture critiche costituiscono intelligence sfruttabile in campagne ibride.

MITRE ATT&CK T1125 Video Capture, tattica TA0009 Collection. Gruppi G0046 (FIN7), G0091 (Silence), G1003 (Ember Bear). Software da S0021 a S1209 come elencati. Detection DET0197 con analytics AN0568 (Windows), AN0569 (Linux), AN0570 (macOS). MITRE D3FEND per mapping difensivo su Process, File e Network Traffic artifacts. Integrazioni di conoscenza professionale per comandi operativi, tool forensi (RegRipper, KAPE, Volatility 3, mac_apt, UnifiedLogReader) e configurazioni Sysmon/auditd verificate su documentazione ufficiale.