Disabilitazione Event Log: Disable or Modify Windows Event Log (T1685.001)
La tecnica T1685.001 descrive l'insieme di azioni con cui un attaccante silenzia o manipola il servizio Windows Event Log, la spina dorsale del logging su cui poggiano quasi tutti i controlli di sicurezza dell'ecosistema Microsoft. Rientra nella tattica TA0112 - Defense Impairment, categoria che raggruppa le tecniche volte a degradare, disabilitare o compromettere l'affidabilità dei meccanismi difensivi. L'obiettivo è ridurre la capacità del blue team di rilevare, correlare e ricostruire l'attività ostile.
L'impatto operativo è profondo: il servizio EventLog raccoglie autenticazioni, creazioni di processo, modifiche di account e centinaia di altri eventi consumati da SIEM, EDR e strumenti di threat hunting. Fermarlo, riconfigurare la policy tramite auditpol.exe, alterare le chiavi Autologger nel registro o svuotare selettivamente i canali con wevtutil significa spegnere le luci nella stanza in cui si sta consumando l'attacco.
I dati MITRE ATT&CK associano alla tecnica 2 gruppi APT (Threat Group-3390 e Magic Hound), 1 software (Wevtutil) e 3 campagne documentate di alto profilo: la SolarWinds Compromise, il 2016 Ukraine Electric Power Attack e HomeLand Justice contro le reti governative albanesi. La ricorrenza in operazioni di questa portata conferma che la manomissione del logging è un passaggio quasi obbligato per attori state-sponsored interessati a mantenere accesso prolungato o a coprire azioni distruttive.
Durante un red team la disabilitazione del logging deve essere trattata come azione ad alto rumore: va simulata per validare i detection use case, non usata come pratica routinaria. Il primo prerequisito è la verifica dei privilegi correnti con whoami /priv, perché la maggior parte delle operazioni richiede SeSecurityPrivilege o pieni diritti amministrativi.
La via più diretta è l'interazione con il Service Control Manager. Da un prompt elevato:
sc config eventlog start= disabled
Stop-Service -Name EventLog -Force
Entrambi i comandi generano eventi 7040 e 7036 nel canale System, utili per validare le regole SOC. In alternativa la modifica del valore Start nella chiave HKLM\SYSTEM\CurrentControlSet\Services\EventLog differisce l'effetto al successivo reboot, riducendo il rumore immediato ma lasciando traccia registry.
Un approccio più chirurgico agisce sui canali Autologger: intervenendo su HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-Security si spegne selettivamente il canale Security al riavvio, mantenendo attivi System e Application per ridurre l'anomalia percepita. Senza privilegi amministrativi completi questa chiave è comunque scrivibile in alcune configurazioni legacy, dettaglio interessante per un assessment di hardening.
Sul fronte policy di audit lo strumento nativo è auditpol.exe:
auditpol /set /category:"Account Logon" /success:disable /failure:disable
auditpol /clear /y
Il primo comando disabilita selettivamente una categoria, il secondo azzera l'intera policy. Per operazioni granulari sui singoli canali si usa Wevtutil (built-in Windows), documentato come strumento riferito in S0645:
wevtutil sl Security /e:false
wevtutil cl Security
La prima riga disabilita il canale Security, la seconda ne cancella il contenuto (evento 1102 generato prima della cancellazione).
Per la fase di pianificazione e reporting sono utili framework come Atomic Red Team (open source) di Red Canary, che offre test atomici mappati esattamente su T1562.002/T1685.001 ed esegue le azioni sopra in modo controllato con cleanup automatico. Caldera (open source) di MITRE consente di orchestrare la tecnica in sequenza con altre azioni post-exploitation. Per validazioni più avanzate, APT Simulator (open source) integra scenari che includono la manomissione del logging.
Regola operativa: ogni azione va preceduta da snapshot della VM di test e documentata con timestamp precisi, così da confrontare la telemetria attesa con quella effettivamente osservata dal SOC durante l'esercizio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo