Raccolta Dati Locali: Data from Local System (T1005)

In un esercizio red team, la simulazione di T1005 va progettata rispettando due obiettivi: replicare pattern realistici dei gruppi APT e generare telemetria utile al blue team per la detection engineering. La fase inizia sempre con un'enumerazione mirata dei percorsi ad alto valore.

Su Windows, l'utility nativa Forfiles — usata storicamente da APT28 per lo staging — permette di iterare su percorsi selezionati filtrando per estensione e data. Un pattern realistico è *forfiles /P C:\Users /S /M .docx /D -30 /C "cmd /c copy @path C:\Windows\Temp\stage", che raccoglie documenti modificati negli ultimi 30 giorni. Analogo per PDF, XLSX e archivi. Sul fronte PowerShell, il modulo PowerSploit (open source, archiviato ma ancora funzionale in lab) include Get-ChildItem combinato con Compress-Archive per staging silenzioso.

Per replicare Aquatic Panda e Volt Typhoon nell'estrazione di log eventi, il comando nativo è wevtutil epl Security C:\Windows\Temp\sec.evtx /q:"[System[TimeCreated[timediff(@SystemTime) <= 604800000]]]"*, che estrae la settimana precedente del canale Security. Il tool esentutl.exe (nativo Windows) consente inoltre l'accesso a file bloccati come ntds.dit o database di browser tramite esentutl /y /vss , tecnica documentata per QakBot.

Su Linux, l'approccio classico combina find e tar: find /home /etc -type f ( -name ".conf" -o -name "id_rsa" -o -name ".pem" ) 2>/dev/null | tar czf /tmp/.cache.tgz -T -. Per replicare Windigo, aggiungere la ricerca in ~/.ssh/ e nei log SSH.

Su macOS, la simulazione del comportamento di XCSSET o MacMa richiede accesso alle cartelle protette da TCC — in lab, disabilitare temporaneamente TCC o usare account con FullDiskAccess. Comandi tipici: find ~/Documents ~/Desktop -type f -newer /tmp/marker -print0 | xargs -0 tar czf /tmp/collect.tgz.

Su ESXi, la raccolta di .vmdk e .vmx dai datastore avviene via vim-cmd vmsvc/getallvms per l'inventario, seguito da cp /vmfs/volumes/datastore1/VM/.vmx /tmp/*.

Come framework di simulazione completa consiglio Atomic Red Team (open source), che include atomici già mappati su T1005, e Caldera (open source) di MITRE per catene automatizzate. Per emulazione di C2 realistico, Sliver (open source) o Mythic (open source) offrono comandi download e ls con logging strutturato utile al post-mortem dell'esercizio.

La detection di T1005 è intrinsecamente rumorosa: le operazioni su file sono la norma, non l'eccezione. L'efficacia dipende quindi dalla capacità di correlare volume, contesto di processo e sensibilità dei path piuttosto che dal singolo evento.

Su Windows la telemetria fondamentale arriva da Sysmon (open source) e dal canale Security. Gli EventCode 1 (process creation) e EventCode 11 (file create) di Sysmon vanno correlati con EventCode 4663 (object access) del Security log, previa abilitazione di SACL sui folder sensibili. Un pattern ad alto valore è la sequenza powershell.exe → Get-ChildItem ricorsivo → Compress-Archive → file .zip in %TEMP% o %APPDATA% in una finestra di pochi minuti. Le query devono normalizzare il CommandLine e cercare cmdlet come Get-ChildItem -Recurse, Copy-Item, insieme a estensioni target (*.docx, *.pdf, *.xlsx, *.pst, .kdbx).

L'esecuzione di wevtutil con parametri epl o cl fuori da finestre di manutenzione è un indicatore forte, associato a Volt Typhoon, Aquatic Panda ed Ember Bear. Analogamente, esentutl.exe invocato con /y o /vss da un utente non-admin merita alert immediato — è pattern documentato di QakBot.

