Disabilitazione Strumenti di Sicurezza: Disable or Modify Tools (T1685)
La tecnica T1685 - Disable or Modify Tools rappresenta uno dei pilastri della tattica TA0112 (Defense Impairment) e descrive tutte le azioni con cui un attaccante degrada, disabilita o manomette strumenti difensivi come EDR, antivirus, IDS, agent di logging e sensori cloud. L'obiettivo è ridurre la visibilità dei difensori interferendo direttamente con controlli preventivi, di rilevamento e di risposta.
Le modalità di attuazione sono estremamente eterogenee: si va dal semplice taskkill contro processi AV fino a tecniche sofisticate come il patching di ETW (Event Tracing for Windows) e AMSI (Antimalware Scan Interface), l'abuso di driver firmati vulnerabili per terminare processi protetti, la modifica di configurazioni Sysmon, la redirezione di log Security, l'aggiunta di percorsi nella lista di esclusione di Defender o l'unhooking di DLL per bypassare le API monitorate.
I numeri parlano chiaro: 32 gruppi APT, 87 famiglie di malware e 9 campagne documentate utilizzano questa tecnica, che appare trasversalmente in operazioni di ransomware, spionaggio statale e attacchi distruttivi. Dal punto di vista della kill chain, T1685 si colloca tipicamente dopo l'ottenimento di privilegi elevati e prima delle fasi rumorose come Impact o Exfiltration, fungendo da precondizione per garantire che il payload successivo operi senza generare alert. La sua diffusione trasversale — su Windows, Linux, macOS, ESXi, container e infrastrutture cloud — la rende una delle tecniche più critiche da rilevare tempestivamente.
Per un red teamer, la simulazione di T1685 richiede di riprodurre in modo controllato le principali categorie di manomissione, sempre in ambienti di laboratorio isolati e con autorizzazione scritta.
Su Windows, il primo livello riguarda la manipolazione di Windows Defender via PowerShell con cmdlet legittimi come Set-MpPreference -DisableRealtimeMonitoring $true oppure Set-MpPreference -ExclusionPath 'C:\Temp', tecnica documentata anche nella campagna SharePoint ToolShell Exploitation (C0058) e usata da PureCrypter e LazyWiper. Per verificare lo stato basta Get-MpPreference. Sul fronte servizi, comandi come sc.exe stop Sense o net stop WinDefend replicano quanto fatto da Wizard Spider, Akira e BlackByte.
Per emulare il bypass di AMSI — usato da Turla, TA2541 e implementato in SILENTTRINITY (open source), Donut (open source) e Brute Ratel C4 (a pagamento) — si può ricorrere a script PowerShell che effettuano patching in-memory della funzione AmsiScanBuffer dentro amsi.dll. Analogamente il patching di ETW replica il comportamento del custom injector di APT41 e di HUI Loader.
Per simulare l'abuso di driver vulnerabili (BYOVD), progetti come Backstab (open source) o EDRSandBlast (open source) permettono di replicare l'approccio di Agrius con GMER64.sys o quello di Medusa Group basato su IOCTL. La lista LOLDrivers curata dalla community fornisce un catalogo di driver firmati vulnerabili utili in laboratorio.
Su Linux, si può emulare TeamTNT disinstallando agent cloud (Alibaba, Tencent, BMC) con systemctl stop seguito da apt remove o yum erase. La disattivazione di auditd via auditctl -e 0 o lo scaricamento di moduli con rmmod simulano tattiche osservate in operazioni Linux-native. Per SELinux, setenforce 0 replica quanto fatto da Skidmap e Ebury.
Su macOS, il caricamento e scaricamento di launch agent tramite launchctl unload riproduce pattern osservati in ThiefQuest e macOS.OSAMiner, mentre su ESXi comandi come esxcli system syslog config set --enabled=false o esxcli network firewall set --enabled false replicano attacchi contro hypervisor.
Framework utili includono Atomic Red Team (open source), Caldera (open source) di MITRE e Metasploit Framework (freemium), tutti con moduli specifici per T1685. La chiave è documentare ogni azione con timestamp precisi per confrontarli poi con la telemetria SOC.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo