Sticky Keys Backdoor: Accessibility Features (T1546.008)

In un ingaggio red team la catena classica su lab Windows parte con un accesso amministrativo locale già acquisito e prosegue con la sostituzione del binario di accessibilità. Il metodo storico su XP/2003 si limitava a un copy /y C:\Windows\System32\cmd.exe C:\Windows\System32\sethc.exe previa presa di ownership con takeown /f e icacls, ma su sistemi moderni fallisce per WRP e per il requisito di firma digitale.

La variante più affidabile su Windows 10/11 e Server 2016+ è l'IFEO Debugger hijack, che non tocca il binario originale. Si aggiunge una chiave sotto HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe con valore Debugger puntato a cmd.exe:

reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe" /v Debugger /t REG_SZ /d "C:\Windows\System32\cmd.exe" /f

A quel punto, alla schermata di logon (o via RDP con NLA disabilitata) cinque pressioni di SHIFT lanciano una shell SYSTEM. Lo stesso vale per utilman.exe (WIN+U), osk.exe, Magnify.exe, Narrator.exe, DisplaySwitch.exe, AtBroker.exe.

Per automatizzare in lab, il modulo Empire (open source, fork attivo su GitHub) include capacità per sostituire binari come sethc.exe, Utilman.exe e Magnify.exe con cmd.exe sfruttando WMI in modalità debug su host remoti. Empire è mappato come S0363 e resta il riferimento pubblico più citato. Altri framework generici come Metasploit (open source) e Impacket (open source) permettono di veicolare i comandi reg add remoti via psexec.py o wmiexec.py dopo aver ottenuto credenziali privilegiate.

Per la validazione operativa in poligono conviene:

• Verificare la connettività RDP e disattivare temporaneamente NLA sul target di lab per riprodurre lo scenario legacy.
• Testare entrambe le varianti (binary replacement e IFEO) per misurare le differenze in detection.
• Registrare il carico su Sysmon (open source, Microsoft Sysinternals) con configurazione tipo SwiftOnSecurity per confermare che le modifiche a chiavi IFEO e a file in System32 generino i corrispondenti EventID 11/12/13.
• Pulire scrupolosamente le chiavi IFEO al termine del test: la persistenza è invisibile all'utente finale ma banale da lasciare in produzione per errore.

Un buon esercizio di purple team prevede di far correre la catena tre volte cambiando binario bersaglio, così il SOC può calibrare le regole senza saturare gli analisti.

La detection di T1546.008 poggia su tre pilastri: monitoraggio delle chiavi IFEO in registro, integrità dei binari di accessibilità in System32 e correlazione della genealogia di processo alla schermata di logon. Il log source primario è Sysmon (open source) opportunamente configurato; in alternativa gli Advanced Audit Policy nativi di Windows con Object Access e Registry auditing.

Gli EventID Sysmon 12 e 13 (registry key create/set) filtrati sui percorsi *HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options* con nome chiave in una allowlist di binari di accessibilità (sethc.exe, utilman.exe, osk.exe, Magnify.exe, Narrator.exe, DisplaySwitch.exe, AtBroker.exe) e valore Debugger impostato costituiscono un indicatore ad alta fedeltà. In condizioni normali queste chiavi non vengono create: un singolo set merita triage immediato.

Parallelamente, l'EventID Sysmon 11 (file create) e EventID 2 (file creation time changed) sui path C:\Windows\System32{sethc,utilman,osk,Magnify,Narrator,DisplaySwitch,AtBroker}.exe segnalano tentativi di sostituzione binaria. Va incrociato con l'hash del file: qualsiasi digest diverso dalle build Microsoft note è sospetto. Windows File Protection e WRP generano rumore poco frequente su questi path, quindi il rapporto segnale/rumore è favorevole.

La parte comportamentale più utile è la parent-child relationship: cmd.exe, powershell.exe o qualunque LOLBin con parent winlogon.exe o LogonUI.exe è un pattern quasi patognomonico di questa tecnica. La detection DET0033 (AN0094) suggerisce esattamente questa correlazione, con tuning su TimeWindow tra modifica registro ed esecuzione (tipicamente <1 ora quando l'attaccante testa immediatamente), UserContext SYSTEM, e CommandLine che invoca shell o LOLBin.

Una query Splunk indicativa:

index=win sourcetype=Sysmon EventCode=1 ParentImage="\winlogon.exe" (Image="\cmd.exe" OR Image="\powershell.exe" OR Image="\cscript.exe")

Sul fronte network, i Windows Security EventID 4624 con LogonType 10 (RemoteInteractive) seguiti a distanza di secondi da EventID 4688 con parent winlogon.exe e child cmd.exe indicano lo sfruttamento via RDP.

I falsi positivi sono limitati ma esistono: tool di accessibilità legittimi di terze parti possono toccare le stesse chiavi, e alcuni pacchetti di assistenza remota corporate impostano Debugger IFEO per debugging. Vanno inserite eccezioni sulla base di firma del processo che effettua la modifica e sul contesto utente. Per hardening, allineare a M1038 con AppLocker o WDAC che consentano solo binari firmati Microsoft in System32, M1028 abilitando NLA sull'RDP, e M1035 limitando l'esposizione RDP tramite gateway.

Sul disco, la telemetria forense di T1546.008 si concentra su registro, file system e log eventi. In un'indagine post-incidente il primo passo è acquisire l'hive SOFTWARE (in C:\Windows\System32\config\SOFTWARE) ed esaminare Microsoft\Windows NT\CurrentVersion\Image File Execution Options: con RegRipper (open source) tramite plugin ifeo.pl o con Registry Explorer di Eric Zimmerman (open source) si enumerano le sottochiavi corrispondenti ai binari di accessibilità e si verifica la presenza di un valore Debugger. La timestamp LastWrite della chiave fissa un pin temporale prezioso.

