Scoperta Software di Backup: Backup Software Discovery (T1518.002)

In un ingaggio red team, l'enumerazione dei software di backup va condotta con comandi nativi per minimizzare il rumore. Su Windows i binari più utili sono tasklist, sc, reg e wmic (deprecato ma ancora presente), oltre a PowerShell.

Per elencare i servizi correlati a prodotti noti:

sc query state= all | findstr /I "veeam acronis backup crashplan cohesity rubrik"

tasklist /svc | findstr /I "veeam acronis backup"

L'interrogazione del registro identifica installazioni anche quando i servizi sono fermi:

reg query "HKLM\SOFTWARE\Veeam" /s

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall" /s | findstr /I "backup veeam acronis"

In PowerShell, l'approccio usato da Wizard Spider con lo script Get-DataInfo.ps1 sfrutta WMI:

Get-CimInstance -ClassName Win32_Product | Where-Object { $_.Name -match 'backup|veeam|acronis|crashplan' }

Attenzione però: Win32_Product forza una riverifica MSI di tutti i pacchetti e genera evento EventCode 1035 nel log Application, particolarmente rumoroso. In alternativa, leggere direttamente le chiavi Uninstall del registro è molto più silenzioso.

Su Linux la discovery si appoggia a strumenti standard. Enumerazione di pacchetti installati:

dpkg -l | grep -Ei 'backup|duplicity|rsnapshot|bacula|veeam'

rpm -qa | grep -Ei 'backup|duplicity|bacula'

systemctl list-units --type=service | grep -Ei 'backup|bacula'

Ricerca ricorsiva di configurazioni:

find /etc /opt /var -type f \( -name '.conf' -o -name '.yaml' \) 2>/dev/null | xargs grep -l -i 'backup' 2>/dev/null

Su macOS, Time Machine e i tool di terze parti si identificano con:

system_profiler SPApplicationsDataType | grep -Ei 'time machine|carbon copy|backblaze|arq'

mdfind "kMDItemKind == 'Application'" | grep -Ei 'backup|clone'

launchctl list | grep -Ei 'backup|backblaze|crashplan'

Su ESXi, dove Veeam Backup & Replication è spesso il target primario, si possono cercare snapshot e repository montati con esxcli storage filesystem list e vim-cmd vmsvc/getallvms, mentre find /vmfs/volumes -name ".vbk" -o -name ".vib" individua file di backup Veeam accessibili dall'host.

Per laboratorio, framework come Atomic Red Team (open source) forniscono test allineati a T1518.002 pronti all'uso, mentre Sliver (open source) e Mythic (open source) permettono di orchestrare la discovery all'interno di catene realistiche. Nemesis (open source) è utile per aggregare e analizzare l'output raccolto.

La detection di T1518.002 è quasi interamente comportamentale. I comandi coinvolti sono legittimi e usati quotidianamente da amministratori e strumenti di gestione: il segnale nasce dalla combinazione di contesto, sequenza e target dell'enumerazione.

Su Windows le fonti primarie sono Sysmon (open source) con configurazione derivata dal template di Olaf Hartong o SwiftOnSecurity, e i log Security con EventCode 4688 (process creation con command line, se abilitato via policy). Gli eventi chiave sono Sysmon EventID 1 per la creazione di processi, EventID 13 per modifiche al registro in lettura tramite tool come reg.exe, e EventID 7 per il caricamento di moduli PowerShell.

Le regole devono correlare tre elementi: il binario invocato (tasklist.exe, sc.exe, reg.exe, powershell.exe), la command line contenente stringhe di vendor backup noti (Veeam, Acronis, CrashPlan, Cohesity, Rubrik, Commvault), e il parent process. Un cmd.exe o powershell.exe discendente da winword.exe, outlook.exe o da un processo in AppData\Local\Temp che esegue reg query HKLM\SOFTWARE\Veeam è un segnale ad altissima confidenza.

