Cancellazione dei Log di Windows: Clear Windows Event Logs (T1070.001)

La cancellazione degli Event Log di Windows è una delle mosse più dirette che un avversario possa compiere per nascondere le proprie tracce dopo aver compromesso un sistema. Questa tecnica appartiene alla tattica TA0005 — Defense Evasion, la fase della kill chain in cui l'attaccante non cerca nuove risorse né si muove lateralmente, ma lavora attivamente per restare invisibile ai difensori.

Il meccanismo è semplice nella forma ma devastante nell'effetto: con privilegi amministrativi, bastano pochi comandi — wevtutil cl, un cmdlet PowerShell, oppure la cancellazione diretta dei file .evtx — per eliminare le registrazioni di System, Application e Security, le tre sorgenti fondamentali di telemetria locale. L'impatto è amplificato dal fatto che, senza log forwarding centralizzato, la perdita è irreversibile.

I numeri parlano chiaro: 13 gruppi APT documentati, 26 software tra ransomware, wiper e RAT, 1 campagna nominata e 3 mitigazioni riconosciute. Questa distribuzione rivela che la tecnica non è appannaggio di un singolo cluster di minacce: la usano gruppi di spionaggio statale, collettivi cybercriminali a sfondo finanziario e operatori ransomware. Chiunque abbia raggiunto privilegi elevati su un host Windows ha un incentivo naturale a ripulire i log prima di passare alla fase successiva.

La simulazione della cancellazione dei log è uno degli esercizi più utili per validare le capacità di detection di un SOC. Prima di partire, due premesse operative: servono privilegi di amministratore locale e un ambiente di test dove il forwarding dei log verso il SIEM sia già attivo, altrimenti il test dimostra solo che i log spariscono — cosa che già sappiamo.

Il metodo più classico sfrutta l'utility nativa wevtutil (open source, inclusa in Windows). Da un prompt elevato:

wevtutil cl Security wevtutil cl System wevtutil cl Application

Ogni invocazione produce un evento EventCode 1102 nel canale Security (per il log Security) e EventCode 104 nel canale System (per gli altri log), prima che la cancellazione si completi. È questo il paradosso utile ai difensori: l'atto di cancellare genera esso stesso un artefatto rilevabile.

Per testare il vettore PowerShell, apri una sessione elevata e lancia:

Remove-EventLog -LogName Security

Questo cmdlet non si limita a svuotare il log: lo deregistra come sorgente. Dopo un riavvio, il logging sulla sorgente Security non riprende automaticamente. In un test red team è essenziale ripristinare la configurazione al termine dell'esercizio con New-EventLog -LogName Security -Source Security.

Il terzo scenario, più aggressivo, prevede la cancellazione diretta dei file .evtx. In una sessione elevata:

del /F /Q C:\Windows\System32\winevt\Logs\Security.evtx

Questo metodo bypassa le API Windows e non genera necessariamente l'evento 1102, il che lo rende più insidioso. Per rilevarlo serve Sysmon con monitoraggio delle operazioni su file in quella directory.

Con Atomic Red Team (open source), il framework di Atomic Red Team del progetto Red Canary offre test precostituiti per questa tecnica. Il test si lancia con:

Invoke-AtomicTest T1070.001

Questo eseguirà automaticamente le varianti documentate, permettendo al SOC di verificare in tempo reale quali alert scattano e quali no. Dopo ogni test, Atomic Red Team fornisce comandi di cleanup per riportare il sistema allo stato originale.

Un approccio complementare prevede l'uso di Seatbelt (open source) per enumerare lo stato dei log prima e dopo la cancellazione, documentando l'impatto reale sull'integrità delle evidenze.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo