Enumerazione File e Directory: File and Directory Discovery (T1083)

Durante un ingaggio red team l'enumerazione file va condotta con logica low-and-slow, alternando binari nativi a payload custom per riprodurre TTP reali senza far scattare soglie di volume.

Su Windows i comandi di base restano quelli abusati dagli attori documentati. admin@338 eseguiva sequenze come dir c:\ >> %temp%\download e dir "c:\Program Files\" >> %temp%\download, mentre Kwampirs usava dir /s /a c:\ >> "C:\windows\TEMP\[RANDOM].tmp" per un dump ricorsivo completo. APT28 ha impiegato Forfiles (nativo Windows), utility che permette di cercare file per estensione o età; una query realistica per documenti Office recenti è *forfiles /P C:\Users /S /M .docx /D -30 /C "cmd /c echo @path". Per emulare APT41 su Linux è coerente lanciare file /bin/pwd come primo assessment architetturale.

Su Linux e macOS i comandi find / -type f -name ".kdbx" 2>/dev/null*, find ~ -name "wallet" (pattern usato da CookieMiner) e locate id_rsa replicano scenari di ricerca credenziali. Su macOS XCSSET ha impiegato mdfind per interrogare Spotlight — es. mdfind "kMDItemContentType == 'com.apple.application-bundle'" — mentre ls -la ~/Library/Application\ Support/MobileSync/Backup/ replica l'enumerazione backup iOS di XAgentOSX.

Per ESXi il pattern UNC3886 con vmtoolsd.exe può essere emulato lato host con esxcli storage filesystem list e find /vmfs/volumes -name ".vmdk"*, coerente con Cheerscrypt che cerca estensioni .vmdk, .vmem, .vswp.

Sul fronte tooling da laboratorio, opzioni verificabili includono PowerSploit (open source) con moduli come Get-ChildItem -Recurse -Include .docx,.xlsx, Empire (open source) con moduli di file discovery, PoshC2 (open source) per enumerazione recent files, Sliver (open source) come C2 con comandi ls nativi, SILENTTRINITY (open source) con moduli ls.py e recentFiles.py, Rclone (open source) usato da vari attori per rclone ls remote: prima dell'esfiltrazione, e CrackMapExec (open source, ora manutenuto come NetExec) per enumerazione file su share SMB via nxc smb -u user -p pass --spider C$ --pattern .kdbx.

In scenario network device, replicare Volt Typhoon significa loggarsi su edge device e lanciare show flash:, dir nvram: e more system:running-config per catalogare configurazioni sensibili.

La detection di T1083 richiede analisi comportamentale perché i comandi coinvolti sono legittimi. La logica di rilevamento DET0370 si articola per piattaforma e converge sull'anomalia di volume, contesto utente e path.

Su Windows le fonti primarie sono WinEventLog:Security (event 4688 con command line auditing abilitato) e WinEventLog:Sysmon (event 1 process creation, event 11 file create). Un pattern di allerta efficace correla cmd.exe o powershell.exe che invocano dir /s, tree, forfiles, where o Get-ChildItem -Recurse da account non amministrativi o da processi genitori sospetti (Office, browser, script host). La regola AN1040 suggerisce soglia di burst — oltre 50 query directory in 30 secondi — combinata con regex su command line per catturare varianti come dir /s /b usato per output compatto. Tuning fondamentale è escludere account di service noti (backup, indexing, AV) per contenere falsi positivi generati da soluzioni EDR, motori di ricerca desktop, script di inventario asset.

Su Linux la telemetria si costruisce con auditd monitorando le syscall openat, getdents64 e stat con regole del tipo -a always,exit -F arch=b64 -S openat -F dir=/etc -F success=1. La detection AN1041 raccomanda di profilare la profondità ricorsiva: un find / -type f invocato da utenza interattiva estranea alle operazioni sysadmin merita triage. Attenzione ai pattern TeamTNT che leggono /proc//environ* alla ricerca di variabili AWS, correlabili con accesso massivo a /proc/[pid]/environ.