Per PowerShell, abilitare Script Block Logging (EventID 4104 nel canale Microsoft-Windows-PowerShell/Operational) permette di intercettare pattern come Get-CimInstance Win32_Product o query WMI con filtro su nomi di vendor. Lo script Get-DataInfo.ps1 usato da Wizard Spider è un IOC noto: alert dedicati sul nome file e su hash conosciuti sono giustificati.

Su Linux, auditd con regole su execve per find, grep, dpkg, rpm combinati con argomenti che contengono keyword di backup produce eventi SYSCALL e PATH correlabili. Una regola tipo:

-a always,exit -F arch=b64 -S execve -F path=/usr/bin/find -k backup_discovery

filtrata poi in SIEM per command line con "backup", "veeam", "duplicity", isola l'attività sospetta.

Su macOS il Unified Log raccoglie invocazioni di mdfind, system_profiler e launchctl; una query log show --predicate 'process == "mdfind"' --last 1h mostra le ricerche recenti.

I falsi positivi più comuni derivano da software di asset inventory (Lansweeper, Tanium, PDQ Inventory), sistemi di monitoring (Nagios, Zabbix) e script di manutenzione degli amministratori. Il tuning richiede whitelist per gli account di servizio noti e per gli host di gestione, focalizzando le regole su contesti utente interattivi a basso privilegio e su parent process anomali come interpreti di scripting invocati da documenti Office o allegati mail.

L'analisi forense di T1518.002 si concentra sulla ricostruzione della sequenza di comandi eseguiti e sulla correlazione con le azioni successive, tipicamente distruttive. Gli artefatti sono numerosi ma volatili: la tempestività della raccolta è determinante.

Su Windows, la Prefetch in C:\Windows\Prefetch conserva tracce di esecuzione per TASKLIST.EXE, SC.EXE, REG.EXE, NETSH.EXE con timestamp di ultimo utilizzo e run count. Amcache.hve (C:\Windows\AppCompat\Programs\Amcache.hve) e le ShimCache entries nella chiave SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache forniscono evidenza di esecuzione anche per binari poi rimossi. Tool come RegRipper (open source) e AmcacheParser (open source) di Eric Zimmerman automatizzano l'estrazione.

Gli EventID 4688 nel Security.evtx — se il logging di command line è stato attivato via GPO — sono la fonte più ricca per la timeline. In assenza, i log Sysmon EventID 1 archiviati in Microsoft-Windows-Sysmon/Operational.evtx svolgono lo stesso ruolo con maggiore dettaglio (hash, parent, integrity level). EvtxECmd (open source) e Chainsaw (open source) di WithSecure permettono parsing e ricerca rapida con regole Sigma.

Per PowerShell, oltre agli script block logs, il PSReadLine ConsoleHost_history.txt in %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine conserva i comandi digitati interattivamente e spesso sopravvive alla chiusura della sessione. È l'artefatto che ha permesso di documentare l'uso di Get-DataInfo.ps1 in diversi incidenti attribuiti a Wizard Spider.

Le modifiche al registro effettuate durante l'enumerazione non lasciano tracce dirette (le query sono read-only), ma i RegistryExplorer transaction logs (.LOG1, .LOG2) e i timestamp di ultimo accesso alle chiavi possono essere correlati con l'esecuzione dei comandi. L'artefatto UserAssist in NTUSER.DAT registra l'esecuzione di programmi da parte dell'utente interattivo, utile se l'attaccante ha usato una sessione RDP.

Su Linux la bash history (~/.bash_history, ~/.zsh_history) è il primo controllo, spesso integrata con timestamp se HISTTIMEFORMAT è impostato. I log di auditd in /var/log/audit/audit.log conservano SYSCALL con parametri completi; ausearch e aureport ne facilitano la revisione. I file /var/log/wtmp, /var/log/btmp e /var/log/secure correlano le sessioni. La presenza di file di configurazione backup consultati emerge dai timestamp atime nei filesystem che lo tracciano.

Su macOS il Unified Log (log collect per esportarlo) contiene le invocazioni di mdfind e system_profiler, mentre ~/.zsh_history e ~/.bash_history completano il quadro. Le quarantine extended attributes (com.apple.quarantine) su tool introdotti dall'attaccante aiutano a datarne l'arrivo.

La timeline finale deve legare la discovery a eventi successivi: se entro poche ore emergono cancellazioni di shadow copies (vssadmin delete shadows), disabilitazione servizi backup o cifratura di volumi, la sequenza è compatibile con preparazione ransomware.

L'enumerazione dei software di backup è un indicatore ad alta specificità di operazioni ransomware in fase di pre-impact. Chi si prende il tempo di identificare Veeam, Acronis o Cohesity su un host non lo fa per curiosità: lo fa perché sa che senza neutralizzare i backup il riscatto non verrà pagato.

Wizard Spider (G0102) è l'unico gruppo esplicitamente mappato dal framework a questa sotto-tecnica. È un'organizzazione cybercriminale di lingua russa nota per l'ecosistema TrickBot, Ryuk e successivamente Conti, con operazioni che hanno colpito settori sanitario, manifatturiero e pubblica amministrazione in Nord America ed Europa. L'uso documentato dello script PowerShell Get-DataInfo.ps1 per raccogliere informazioni sui software di backup installati riflette la maturità operativa del gruppo: la discovery non è opportunistica ma parte di un playbook standardizzato, eseguito dopo il consolidamento dell'accesso via Cobalt Strike o BazarLoader e prima del deployment del payload di cifratura.

Il pattern è replicato — anche se non formalmente attribuito nel dataset qui considerato — da praticamente tutte le major ransomware operation emerse dallo scioglimento di Conti nel 2022: gruppi come Black Basta, Royal, Play e Akira mostrano nelle loro TTP pubbliche la medesima sequenza di enumerazione dei prodotti Veeam prima dell'esfiltrazione e della cifratura. Questo suggerisce che T1518.002 sia diventata una tecnica di riferimento nel segmento Big Game Hunting, dove i tempi di dwell si sono ridotti ma la preparazione dell'impatto rimane meticolosa.

Gli overlap tooling più significativi riguardano l'uso di PowerShell come vettore di discovery e di Cobalt Strike (a pagamento, ma versioni craccate diffusissime nel cybercrime) come framework di post-exploitation da cui i comandi vengono lanciati tramite execute-assembly o powerpick per evitare la creazione di processi PowerShell figli visibili. L'adozione di BloodHound (open source) per l'enumerazione Active Directory è complementare: identificati gli host con backup, l'attaccante li raggiunge sfruttando percorsi di privilege escalation mappati.

Il trend rilevante è la crescente attenzione dei ransomware operator verso appliance di backup dedicate (Veeam Backup & Replication server, Rubrik CDM, Cohesity DataProtect) come target primari di compromissione, non solo di discovery. Vulnerabilità come CVE-2023-27532 su Veeam hanno accelerato questa evoluzione: enumerare significa oggi anche identificare superfici sfruttabili direttamente.

Per un CTI officer, T1518.002 osservata in telemetria è un segnale da elevare immediatamente al livello di incident: la finestra tra discovery e cifratura, storicamente, si misura in ore.

MITRE ATT&CK T1518.002 – Backup Software Discovery; MITRE ATT&CK G0102 (Wizard Spider); Detection analytics DET0088, AN0240, AN0241, AN0242; MITRE D3FEND mapping per tecniche Discovery. Tool citati verificati su repository ufficiali: Sysmon, Atomic Red Team, Sliver, Mythic, Nemesis, RegRipper, AmcacheParser, EvtxECmd, Chainsaw, BloodHound. Parti di contenuto operativo (sintassi comandi, artefatti forensi, correlazioni con ransomware operation) derivano da conoscenza professionale di cybersecurity applicata al perimetro dei dati MITRE forniti.