Sul file system, il confronto di hash SHA-256 dei binari in C:\Windows\System32 con i riferimenti Microsoft (o con una golden image dello stesso build number) rivela sostituzioni. Se i binari sono stati sostituiti, la MFT conserva traccia tramite $STANDARD_INFORMATION e $FILE_NAME timestamps, spesso divergenti in caso di manipolazione (classico timestomping). Tool come MFTECmd (open source, Zimmerman) parsano rapidamente $MFT e $LogFile per ricostruire creazione, modifica e rename dei file target.

Le Shellbags e le Prefetch (C:\Windows\Prefetch\SETHC.EXE-.pf*, UTILMAN.EXE-.pf*) documentano l'esecuzione: il numero di run count e i timestamp offrono la timeline di sfruttamento. PECmd (open source, Zimmerman) automatizza il parsing. L'assenza anomala di un prefetch per un binario che risulta modificato o, viceversa, la presenza di prefetch per cmd.exe invocato da winlogon.exe sono forti indicatori.

Nel Security log (Security.evtx) l'EventID 4657 documenta modifiche a valori di registro auditati (richiede SACL preventiva sulle chiavi IFEO), mentre EventID 4688 con parent winlogon.exe e child cmd.exe fissa l'esecuzione della shell SYSTEM. Il System.evtx e l'Application.evtx raramente aggiungono valore diretto. Per l'attività RDP, Microsoft-Windows-TerminalServices-LocalSessionManager/Operational (EventID 21, 25, 1149) ricostruisce le connessioni remote correlabili con l'esecuzione della backdoor.

Per la timeline complessiva, Plaso/log2timeline (open source) aggregando registry, MFT, prefetch ed eventlog produce una supertimeline che evidenzia la sequenza tipica: connessione RDP → LastWrite su chiave IFEO → creazione prefetch per cmd.exe → processo SYSTEM da winlogon.exe.

Casi documentati includono APT3 che sostituiva sethc.exe per persistenza, APT29 che otteneva accesso console privilegiato non autenticato, APT41 che usava sticky keys come meccanismo di persistenza post-intrusione. In presenza di sostituzione binaria vanno preservate copie forensi dei binari alterati per analisi statica: spesso rivelano semplicemente cmd.exe rinominato, ma in alcune campagne veicolano dropper personalizzati.

La tecnica gode di una popolarità sorprendentemente longeva nel panorama APT, grazie al miglior rapporto costo/beneficio del suo genere: una singola modifica di registro garantisce persistenza SYSTEM invisibile all'utente e sfruttabile senza credenziali. I dati MITRE mappano 6 gruppi con TTP documentate su T1546.008.

APT29 (G0016), attore attribuito al servizio di intelligence estero russo, ha utilizzato sticky keys per ottenere accesso console privilegiato non autenticato. L'inserimento della tecnica nel loro playbook conferma come anche attori sofisticati mantengano in arsenale trucchi "low-tech" quando risultano affidabili. La preferenza per meccanismi che non richiedono malware su disco è coerente con il profilo operativo del gruppo, orientato allo stealth prolungato.

APT41 (G0096), gruppo cinese noto per la doppia natura state-sponsored ed economicamente motivata, ha sfruttato sticky keys come vettore di persistenza. La versatilità del gruppo — spionaggio su settori sanitario, telecomunicazioni e gaming, oltre a operazioni cybercriminali — trova nella tecnica un elemento comune trasversale alle campagne.

APT3 (G0022), storicamente legato al MSS cinese e attivo in operazioni contro difesa e telco, sostituisce direttamente il binario sethc.exe in C:\Windows\System32. L'approccio di binary replacement, più rumoroso della variante IFEO, è coerente con l'epoca di attività prevalente del gruppo su target Windows 7/Server 2008.

Deep Panda (G0009) e Axiom (G0001), entrambi attribuiti a nexus cinese, hanno usato la tecnica specificamente all'interno di sessioni RDP per bypassare la login screen di sistemi remoti. Axiom in particolare la impiega in sessioni RDP per persistenza, pattern che suggerisce operazioni post-exploitation su infrastrutture con RDP esposto internamente dopo pivot laterale.

Fox Kitten (G0117), gruppo attribuito a interessi iraniani con target su energia, difesa e settore governativo, ha usato sticky keys per lanciare un prompt di comando. L'adozione da parte di un attore iraniano dimostra come la tecnica abbia superato le tradizionali fault-lines geografiche del threat landscape.

Sul fronte tooling, Empire (S0363) — framework post-exploitation open source, oggi mantenuto dalla community BC-Security — automatizza la sostituzione remota di sethc.exe, Utilman.exe e Magnify.exe con cmd.exe via WMI in debug mode. La sua ampia disponibilità abbassa la soglia di ingresso e implica che anche attori commodity o gruppi ransomware possano riprodurre la tecnica senza sviluppo custom.

Il pattern strategico è chiaro: T1546.008 sopravvive perché molte organizzazioni non hanno NLA abilitata universalmente, non applicano application control su System32 e non auditano IFEO. La rimediazione tramite M1028 (NLA), M1035 (RDP gateway, segmentazione) e M1038 (WDAC/AppLocker) resta il triangolo difensivo di riferimento.

MITRE ATT&CK T1546.008 con tattiche TA0003 e TA0004; gruppi G0001, G0009, G0016, G0022, G0096, G0117; software S0363; mitigazioni M1028, M1035, M1038; detection strategy DET0033 con analytic AN0094. Contenuti tecnici su comandi, tool forensi (RegRipper, MFTECmd, PECmd, Plaso) e telemetria Sysmon derivano da conoscenza professionale di cybersecurity applicata ai dati MITRE forniti.