Su macOS la fonte è macos:unifiedlog filtrando con predicati su mdfind, find, ls combinati con analisi di fs:fsusage per catturare accessi ricorsivi a Desktop, Downloads, Documents — pattern osservato in MacMa e XCSSET.

Su ESXi la logica AN1043 monitora esxi:shell e esxi:hostd per invocazioni esxcli storage filesystem list, ls /vmfs/volumes e find provenienti da IP non-vCenter o sessioni SSH remote, indicatori di post-exploitation su hypervisor coerenti con UNC3886 e Cheerscrypt.

Per i network device, AN1044 sfrutta networkdevice:syslog intercettando comandi dir, show flash, more nvram: eseguiti da utenze non-TACACS previste o da IP source anomali — pattern Volt Typhoon e KV Botnet.

Sul piano preventivo, hardening consiste in restrizioni AppLocker/WDAC su binari come forfiles.exe, tree.com dove non necessari, riduzione dei permessi di lettura su directory sensibili con ACL granulari, e disabilitazione di WSH nei contesti non necessari.

L'analisi forense di T1083 punta a ricostruire la timeline di esplorazione e a distinguere l'enumerazione malevola dall'attività amministrativa lecita. Gli artefatti chiave variano per piattaforma ma condividono la logica di correlare esecuzione di binari, accessi al file system e output persistiti.

Su Windows il Prefetch (C:\Windows\Prefetch\) rivela esecuzioni di CMD.EXE-, FORFILES.EXE-, TREE.COM-, POWERSHELL.EXE- con timestamp di prima e ultima esecuzione. Amcache.hve e ShimCache (AppCompatCache) integrano l'evidenza di esecuzione anche in assenza di Prefetch. Il ScriptBlock logging di PowerShell (event 4104) e il Module logging (event 4103) catturano invocazioni di Get-ChildItem -Recurse, mentre PSReadLine ConsoleHost_history.txt in %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine\ conserva la history interattiva. Fondamentale l'analisi dei file di output: pattern come %TEMP%\download, C:\Windows\TEMP\.tmp* con listati ricorsivi sono firma diretta — Kwampirs e admin@338 lasciavano proprio questi artefatti. NTFS $UsnJrnl:$J e $MFT documentano la creazione di tali file di staging con precisione al microsecondo. SharPDisco e attività simili lasciano tracce nella cartella Recent (%APPDATA%\Microsoft\Windows\Recent) e nei file LNK con path originali estraibili via LECmd.

Su Linux i log auditd in /var/log/audit/audit.log correlati con .bash_history, zsh_history e i timestamp atime su directory sensibili (/etc, /root, /home) ricostruiscono la sequenza. Per attori come TeamTNT cercare tracce di lettura massiva su /proc//environ*; per Windigo verificare la presenza di file .ssh enumerati da script backdoor. Su sistemi con Sysmon for Linux installato, event 1 e event 11 forniscono granularità paragonabile a Windows.

Su macOS Unified Logs (log show --predicate 'process == "mdfind"' --last 7d) e FSEvents in /.fseventsd/ tracciano accessi al file system. Il QuarantineEventsV2 SQLite database e KnowledgeC.db correlano app execution e finestre attive.

Su ESXi i log shell.log, hostd.log e auth.log in /var/log/ registrano comandi shell e sessioni SSH; artefatti coerenti con UNC3886 includono esecuzioni di vmtoolsd.exe con parametri anomali sui guest.

Sul piano campagne, Operation Wocao ha lasciato listati directory ricorsivi in file di staging; SolarWinds Compromise ha usato Get-WebServicesVirtualDirectory rintracciabile nei log Exchange PowerShell; KV Botnet ha enumerato path SOHO specifici (/usr/sbin/, /pfrm2.0/bin/) utili come IOC path-based.

Strumenti forensi consigliati: KAPE (gratuito per uso non commerciale) per collection targeted, Velociraptor (open source) per hunting su flotta, Plaso/log2timeline (open source) per supertimeline, RegRipper (open source) per hive analysis.