Dalla mappatura D3FEND, le tecniche difensive rilevanti includono File Access Pattern Analysis e Sensitive File Access Detection: implementare baseline per utente/host del volume medio di file letti in una finestra oraria, e generare alert quando un singolo processo supera N deviazioni standard. Per il tuning, il filtro TargetFilePathRegex dovrebbe includere estensioni sensibili e path come \Users\\Documents*, \AppData\Roaming\Mozilla, \Sticky Notes, mentre ParentProcessFilter deve concentrarsi su parent anomali (Office, browser, servizi non standard che generano PowerShell).

Su Linux, auditd con regole su execve per find, tar, scp, rsync combinato con open su path sensibili (/etc/shadow, ~/.ssh/, /var/lib/mysql) fornisce la base. La correlazione va fatta su finestre temporali di 5-15 minuti per catturare pattern scriptati.

Su ESXi, monitorare hostd.log e shell.log per invocazioni di vim-cmd, esxcli e cp/scp verso path di datastore da sessioni SSH non pianificate.

Falsi positivi frequenti includono backup software, tool di indicizzazione (Windows Search, Spotlight), soluzioni DLP legittime e attività di IT admin. Mitigazione: whitelist per account di servizio noti, esclusione di parent process fidati, correlazione obbligatoria con altre tattiche (Discovery, Exfiltration) per elevare il severity.

L'analisi forense di T1005 si concentra sulla ricostruzione della timeline di accesso ai file e sull'identificazione dello staging pre-esfiltrazione. Gli artefatti Windows più preziosi sono quelli che registrano l'interazione con oggetti file system indipendentemente dall'azione di lettura.

La MFT ($MFT) analizzata con MFTECmd (open source) di Eric Zimmerman rivela timestamp SI e FN di file toccati durante la collection, mentre lo USN Journal ($UsnJrnl:$J) mantiene traccia di CREATE, RENAME e DATA_EXTEND utili per identificare archivi di staging appena creati. Il Prefetch (C:\Windows\Prefetch*.pf), parsato con PECmd (open source), mostra esecuzioni di forfiles.exe, wevtutil.exe, esentutl.exe, 7z.exe, rar.exe con conteggi e ultimo run.

Gli ShellBags (NTUSER.DAT e UsrClass.dat) rivelano la navigazione GUI in cartelle sensibili — utile quando l'attaccante opera via RDP. RecentDocs, OpenSavePidlMRU e le Jump List (*%AppData%\Microsoft\Windows\Recent*) forniscono evidenza dei documenti aperti. Il registro AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) e ShimCache completano l'inventario di eseguibili lanciati.

Per PowerShell, i log operazionali (Microsoft-Windows-PowerShell/Operational, EventID 4104 per script block logging) e il PSReadLine ConsoleHost_history.txt in *%AppData%\Microsoft\Windows\PowerShell\PSReadLine* spesso conservano i cmdlet di collection anche dopo la chiusura della sessione — artefatto oro in casi come APT29 (SolarWinds Compromise) e CharmPower.

Dal mapping D3FEND, gli artefatti digitali chiave sono File e Process: la correlazione tra eventi Sysmon 11/23 (FileCreate/FileDelete) e Security 4663 permette di ricostruire cosa è stato letto, da chi e quando. Per file archivi di staging, l'analisi con 7-Zip (open source) o Zipdump rivela la lista dei file inclusi anche se l'archivio è stato successivamente cancellato ma recuperato da unallocated.

Su Linux, gli artefatti primari sono ~/.bash_history, ~/.zsh_history, i log auditd in /var/log/audit/audit.log parsati con ausearch, e i metadati atime/mtime/ctime estratti con fls e mactime della suite Sleuth Kit (open source). Casi come Windigo hanno mostrato script di raccolta credenziali in /tmp/ con nomi mimetici.

Su macOS, FSEvents (/.fseventsd/) parsato con FSEventsParser (open source), Unified Logs estratti con log show --predicate e QuarantineEventsV2 aiutano a ricostruire la sequenza di accesso a ~/Library/Keychains/ e ai documenti utente, pattern osservato in MacMa e XCSSET.

