Modifica Permessi File e Directory: File and Directory Permissions Modification (T1222)

In un ingaggio red team la modifica dei permessi è raramente l'obiettivo, ma quasi sempre un abilitatore. La catena tipica prevede l'ottenimento di un contesto privilegiato (SYSTEM, root o admin locale), l'alterazione dell'ACL sul target e infine l'azione finale — sovrascrittura di un binario, drop di uno script di autostart, esfiltrazione di file sensibili.

Su Windows, dopo aver ottenuto privilegi elevati, la sequenza classica è prendere ownership e poi riscrivere l'ACL. Con takeown si acquisisce la proprietà: takeown /F C:\Windows\System32\target.exe /A. Successivamente icacls concede i diritti necessari: icacls C:\Windows\System32\target.exe /grant Administrators:F. Per operazioni più discrete si può usare attrib per rimuovere attributi hidden, system o read-only: attrib -r -s -h file.dll. In PowerShell il cmdlet Set-Acl consente manipolazioni granulari via oggetti System.Security.AccessControl, spesso preferito perché lascia meno tracce in cmd.exe command line logging.

Su Linux, gli operatori usano chmod, chown e setfacl. Il classico chmod 4755 /tmp/backdoor imposta il bit SUID su un binario piazzato dall'attaccante, mentre chattr -i /etc/passwd rimuove l'attributo immutable prima di iniettare un utente. Per le ACL POSIX estese, setfacl -m u:www-data:rwx /var/log/app.log concede scrittura specifica evitando modifiche vistose ai permessi ottali. Su macOS, oltre a chmod e chown, entra in gioco chflags per rimuovere flag come uchg o schg, e xattr -d com.apple.quarantine file per neutralizzare Gatekeeper.

Su ESXi, il red teamer con accesso SSH abilitato modifica permessi su file .vmx nel datastore VMFS per manomettere configurazioni VM, tipicamente combinando chmod dalla shell dell'host con edit diretti dei descrittori.

Per simulazioni controllate in laboratorio, framework come Atomic Red Team (open source) forniscono test già mappati su T1222 con payload che invocano icacls, takeown e chmod su path di test. Caldera (open source) di MITRE permette di orchestrare catene multi-step in cui la modifica dei permessi è preceduta da privilege escalation e seguita da persistence. In esercizi realistici è utile emulare il comportamento di Qilin manipolando symbolic link con mklink /D su Windows o ln -s su Linux, verificando come i controlli EDR reagiscono a redirection verso path remoti SMB.

La detection di T1222 poggia su una catena comportamentale in quattro fasi: esecuzione di utility di modifica permessi, correlazione con contesto utente anomalo, evento di modifica DACL su path sensibile, accesso o modifica successiva del file. Isolare un singolo elemento produce troppi falsi positivi; correlarli in una finestra di 300 secondi (parametro TimeWindow della detection strategy DET0299) restituisce alert ad alto valore.

Su Windows, le fonti primarie sono WinEventLog:Security, Sysmon e PowerShell operational log. Gli eventi chiave includono EventCode 4670 (permessi oggetto modificati), EventCode 4663 (accesso a oggetto), Sysmon Event ID 1 (process creation) filtrato su icacls.exe, takeown.exe, cacls.exe, attrib.exe, e Sysmon Event ID 11 per file creati dopo la modifica ACL. Una query Splunk efficace unisce process creation con command line contenenti pattern come grant, /F, Everyone, SYSTEM:F su path sensibili definiti in SensitivePathList. Va tenuto sotto controllo anche PowerShell Set-Acl tramite ScriptBlock Logging (EventCode 4104).

Su Linux i log rilevanti sono auditd:SYSCALL e auditd:PROCTITLE. Regole audit dedicate su chmod, fchmod, fchmodat, chown, lchown, setxattr permettono di intercettare le modifiche. Un esempio: -a always,exit -F arch=b64 -S chmod,fchmod,fchmodat -F auid>=1000 -k perm_mod. Valori ottali sospetti come 777, 4755 (SUID + rwxr-xr-x) e 2755 (SGID) su path critici quali /etc/, /usr/bin/, /home/ meritano priorità. Il parametro SuspiciousPermissionValues codifica questa logica.

Su macOS, la telemetria arriva da unifiedlog e fsevents. Anomalie importanti: tentativi di modifica su path protetti da SIP (che dovrebbero sempre fallire e quindi generare eventi), combinazioni di chflags con flag uchg, schg o hidden usate per occultare payload, e modifiche a extended attributes per rimuovere quarantine.

Su ESXi, i log esxi:shell, esxi:hostd e esxi:vpxd forniscono visibilità su accessi SSH e modifiche VMFS. Correlare login shell con esecuzioni chmod su path datastore è la strategia più efficace.

I falsi positivi principali derivano da attività amministrativa legittima: script di deploy, patch management, tool di backup che ripristinano ACL. La lista TrustedUserContext con gli account autorizzati riduce il rumore, mentre BusinessHoursThreshold eleva la severità per modifiche fuori orario. In ottica D3FEND, la controparte difensiva ricade nelle famiglie di File Access Pattern Analysis e System Configuration Permissions Analysis.

L'analisi forense di T1222 ricostruisce chi ha modificato cosa, quando e con quale utility, correlando la modifica ACL con le azioni successive che ne hanno tratto beneficio. La timeline è centrata sui change time (ctime) e sugli eventi di audit permission-related.

