Movimento Laterale via WinRM: Windows Remote Management (T1021.006)

In un ingaggio red team, l'abuso di WinRM presuppone credenziali valide (NTLM hash, ticket Kerberos o password in chiaro) e visibilità di rete verso le porte 5985/tcp o 5986/tcp. La prima verifica riguarda la superficie esposta: uno scan mirato con Nmap (open source) del tipo nmap -p 5985,5986 --open su una /24 aziendale rivela rapidamente gli host con listener attivo.

Lo strumento di riferimento per la fase operativa è Evil-WinRM (open source), esplicitamente citato nei dati MITRE come tool usato da Storm-0501. La sintassi è lineare: evil-winrm -i -u -p apre una shell PowerShell interattiva sul target; l'autenticazione via hash NTLM si ottiene con evil-winrm -i -u -H , utile per catene di pass-the-hash successive a un dump di LSASS. Evil-WinRM supporta upload/download di file, esecuzione di script PowerShell in memoria e caricamento di assembly .NET, quindi copre l'intero ciclo di post-exploitation senza toccare il disco.

Da una macchina Windows compromessa, i cmdlet nativi rimangono l'opzione più stealth: Enter-PSSession -ComputerName -Credential apre una sessione interattiva, mentre Invoke-Command -ComputerName -ScriptBlock { ... } -Credential esegue codice in modo non interattivo su uno o più target in parallelo. Il comando winrs -r: cmd offre l'alternativa da prompt classico. Su Linux, oltre a Evil-WinRM, il modulo pywinrm (open source) e il tool CrackMapExec/NetExec (open source) con l'opzione nxc winrm -u -p -x '' permettono spraying di credenziali e RCE massiva.

Dal punto di vista dell'operatività C2, Cobalt Strike (a pagamento) espone il comando jump winrm e jump winrm64 per lanciare beacon su host remoti riutilizzando il token dell'utente corrente. Brute Ratel C4 (a pagamento) offre funzionalità analoghe di pivoting via WinRM, mentre SILENTTRINITY (open source) sfrutta la lista TrustedHosts del target per identificare percorsi di movimento laterale già preautorizzati.

Regola di laboratorio: prima di operare, abilitare WinRM su un range controllato con Enable-PSRemoting -Force e configurare WSMan:\localhost\Client\TrustedHosts per evitare di alterare la postura di macchine di produzione. Loggare sempre le sessioni con PowerShell Transcription attiva per audit dell'attività.

La detection di T1021.006 si basa sulla correlazione tra eventi di autenticazione remota, attivazione del servizio WinRM e processi figli anomali generati dal wrapper del protocollo. La detection MITRE DET0477 propone proprio questa catena comportamentale con una finestra temporale tipica di 60 secondi tra creazione della sessione remota ed esecuzione di comandi.

Le log source primarie sono quattro. Il canale Security fornisce gli eventi di logon: EventCode 4624 con LogonType 3 (network) e authentication package Negotiate o Kerberos rappresenta la traccia del logon WinRM; correlarlo con l'account che lo esegue e l'host sorgente è il primo filtro. Il canale Microsoft-Windows-WinRM/Operational registra gli eventi 161 (autenticazione fallita) e 169 (autenticazione riuscita), mentre Microsoft-Windows-WinRM/Analytic — se abilitato — traccia le singole invocazioni. Sysmon (gratuito) con configurazione tipo SwiftOnSecurity cattura EventID 1 (process creation) per identificare figli sospetti di wsmprovhost.exe, il process host che WinRM utilizza per eseguire codice remoto: qualsiasi powershell.exe, cmd.exe o binario LOLBAS figlio di questo processo è un segnale forte. Sysmon EventID 3 (network connection) verso 5985/5986 completa il quadro dal lato client.

La query di baseline in Splunk o Sentinel dovrebbe unire tre condizioni: un 4624 LogonType 3 sull'host di destinazione, la creazione di wsmprovhost.exe entro la stessa finestra e un processo figlio non nella whitelist di script di gestione approvati. La regola D3FEND di riferimento è la Network Traffic Analysis combinata con Process Lineage Analysis: l'artefatto centrale è il processo wsmprovhost.exe e la sua discendenza.

I parametri di tuning suggeriti da DET0477 sono quattro. La TimeWindow definisce la distanza massima tra logon e figlio (60 secondi come default). Lo UserContext filtra su account non amministrativi o service account non previsti come sorgente WinRM. Il CommandLineAnomalyScore intercetta PowerShell con flag -EncodedCommand, -NoProfile, -ExecutionPolicy Bypass o download cradle tipo IEX (New-Object Net.WebClient).DownloadString(...). La lista KnownAdminHosts riduce i falsi positivi generati da jump server, tool di configuration management (Ansible, SCCM, Puppet) e piattaforme di patching.

I falsi positivi principali derivano da Ansible (open source) che usa pywinrm come transport, da script di inventory PowerShell e da soluzioni EDR che invocano remoting per raccolta forense. La baseline degli host sorgente legittimi è il controllo compensativo più efficace, insieme a firewall host che restringano 5985/5986 ai soli jump server autorizzati.

L'indagine forense su un host compromesso via WinRM segue una timeline ben definita, che parte dagli eventi di rete e converge sui processi generati in memoria. Gli artefatti principali risiedono nei log eventi, nel registro e negli artefatti di esecuzione tipici di Windows.

Sul target, il primo pilastro è il canale Security.evtx con EventCode 4624 LogonType 3 e EventCode 4672 per logon privilegiati; il campo IpAddress identifica l'host sorgente, mentre LogonID consente di correlare tutte le azioni della sessione tramite EventCode 4688 (process creation con auditing attivo) o Sysmon EventID 1. Il canale Microsoft-Windows-WinRM%4Operational.evtx contiene gli eventi 91 (creazione sessione), 142 (comando WSMan ricevuto) e 169 (autenticazione completata) e rappresenta la prova diretta dell'uso del protocollo. Sul lato client, gli stessi log mostrano EventID 6 (connessione a endpoint remoto) e permettono di ricostruire chi ha originato il movimento.

Il processo chiave è wsmprovhost.exe, che ospita il codice eseguito remotamente. La sua presenza in memoria e nei suoi figli è tracciata da Sysmon EventID 1 con parent svchost.exe -k netsvcs (servizio WinRM). Gli Amcache.hve e SRUM (System Resource Usage Monitor) forniscono corroborazione dell'esecuzione di binari trasferiti via WinRM, mentre le Prefetch (%SystemRoot%\Prefetch) di powershell.exe o cmd.exe mostrano runtime e frequenza. Se PowerShell ScriptBlock Logging (EventID 4104 nel canale Microsoft-Windows-PowerShell/Operational) è attivo, si recupera il codice effettivamente eseguito, spesso decodificato da payload -EncodedCommand.

Altri artefatti utili sono la chiave di registro HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN che riflette la configurazione del listener, e la lista TrustedHosts consultabile via Get-Item WSMan:\localhost\Client\TrustedHosts — modifiche recenti a questo valore, verificabili nel registry hive SYSTEM, indicano preparazione al movimento laterale, come documentato per SILENTTRINITY. I file .evtx del canale WinRM vanno acquisiti con KAPE (gratuito) o Velociraptor (open source) usando target dedicati agli event log e ai registry hive.

Sul piano delle campagne, la SolarWinds Compromise (C0024, agosto 2019 - gennaio 2021) mostra APT29 usare Invoke-Command per eseguire payload PowerShell su host remoti mantenendo minima persistenza sul disco: la ricostruzione richiede unione di ScriptBlock log e artefatti di rete, poiché il codice viene eseguito in memoria. Operation MidnightEclipse (C0048, marzo-aprile 2024), successiva allo sfruttamento di CVE-2024-3400 su PAN-OS, ha visto WinRM impiegato per pivotare dai gateway compromessi verso l'infrastruttura Windows interna: la timeline forense parte dai log del firewall e converge sui 4624 dei server target.

Il panorama degli attori che abusano di WinRM è ampio e attraversa motivazioni sia statuali sia cybercriminali, un pattern che conferma la maturità della tecnica come standard di living-off-the-land nelle intrusioni Windows.

APT29 (attribuito al Servizio di Intelligence Estera russo SVR) è l'attore di riferimento per l'uso stealth di WinRM. Durante la SolarWinds Compromise (C0024), l'operazione di supply chain scoperta a dicembre 2020 che ha colpito circa 18.000 clienti del prodotto Orion in Nord America, Europa, Asia e Medio Oriente, APT29 ha impiegato PowerShell over WinRM per eseguire comandi e distribuire payload sui sistemi delle vittime selezionate per attività di follow-on. La preferenza per WinRM riflette la ricerca di canali amministrativi già autorizzati che minimizzino la generazione di alert.

Wizard Spider, il gruppo cybercriminale russofono dietro TrickBot, Ryuk e Conti, utilizza WinRM come componente centrale del proprio playbook di lateral movement pre-ransomware. La velocità di propagazione tipica di queste intrusioni — dalla compromissione iniziale al deployment del ransomware in meno di 24 ore in molti casi documentati — si spiega proprio con l'automazione via WinRM e Cobalt Strike.

Chimera è un gruppo focalizzato su furto di proprietà intellettuale nel settore semiconduttori e aviazione, con operazioni a lungo termine caratterizzate da uso estensivo di credenziali legittime; il ricorso a WinRM si integra nella strategia di mimetismo che ha permesso al gruppo di mantenere accessi persistenti per periodi prolungati.

Storm-0501, tracciato da Microsoft, rappresenta l'esempio più recente di adozione di Evil-WinRM come strumento post-exploitation di riferimento. L'uso di un tool open source specializzato indica la maturità dell'ecosistema tooling attorno al protocollo.

Threat Group-3390 (noto anche come APT27/Emissary Panda), attore legato a interessi cinesi con focus su industria della difesa ed energia, e FIN13, gruppo motivato finanziariamente attivo nel settore bancario latinoamericano che leva WMI su application server e SQL server, completano il quadro degli attori documentati.

Sul piano del tooling, l'overlap è significativo: Cobalt Strike rimane il framework più condiviso tra state-sponsored e cybercrime, Brute Ratel C4 — sviluppato originariamente per red team — è stato osservato in mano ad attori criminali, mentre SILENTTRINITY rappresenta l'opzione open source preferita da chi vuole evitare firme note. La convergenza operativa tra APT russi, cinesi e gruppi ransomware sull'uso di WinRM conferma il protocollo come snodo cruciale della kill chain interna, per il quale segmentazione della rete di management e restrizione dei TrustedHosts rimangono i controlli compensativi di maggiore impatto.

MITRE ATT&CK T1021.006 (Windows Remote Management), tattica TA0008. Campagne C0024 (SolarWinds Compromise) e C0048 (Operation MidnightEclipse). Detection DET0477 con analytic AN1313. Mitigazioni M1026, M1030, M1042. Riferimento difensivo MITRE D3FEND per Process Lineage e Network Traffic Analysis. Contenuti operativi su Evil-WinRM, CrackMapExec/NetExec, Sysmon, KAPE e Velociraptor derivano da conoscenza professionale di cybersecurity basata su documentazione ufficiale e repository pubblici dei rispettivi progetti.