L'enumerazione file è tecnica trasversale a spionaggio statale, cybercrime finanziario e ransomware, e i profili operativi variano significativamente per obiettivi e livello di stealth.

APT29 (SolarWinds Compromise, 2019-2021) ha combinato T1083 con abuso di infrastruttura fidata: nel contesto Exchange ha eseguito Get-WebServicesVirtualDirectory per mappare virtual directory prima di manipolare permessi. Il gruppo, attribuito all'SVR russo, privilegia scoperta a bassissimo rumore integrata in cmdlet legittimi PowerShell, coerente con il pattern living-off-the-land di lungo periodo su target governativi e tech in Nord America, Europa e Medio Oriente.

Lazarus Group e APT38 (Corea del Nord) mostrano un uso più estensivo: nell'Operation Dream Job (2019-2020) hanno effettuato ricerche keyword-based su documenti relativi a temi di sicurezza e finanza nei settori difesa e aerospazio di USA, Israele, Australia, Russia e India. Il tool overlap con famiglie come FALLCHILL, BLINDINGCAN, TAINTEDSCRIBE e Dtrack evidenzia arsenale strutturato per enumerazione ricorsiva finalizzata a esfiltrazione mirata.

Volt Typhoon (Cina, targeting infrastrutture critiche USA e Guam) ha enumerato directory contenenti test di vulnerabilità e disegni costruttivi di facility, sfruttando la KV Botnet Activity (2022-2024) su SOHO end-of-life di Cisco, NETGEAR e DrayTek. Il pattern di enumerazione su path Linux embedded (/pfrm2.0/bin/) è marker distintivo del gruppo e riflette una fase preparatoria per prepositioning su reti OT.

APT41 e attori affiliati (Winnti Group, BARIUM) hanno condotto Operation CuckooBees (2019-2022) contro tech e manifattura in East Asia, Europa Occidentale e Nord America, usando comandi elementari come dir c:\ per catalogare proprietà intellettuale, R&D e blueprint. La sovrapposizione strumentale con Winnti Group e l'uso di file /bin/pwd su Linux mostrano capacità multi-piattaforma.

Sul versante cybercrime, Scattered Spider (G1015) enumera source code, sistemi di user provisioning, registrazioni MFA e credenziali condivise in fogli di calcolo — TTP coerente con il collettivo The Com riemerso nella Salesforce Data Exfiltration (2024-2025) via UNC6040 e UNC6240 (self-branded ShinyHunters). FIN13 ha usato dir per enumerazione di rete in intrusioni finanziarie di lunga durata.

Nel ransomware, il pattern è consolidato: Conti, Black Basta, BlackCat, Akira, LockBit 2.0/3.0, Royal, Play, Medusa, Qilin, RansomHub, INC ed Embargo integrano enumerazione con logica di esclusione (estensioni .exe, .dll, .sys, .lnk) per preservare bootability. C0015 (2021) ha mostrato listing directory post-cifratura per verifica successo — indicatore utile per hunting.

Trend emergente 2025: sfruttamento di vulnerabilità edge (SharePoint ToolShell, CVE-2025-53770/53771) per enumerazione share e backup path da parte di Storm-2603, Threat Group-3390 e ZIRCONIUM, con convergenza tra ransomware e spionaggio cinese su target finance, education, energy e healthcare.

MITRE ATT&CK T1083 (File and Directory Discovery), tattica TA0007 (Discovery). Gruppi e software citati da knowledge base ATT&CK. Campagne: C0002 Night Dragon, C0006 Operation Honeybee, C0012 Operation CuckooBees, C0014 Operation Wocao, C0015, C0022 Operation Dream Job, C0024 SolarWinds Compromise, C0035 KV Botnet Activity, C0058 SharePoint ToolShell Exploitation, C0059 Salesforce Data Exfiltration. Detection: DET0370 con analitiche AN1040-AN1044. Per procedure operative, sintassi comandi e strumenti di detection è stata integrata conoscenza professionale di cybersecurity su tool open source verificabili (KAPE, Velociraptor, Sysmon, auditd, PowerSploit, Empire, Sliver, SILENTTRINITY, NetExec, Rclone).