Cancellazione Log Eventi Windows: Clear Windows Event Logs (T1685.005)
La cancellazione dei log eventi Windows rappresenta una delle tecniche più dirette e brutali di Defense Impairment (tattica TA0112), collocata nella fase post-compromise della kill chain. L'obiettivo è semplice quanto devastante: rimuovere le tracce forensi che documentano l'attività intrusiva, degradando la capacità dei difensori di ricostruire cosa è accaduto sulla macchina compromessa.
Windows registra eventi in tre sorgenti principali — System, Application e Security — con cinque tipologie che spaziano da errori a audit di successo o fallimento. Con privilegi amministrativi l'attaccante può invocare wevtutil cl system, wevtutil cl application, wevtutil cl security per svuotare completamente i registri, oppure usare la console Event Viewer, cmdlet PowerShell come Remove-EventLog -LogName Security, o cancellare direttamente i file .evtx residenti in *C:\Windows\System32\winevt\logs*.
I dati MITRE documentano un panorama denso: 14 gruppi APT, 26 famiglie di malware e 2 campagne hanno adottato questa tecnica. Il pattern attraversa attori russi, cinesi, nordcoreani e ransomware operator, segno che la cancellazione dei log è ormai una prassi standardizzata sia nello spionaggio state-sponsored sia nel cybercrime finanziario. L'impatto operativo è duplice: perdita di visibilità in tempo reale per il SOC e degrado severo della capacità di risposta forense a incidente concluso.
Durante un red team engagement la cancellazione dei log è generalmente l'ultimo atto della catena operativa, eseguita dopo il completamento degli obiettivi per simulare comportamento realistico di gruppi come APT28, APT41 o Volt Typhoon. Va sempre coordinata con il cliente perché altera permanentemente le evidenze.
La via nativa più documentata resta wevtutil.exe, binario firmato Microsoft presente su ogni installazione. La sintassi di enumerazione è wevtutil el per elencare i registri disponibili, seguita da wevtutil cl
cmd.exe /Q /c wevtutil cl system
cmd.exe /Q /c wevtutil cl security
Il flag /Q sopprime la conferma interattiva, /c esegue e termina. Un operatore più metodico enumera prima tutti i canali e li itera in un loop PowerShell, replicando quanto osservato su APT38 che pulisce anche i log Sysmon:
Get-WinEvent -ListLog * | ForEach-Object { wevtutil cl $_.LogName }
La variante PowerShell nativa usa Clear-EventLog -LogName Security per i log classici, oppure Remove-EventLog che ha l'effetto collaterale di disabilitare il logging futuro fino a reboot — comportamento sfruttato quando serve estendere la finestra di silenzio.
Per emulare HermeticWiper e famiglie wiper simili, l'approccio è la sovrascrittura o cancellazione diretta dei file .evtx in *C:\Windows\System32\winevt\Logs*. Il servizio EventLog mantiene handle esclusivi sui file attivi, quindi la procedura richiede lo stop preventivo del servizio (sc stop EventLog) o l'uso di API a basso livello.
Sul fronte tooling da laboratorio, Atomic Red Team (open source) include atomics pronti per T1070.001 e la variante state-sponsored T1685.005, eseguibili tramite Invoke-AtomicTest (open source). Caldera (open source) di MITRE offre ability equivalenti nel plugin stockpile. Per simulazioni C2-based, Cobalt Strike (a pagamento) espone il comando shell wevtutil cl security e Beacon Object Files come evtx-clear nella community; Sliver (open source) e Mythic (open source) con agent Apollo permettono le stesse operazioni via named pipe.
Per emulare invece la variante API-based di FinFisher o Mafalda — che invocano OpenEventLogW e ClearEventLogW direttamente — un piccolo loader in C# con P/Invoke su advapi32.dll bypassa la telemetria dei processi wevtutil, utile per stressare le regole di detection basate solo su command line.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo