Ricognizione delle Group Policy: Group Policy Discovery (T1615)

Durante un red team assessment la ricognizione delle GPO si esegue con strumenti nativi, per ridurre l'impronta, prima di passare a framework più rumorosi. Il comando di partenza è gpresult, presente su tutte le versioni Windows moderne: gpresult /r fornisce il riepilogo delle policy applicate all'utente corrente, mentre gpresult /z estende l'output con dettagli su registry, script e installazioni software. Per generare un report HTML strutturato utile in fase di analisi si usa gpresult /h report.html /f. Un operatore prudente lancia il comando con contesto utente standard, senza elevazione, per non generare eventi anomali.

Quando serve visibilità sulle GPO a livello di dominio, il riferimento operativo è PowerView (open source, parte del progetto PowerSploit ora archiviato ma ancora ampiamente usato in laboratorio, e integrato in Empire, S0363). Le funzioni chiave sono Get-DomainGPO per enumerare tutte le GPO con i loro attributi LDAP, Get-DomainGPOLocalGroup per identificare quali GPO controllano l'appartenenza ai gruppi locali (una miniera per privilege escalation) e Get-DomainGPOUserLocalGroupMapping per costruire la mappa "quale utente è admin dove". Un attaccante esperto correla questi output con i risultati di BloodHound (S0521, open source) e del suo collector SharpHound per visualizzare graficamente i percorsi di attacco: SharpHound raccoglie i dati GPO con il flag -CollectionMethod GPOLocalGroup o All.

Su Linux dominio-joined o da workstation di attacco esterna, lo scripting Python con Impacket (open source) e ldap3 consente query LDAP dirette contro il domain controller senza toccare l'endpoint compromesso: si interroga il naming context cercando oggetti con objectClass=groupPolicyContainer per ottenere GUID, displayName e gPCFileSysPath.

Una catena tipica in laboratorio parte da un accesso utente standard, prosegue con gpresult /z per il contesto locale, poi enumera il dominio via Get-DomainGPO filtrando per policy che modificano gruppi privilegiati o distribuiscono script SYSVOL. I file Groups.xml, ScheduledTasks.xml o Services.xml dentro SYSVOL vanno cercati manualmente: storicamente hanno contenuto credenziali cifrate con chiave nota (CVE-2014-1812, GPP Passwords), un vettore ancora presente in ambienti legacy. Strumenti come Get-GPPPassword (open source, in PowerSploit) automatizzano l'estrazione.

In ambienti Azure AD / Entra ID le GPO tradizionali non esistono, ma il concetto si estende alle Intune Configuration Profiles, enumerabili con AADInternals (open source) o ROADtools (open source).

La detection di T1615 si fonda sulla correlazione tra esecuzione di binari nativi, attività PowerShell e query LDAP verso i domain controller. La strategia DET0055 definisce l'analitica AN0152 per Windows, che integra quattro fonti: WinEventLog:Security, WinEventLog:Sysmon, WinEventLog:PowerShell e telemetria di rete NSM:Flow.

Il primo pilastro è il monitoraggio dell'esecuzione di gpresult.exe. Sysmon EventCode 1 (Process Create) intercetta ogni invocazione con command line completa: l'alert non deve scattare sulla singola esecuzione, ma su pattern anomali come gpresult lanciato da account non amministrativi, da processi padre insoliti (es. winword.exe, outlook.exe, wscript.exe) o in sequenza con altri comandi di discovery (net group, whoami /all, nltest). Il flag UserContext del tuning D3FEND è centrale: mappare quali account legittimamente eseguono gpresult (helpdesk, workstation di gestione) permette di alzare severity sulle esecuzioni fuori baseline.

