Esclusioni Antivirus: File/Path Exclusions (T1564.012)

In un ingaggio red team, la simulazione di T1564.012 parte sempre dalla ricognizione delle esclusioni configurate. Su Windows, la fonte primaria è il registro di Windows Defender, interrogabile via PowerShell con il cmdlet nativo:

Get-MpPreference | Select-Object ExclusionPath, ExclusionExtension, ExclusionProcess

Questo restituisce l'elenco completo di path, estensioni e processi esclusi. In alternativa, la chiave di registro HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions contiene le stesse informazioni ed è leggibile anche senza privilegi elevati in molte configurazioni misconfigurate. Per prodotti terzi (CrowdStrike, SentinelOne, Sophos) le esclusioni risiedono in chiavi vendor-specific o in file di configurazione XML/JSON nella cartella d'installazione.

Una volta identificate le esclusioni, il payload va posizionato nel path corretto. Percorsi tipicamente esclusi in ambienti enterprise includono le directory di Exchange (C:\Program Files\Microsoft\Exchange Server\V15...), SQL Server (C:\Program Files\Microsoft SQL Server...), Citrix e le cartelle temporanee IIS. SharpEDRChecker (open source, GitHub) e EDRSandBlast (open source) sono tool C#/C che automatizzano il fingerprinting delle soluzioni EDR installate e delle relative esclusioni.

Su Linux, l'enumerazione si concentra su file di configurazione di prodotti come ClamAV (/etc/clamav/clamd.conf, direttiva ExcludePath), auditd (/etc/audit/audit.rules con regole -a never) e agenti EDR commerciali. Path frequentemente esclusi sono /tmp, /var/tmp, /var/lib/docker e le directory di database. Un comando semplice come grep -r "Exclude" /etc/ 2>/dev/null può rivelare configurazioni interessanti.

Su macOS, XProtect e Gatekeeper hanno logiche di scansione basate su quarantine attribute; file scritti direttamente in ~/Library/Caches o in directory utente senza il flag com.apple.quarantine (rimovibile con xattr -d com.apple.quarantine ) evitano parte dei controlli.

La catena d'attacco tipica prevede: dropper iniziale eseguito in memoria, enumerazione delle esclusioni, copia del payload persistente nel path escluso, creazione di un meccanismo di persistenza (scheduled task, service, cron) che punta al binario nel percorso safe. Atomic Red Team (open source) include test automatizzati per T1564.012 utili in ambiente di laboratorio.

Regola operativa fondamentale: mai testare in produzione senza autorizzazione scritta e mai lasciare artefatti dopo l'ingaggio.

La detection di T1564.012 si basa su un principio contro-intuitivo: proprio le directory che l'AV non guarda sono quelle che il SOC deve guardare con maggiore attenzione tramite altri strumenti telemetrici. Sysmon (open source) diventa qui centrale, perché la sua telemetria di file creation è indipendente dalle esclusioni AV.

Su Windows, l'analisi ruota attorno all'EventCode 11 di Sysmon (FileCreate) e all'EventCode 4663 del Security log (accessi a oggetto con SACL configurata). La regola di correlazione deve incrociare il path di creazione con la lista delle esclusioni note dell'organizzazione: qualsiasi scrittura di eseguibili (.exe, .dll, .ps1, .bat) dentro C:\Windows\Temp, directory Exchange, SQL o path custom in esclusione deve generare alert se il processo parent non appartiene a una allowlist di applicazioni legittime.

Un secondo layer di detection sfrutta l'EventCode 1 (ProcessCreate) e l'EventCode 13 (RegistryValueSet) per identificare modifiche alla chiave HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions: anche se T1564.012 si limita a usare esclusioni esistenti, molti attaccanti prima verificano o estendono la lista. Query semplici in Splunk o Sentinel possono cercare processi non-MpCmdRun che leggono questa chiave.

Su Linux, la telemetria arriva da auditd. Regole mirate sui path di esclusione noti forniscono visibilità immediata:

-w /tmp -p wa -k excluded_write -w /var/tmp -p wa -k excluded_write

Gli eventi SYSCALL e PATH generati permettono di correlare la creazione file con il processo parent e il contesto utente. Falcon, Elastic Agent e Wazuh (open source) offrono moduli file integrity monitoring che coprono lo stesso caso d'uso.

Su macOS il canale primario è macos:unifiedlog con predicati sui processi ES (Endpoint Security framework). Monitorare scritture in ~/Library/LaunchAgents e ~/Library/Caches con correlazione al processo scrivente è la base.

I falsi positivi sono il problema principale: installer legittimi, agenti di backup e software di aggiornamento scrivono continuamente in path esclusi. La strategia di tuning suggerita dai dati MITRE prevede la costruzione di due liste: ExcludedPaths (le esclusioni AV note) e ProcessAllowlist (i processi legittimi autorizzati a scrivervi). Solo la combinazione "scrittura in ExcludedPath + processo NON in allowlist" genera alert di alta fedeltà. Una revisione trimestrale delle esclusioni AV, con audit e riduzione dello scope, è il controllo preventivo più efficace previsto dalla mitigazione M1049.

Un'indagine forense su T1564.012 parte da un assunto scomodo: gli strumenti tradizionali di scansione post-incident (compresi AV forensi) erediteranno le stesse esclusioni che hanno permesso l'attacco. La prima operazione, quindi, è ottenere e disabilitare tutte le esclusioni prima di qualunque scansione, oppure usare tool file-system indipendenti dall'AV endpoint.