Per la timeline complessiva, Plaso/log2timeline (open source) aggrega tutti questi artefatti in un supertimeline analizzabile con Timesketch (open source).

T1005 è un denominatore comune tra spionaggio statale, cybercrime finanziario ed estorsione — la sua analisi TI richiede quindi di leggere il come e il cosa più che il se.

APT29 (SolarWinds Compromise, C0024) rappresenta il paradigma dello spionaggio SVR russo: durante l'operazione ha esfiltrato selettivamente file da reti governative e tecnologiche in Nord America, Europa, Asia e Medio Oriente, privilegiando qualità sulla quantità. La collection era altamente targetizzata, spesso guidata da conoscenza pregressa dell'organizzazione vittima ottenuta via APT29 Discovery. Il tool FatDuke e il malware SUNBURST hanno implementato moduli di raccolta file discreti, con dimensioni contenute per non alterare baseline di rete.

APT41 (Operation CuckooBees C0012, C0017) mostra invece l'ibridazione tra spionaggio e cybercrime tipica dei gruppi cinesi. In C0017, l'esfiltrazione di PII da almeno sei reti governative statunitensi tra maggio 2021 e febbraio 2022 evidenzia un target-set opportunistico. In Operation CuckooBees, condotta insieme a Winnti Group e BARIUM contro manufacturing e tecnologia in Asia orientale, Europa occidentale e Nord America, la collection ha riguardato codice sorgente, blueprint e documenti R&D — bottino di valore strategico e commerciale.

Lazarus Group e il satellite APT38 operano su un doppio binario: Operation Dream Job (C0022) ha raccolto dati da difesa e aerospazio in USA, Israele, Australia, Russia e India, mentre APT38 focalizza sulla monetizzazione finanziaria. L'uso di trojan e DLL personalizzati per l'esfiltrazione da host infetti è pattern ricorrente. ThreatNeedle e DRATzarus sono le famiglie di riferimento per questa fase.

Volt Typhoon ha ridefinito la percezione della minaccia cinese verso infrastrutture critiche USA: il furto sistematico di file da server sensibili e del database Active Directory, unito all'uso di Wevtutil per estrarre event log, indica preparazione di operazioni disruptive più che spionaggio classico. Il pattern LOLBin-heavy riduce l'efficacia di detection basate su malware signature.

FIN6 e FIN7 rappresentano l'archetipo cybercrime finanziario: raccolta chirurgica di dati di pagamento tramite malware POS come FrameworkPOS, PUNCHTRACK e Pillowmint, con memory scraping mirato a track data.

Un trend emergente è l'accelerazione dei tempi: LAPSUS$ ha compresso raccolta ed esfiltrazione in ore per operazioni di estorsione pubblica, mentre Cutting Edge (C0029, dicembre 2023-febbraio 2024) e SharePoint ToolShell Exploitation (C0058, luglio 2025) mostrano come lo sfruttamento di zero-day su appliance perimetrali (Ivanti Connect Secure, SharePoint on-prem) porti a collection immediata di configurazioni, cookie e login data — talvolta con follow-on ransomware da parte di attori come Storm-2603.

MITRE ATT&CK: tecnica T1005, tattica TA0009, mitigazione M1057, detection DET0380 (AN1070-AN1074). Campagne citate: C0012 (Operation CuckooBees), C0017, C0022 (Operation Dream Job), C0024 (SolarWinds Compromise), C0029 (Cutting Edge), C0058 (SharePoint ToolShell Exploitation). MITRE D3FEND per mappatura artefatti File/Process e tecniche difensive di File Access Pattern Analysis. Sezioni Ethical Hacker e Forensic Analyst integrano conoscenza professionale di cybersecurity su tool open source (Sysmon, PowerSploit, Atomic Red Team, Caldera, Sleuth Kit, Plaso, MFTECmd, PECmd) verificati come attivi e mantenuti.