Il secondo pilastro riguarda PowerShell. L'attivazione di Script Block Logging (EventCode 4104 in Microsoft-Windows-PowerShell/Operational) è prerequisito non negoziabile: le funzioni Get-DomainGPO, Get-DomainGPOLocalGroup, Get-NetGPO di PowerView vengono catturate integralmente anche se offuscate, perché il blocco viene deoffuscato prima del logging. Regole Sigma pubbliche coprono queste stringhe; vanno estese ai wrapper personalizzati e alle varianti Get-GPO del modulo ufficiale GroupPolicy quando eseguite da host non amministrativi.

Il terzo pilastro è il traffico LDAP verso i domain controller. Abilitando Directory Service Access auditing (EventCode 4662) sui DC, si osservano le query contro oggetti groupPolicyContainer (schema GUID f30e3bc2-9ff0-11d1-b603-0000f80367c1). Volumi anomali di query LDAP da un singolo host workstation in una finestra breve sono un indicatore forte. La TimeWindow raccomandata dal tuning è tipicamente 10-15 minuti per correlare esecuzione di gpresult, script PowerShell e picchi LDAP.

Sul fronte falsi positivi, i tool di gestione come Microsoft Advanced Group Policy Management, gli agent di Configuration Manager e le soluzioni di audit (Netwrix, Quest) generano attività legittima massiva: vanno inseriti in allowlist per identità e host. Anche gli script di logon aziendali possono richiamare gpresult.

Sul piano preventivo, D3FEND suggerisce controlli di User Account Permissions (limitare enumerazione LDAP ad account privilegiati) e segmentazione delle workstation amministrative in PAW (Privileged Access Workstation). L'attivazione di LDAP Channel Binding e Signing e la revisione dei permessi ACL su SYSVOL riducono la superficie di ricognizione anonima.

L'analisi forense di T1615 richiede la ricostruzione di una timeline che intreccia artefatti di esecuzione, tracce PowerShell, log del domain controller e residui filesystem su SYSVOL. Il punto di partenza sull'endpoint compromesso sono gli artefatti di execution: Prefetch (C:\Windows\Prefetch\GPRESULT.EXE-.pf) conferma esecuzione e ultimo timestamp fino a otto occorrenze, ShimCache (SYSTEM\ControlSet001\Control\Session Manager\AppCompatCache) e Amcache (C:\Windows\AppCompat\Programs\Amcache.hve) forniscono evidenze aggiuntive di gpresult.exe e di eventuali binari third-party come SharpHound.exe. Strumenti come PECmd, AmcacheParser e AppCompatCacheParser di Eric Zimmerman (open source) sono lo standard per l'estrazione.

Secondo pilastro: PowerShell. Il file Microsoft-Windows-PowerShell%4Operational.evtx contiene gli EventID 4104 (script block) e 4103 (module logging), che rivelano funzioni come Get-DomainGPO anche quando l'attaccante ha cancellato script sorgente. La history utente in %AppData%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt spesso sopravvive alla cancellazione dei file principali ed è oro forense. Il transcript, se abilitato via GPO, contiene l'output completo dei comandi.

Sul domain controller la fonte primaria è Security.evtx con EventID 4662 (accessi a oggetti directory). Filtrando per ObjectType corrispondente a groupPolicyContainer si isolano le enumerazioni; correlando SubjectUserName e SubjectLogonId con gli eventi 4624 (logon) si identifica l'host sorgente. EventID 5145 (share access) su SYSVOL documenta la lettura dei file GPO: pattern di accesso ricorsivo a *Policies{GUID}* da un singolo account in tempo compresso indica ricognizione automatizzata.

Gli artefatti di rete completano il quadro: pcap o metadati Zeek/Suricata mostrano query LDAP verso la porta 389/636 con filtri contenenti objectClass=groupPolicyContainer, e traffico SMB verso \\SYSVOL con enumerazione directory.

Sul filesystem attaccante, la presenza di file di output come report.html (default di gpresult /h), file .json o .zip generati da SharpHound (formato YYYYMMDDHHMMSS_BloodHound.zip) è indizio diretto. La ricerca via KAPE (gratuito) con target dedicati accelera la raccolta.