Su Windows, la ricostruzione della timeline richiede l'acquisizione di più artefatti. Il Master File Table ($MFT), estraibile con MFTECmd (open source) di Eric Zimmerman, fornisce timestamp di creazione, modifica e accesso per ogni file, indipendentemente da qualunque esclusione AV. Il parsing produce un CSV analizzabile in Timeline Explorer (open source) dove filtrare per path noti come esclusioni.

La USN Journal ($UsnJrnl:$J) integra la MFT documentando le operazioni file recenti, utile per identificare drop e cancellazioni. Prefetch (*C:\Windows\Prefetch*), estraibile con PECmd (open source), rivela esecuzioni di binari dai path esclusi anche se il file è stato successivamente rimosso: ogni file .pf contiene il nome dell'eseguibile, il percorso completo e gli ultimi otto tempi di esecuzione.

Le ShimCache e AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) sono fonti complementari fondamentali. AmCache in particolare mantiene hash SHA-1 dei binari eseguiti, permettendo di correlare artefatti trovati nei path esclusi con hash presenti su VirusTotal (freemium) o database di threat intelligence interni. RegRipper (open source) e AmcacheParser (open source) automatizzano il parsing.

La configurazione delle esclusioni al momento del compromesso va ricostruita dall'hive di registro SOFTWARE, chiave Microsoft\Windows Defender\Exclusions, con timestamp di modifica delle sottochiavi che indica quando l'esclusione è stata creata. Registry Explorer (open source) mostra i last write time.

Su Linux, i log auditd (se configurati) e i file system timestamp (accessibili via stat e debugfs per ext4) forniscono la base timeline. Path come /tmp, /var/lib e /dev/shm vanno acquisiti con dd o dc3dd (open source) e analizzati con Autopsy (open source) o Plaso/log2timeline (open source) per generare supertimeline.

Nel caso Turla / LunarWeb documentato dai dati MITRE, l'attaccante ha depositato installer in directory escluse: gli artefatti chiave da cercare in casi analoghi sono i binari residenti in path esclusi, i loro hash, i timestamp MFT correlati alle prime attività di persistenza (scheduled task, servizi) e le connessioni C2 successive registrate in Sysmon EventCode 3.

La correlazione tra timestamp di drop nel path escluso, prima esecuzione (Prefetch/AmCache) e prima connessione di rete permette di ricostruire con precisione il momento del compromesso iniziale.

Il panorama degli attori che sfruttano T1564.012 è più ristretto di quanto la semplicità della tecnica farebbe pensare, ma include operatori di primo livello. Il caso documentato riguarda Turla (G0010), gruppo di cyber-espionage attribuito con alta confidenza al servizio di intelligence russo FSB e attivo da oltre vent'anni contro obiettivi governativi, diplomatici e militari in Europa, Nord America e Medio Oriente.

Turla ha utilizzato T1564.012 nel deployment di LunarWeb, componente della catena di infezione documentata contro un ministero degli esteri europeo. I file di installazione di LunarWeb sono stati collocati in directory escluse dalla scansione AV, sfruttando le esclusioni tipiche di ambienti server. Questo comportamento è coerente con il modus operandi storico di Turla: elevato livello di operational security, ricognizione approfondita dell'ambiente vittima prima del deployment, e preferenza per tecniche che minimizzano la telemetria generata rispetto a quelle rumorose come la disabilitazione forzata dell'AV.

Il pattern operativo di Turla nell'uso di questa tecnica segue una sequenza prevedibile: compromesso iniziale (spesso via spearphishing o watering hole), enumerazione delle soluzioni di sicurezza tramite T1518.001 (Security Software Discovery), identificazione delle esclusioni configurate, drop di componenti persistenti in path safe. La stessa filosofia "live off the trusted paths" è coerente con altre TTP del gruppo, come l'abuso di servizi cloud legittimi per C2 e l'uso di componenti firmati o piggybacked su processi trusted.

Sul piano geopolitico, gli obiettivi di Turla si concentrano su target di interesse strategico russo: cancellerie diplomatiche europee, contractor della difesa NATO, istituzioni di ricerca e telco. La scelta di T1564.012 in campagne come LunarWeb riflette l'esigenza operativa di mantenere accesso persistente per mesi o anni in ambienti target ad alta maturità difensiva, dove ogni alert AV rischia di innescare risposta di incident response e attribuzione.

Il trend più ampio nella threat landscape indica che T1564.012 sta guadagnando popolarità anche presso attori ransomware finanziariamente motivati (LockBit, BlackCat e affiliati storicamente hanno enumerato esclusioni AV durante la fase di preparazione al deployment del ransomware), non solo tra APT statali. La ragione è economica: enumerare esclusioni tramite un comando PowerShell richiede secondi, mentre disabilitare un EDR moderno richiede kernel exploit o BYOVD, con costi operativi molto superiori.

Per i team di threat intelligence, l'indicatore predittivo più utile è il monitoraggio di query alle chiavi di registro delle esclusioni AV in fasi precoci di intrusione: chi enumera, spesso poi sfrutta.

MITRE ATT&CK: T1564.012 (File/Path Exclusions), TA0005 (Defense Evasion), G0010 (Turla), M1013 (Application Developer Guidance), M1049 (Antivirus/Antimalware), T1518.001 (Security Software Discovery), T1562 (Impair Defenses). Detection strategy DET0051 (AN0139 Windows, AN0140 Linux, AN0141 macOS). MITRE D3FEND per artefatti File e Process. Tool citati verificati su repository ufficiali GitHub e documentazione vendor. Parti operative su comandi, artefatti forensi e tool integrate con conoscenza professionale di cybersecurity secondo linee guida Livello 2.