Su Windows, gli artefatti chiave sono il Security event log (4670 per DACL changes, 4663 per accessi, 4656 per handle request), il Sysmon log con event 1 per invocazioni di icacls.exe, takeown.exe, attrib.exe, e le tracce di esecuzione: Prefetch (C:\Windows\Prefetch\ICACLS.EXE-.pf*), Amcache e ShimCache per confermare esecuzioni storiche anche in assenza di log. Il UsnJrnl ($UsnJrnl:$J) registra flag USN_REASON_SECURITY_CHANGE utili per identificare file la cui ACL è stata alterata. La MFT fornisce timestamp $STANDARD_INFORMATION e $FILE_NAME per rilevare timestomping concomitante. In PowerShell, ConsoleHost_history.txt e ScriptBlock log conservano invocazioni Set-Acl.

Su Linux, la fonte primaria è auditd con chiavi come perm_mod preconfigurate. In assenza di auditd, bash_history e .zsh_history possono contenere le chiamate chmod, chown, setfacl, chattr. Il filesystem stesso è artefatto: stat file espone ctime, che cambia ad ogni modifica di metadati inclusi i permessi, mentre lsattr rivela attributi estesi. Su ext4 e XFS, i journal filesystem possono contenere tracce delle transazioni. Log di shell come /var/log/auth.log e /var/log/secure documentano elevazioni sudo associate.

Su macOS, l'Unified Log interrogabile con log show --predicate traccia eventi di modifica permessi e chiamate chflags. Gli fsevents in /.fseventsd/ forniscono cronologia file system. Extended attributes ispezionabili con xattr -l file rivelano rimozioni di com.apple.quarantine — indicatore forte se applicato a binari scaricati da rete.

Su ESXi, i log /var/log/shell.log, /var/log/hostd.log e /var/log/vpxa.log correlano sessioni SSH con comandi eseguiti. Le modifiche a file .vmx sono visibili come edit datastore in hostd.

Nel caso di Qilin (S1242), un elemento distintivo è la presenza di symbolic link modificati che puntano a path remoti SMB o a shortcut locali con destinazioni alterate. Enumerare i link con dir /AL su Windows o find / -type l -newer su Linux permette di identificare redirection sospette. La correlazione tra creazione del link, modifica dei suoi permessi e successivo accesso in scrittura da parte del processo ransomware è la firma comportamentale che chiude la timeline dell'incidente.

I dati MITRE ATT&CK associati a T1222 non riportano gruppi APT tracciati, ma un singolo software rilevante: il ransomware Qilin (S1242). Questa asimmetria è di per sé un dato di intelligence: la modifica permessi è tecnica trasversale, incorporata come funzione ausiliaria in moltissimi toolkit, e per questo raramente attribuita in modo esclusivo a un attore. Rimane però un tassello ricorrente in praticamente ogni catena post-exploitation.

Qilin sfrutta symbolic link per redirigere path file verso oggetti sia locali sia remoti. Questa capacità, incorporata nel modulo di cifratura, permette al ransomware di estendere l'impatto oltre il volume locale, colpendo condivisioni SMB accessibili all'account compromesso. La modifica dei permessi sui link stessi è ciò che rende la redirection efficace: senza alterare l'ACL, il link potrebbe non essere seguito dal processo di cifratura. È un pattern che ricorre in famiglie ransomware moderne, dove la manipolazione filesystem è un vantaggio competitivo sia in termini di velocità di cifratura sia di ampiezza dell'impatto.

Sul piano dei trend, T1222 è tecnica enabler: appare in fase di persistence (per rendere scrivibili directory di autostart o file di configurazione di shell Unix), in defense evasion (per neutralizzare protezioni come attributi immutable su Linux o quarantine su macOS), e in impact (per preparare il terreno alla cifratura o alla wipe). L'uso combinato con Hijack Execution Flow e Boot or Logon Initialization Scripts è documentato come pattern ricorrente.

Geograficamente e settorialmente, la mancanza di attribuzione impedisce cluster geografici puntuali; tuttavia il ricorso a modifica permessi tramite utility native (icacls, chmod) è coerente con la filosofia living-off-the-land adottata trasversalmente da operatori state-sponsored e cybercrime, riducendo la superficie di detection statica basata su firme.

Per un threat intelligence officer, il valore operativo di T1222 sta nel monitorare l'evoluzione delle capabilities filesystem nei toolkit ransomware. La comparsa di manipolazione symbolic link in Qilin suggerisce che altre famiglie potrebbero adottare tecniche analoghe per amplificare il blast radius. Segnali da monitorare includono nuove varianti che modificano ACL su condivisioni di rete prima della cifratura, uso crescente di chattr e chflags per proteggere note di riscatto da rimozione, e adozione di tecniche di ACL manipulation su piattaforme meno tradizionali come ESXi, dove la telemetria è storicamente meno matura e dove la cifratura di datastore VMFS produce impatti devastanti sull'infrastruttura virtuale.

MITRE ATT&CK: T1222 (File and Directory Permissions Modification), tattica TA0005. Software: S1242 (Qilin). Mitigazioni: M1022 (Restrict File and Directory Permissions), M1026 (Privileged Account Management). Detection strategy: DET0299 con analytics AN0834 (Windows), AN0835 (Linux), AN0836 (macOS), AN0837 (ESXi). Framework difensivo MITRE D3FEND per correlazione con tecniche di File Access Pattern Analysis. Le sezioni operative su comandi, artefatti forensi e tool di laboratorio integrano conoscenza professionale consolidata di cybersecurity, limitata a strumenti verificabili e sintassi native delle piattaforme trattate.