Sul piano casistico, la campagna C0049 (Leviathan Australian Intrusions, 2022) ha documentato enumerazione Active Directory estensiva post-compromissione, coerente con pattern LDAP massivi sui DC. Il gruppo G0010 (Turla) utilizza gpresult come parte della survey iniziale di ogni sistema al check-in, un comportamento distintivo che il forensicatore deve cercare nei primi minuti dopo la prima connessione C2. Il malware DUSTTRAP (S1159) e LunarWeb (S1141) hanno capacità native di raccolta GPO che possono lasciare stringhe caratteristiche nei dump di memoria estratti con Volatility 3 (open source).

La ricognizione delle Group Policy è un comportamento trasversale ma con adozione documentata più limitata rispetto ad altre tecniche di discovery, il che la rende un indicatore ad alta specificità quando osservata. I dati MITRE ATT&CK associano formalmente 1 gruppo APT, 5 famiglie software e 1 campagna a T1615.

G0010 (Turla) rappresenta il caso di studio più maturo. Attore storicamente associato a operazioni di cyber-espionage di lungo corso contro obiettivi governativi, diplomatici e della difesa, Turla integra gpresult nella propria routine di survey iniziale post-compromissione. Il pattern è coerente con una dottrina operativa che privilegia strumenti living-off-the-land per minimizzare la detection nelle prime fasi e ottimizzare la scelta del payload successivo in base alle restrizioni GPO rilevate (AppLocker, WDAC, restrizioni PowerShell).

Sul fronte software, l'arsenale è eterogeneo. Empire (S0363) e BloodHound (S0521) sono tool offensivi open source ampiamente adottati sia da red team legittimi sia da attori criminali e state-sponsored, il che rende la loro presenza da sola un indicatore debole ma pesantemente contestualizzabile. Emissary (S0082) è malware associato storicamente ad attori cinesi con targeting su settori governativi. LunarWeb (S1141) e DUSTTRAP (S1159) sono famiglie più recenti: DUSTTRAP in particolare è stato attribuito a operazioni con targeting su settori tecnologici e telecomunicazioni, con capacità modulari che includono la raccolta GPO come parte di un profiling ambientale strutturato.

La campagna C0049 (Leviathan Australian Intrusions, aprile-settembre 2022) offre un caso operativo concreto. Leviathan (noto anche come APT40, TEMP.Periscope, MUDCARP) è un gruppo state-sponsored con targeting storico su settori marittimo, difesa e ricerca accademica in area Indo-Pacifico. Le intrusioni australiane hanno mostrato un pattern coerente: sfruttamento di servizi esposti, cattura estensiva di credenziali, enumerazione Active Directory approfondita (inclusi GPO), privilege escalation, lateral movement e infine esfiltrazione mirata di dati sensibili. La durata pluri-mensile delle operazioni indica una postura di low and slow dove la ricognizione GPO è funzionale a evitare policy di detection e a identificare account amministrativi controllabili tramite modifiche a criteri di gruppo.

Il trend osservabile è che T1615 raramente è un evento isolato: appare in cluster con T1069.002 (Domain Groups), T1087.002 (Domain Account) e T1482 (Domain Trust Discovery). Per un TI officer, la co-occorrenza di questi comportamenti nella stessa finestra temporale su un singolo host è il pattern di priorità massima. La probabile evoluzione nel medio termine include maggiore uso di query LDAP dirette (bypassando gpresult) e di API Graph in ambienti ibridi Entra ID.

MITRE ATT&CK: tecnica T1615, tattica TA0007, gruppo G0010, software S0082, S0363, S0521, S1141, S1159, campagna C0049, detection DET0055 / AN0152. Riferimenti a MITRE D3FEND per artefatti e controlli difensivi (Process, LDAP query, User Account Permissions). Contenuti operativi su tool (PowerView, BloodHound/SharpHound, Impacket, KAPE, Volatility 3, Eric Zimmerman tools, Sysmon) integrati da conoscenza professionale di cybersecurity verificata su documentazione e repository ufficiali.