Enumerazione Storage Locale: Local Storage Discovery (T1680)

In un ingaggio red team la ricognizione dello storage locale è un'operazione a basso rumore che paga bene: consente di stimare rapidamente se un host merita approfondimento (dimensione dei dischi, presenza di volumi montati inusuali, share amministrativi).

Su Windows il punto di partenza classico è PowerShell. Il cmdlet Get-PSDrive restituisce drive letter, provider e spazio libero senza generare artefatti evidenti se già si dispone di una sessione interattiva. Un'alternativa è wmic logicaldisk get name,size,freespace,description — comando che il gruppo PUBLOAD utilizza per mappare drive di rete. Per ottenere il serial number di un volume, ripreso dalla campagna C0017 di APT41, si usa la one-liner cmd /c dir c:\ | findstr Number. Chi preferisce le API native può invocare GetLogicalDrives e GetDriveTypeW da un loader in C/C++, riproducendo il comportamento visto in Ryuk e Royal.

Su Linux la sequenza minima per un profilo completo è lsblk -o NAME,SIZE,FSTYPE,MOUNTPOINT, df -hT e fdisk -l (quest'ultimo richiede privilegi root). Per dettagli hardware lshw -class disk -short aggiunge vendor e modello. Su macOS diskutil list e system_profiler SPStorageDataType coprono l'inventario; df -h funziona come su Linux ed è quello che macOS.OSAMiner invoca per verificare spazio prima di deployare il miner.

Su ESXi, dopo aver ottenuto shell via SSH, esxcli storage filesystem list elenca i datastore mentre vim-cmd vmsvc/getallvms mappa le VM residenti, propedeutico a colpire i file .vmdk.

Sul fronte tooling, in laboratorio si possono usare:

• CrackMapExec/NetExec (open source): il modulo di enumerazione remota include la scoperta di drive di sistema tramite WMI su host raggiunti con credenziali valide
• SILENTTRINITY (open source): framework post-exploitation .NET che espone moduli per raccogliere info su drive locali
• Impacket (open source): wmiexec.py consente di lanciare wmic remotamente per enumerazioni cross-host
• PowerSploit / PowerView (open source): script PowerShell per ricognizione, utili in scenari AssumeBreach

La best practice per un red team maturo è incapsulare queste chiamate in wrapper che randomizzano l'ordine dei comandi e introducono jitter, evitando pattern deterministici che le detection comportamentali intercettano facilmente. Documentare nel report ogni comando eseguito e l'output raccolto è essenziale per correlare la fase Discovery con le successive scelte di Lateral Movement o Impact.

La detection di Local Storage Discovery si gioca su tre assi: chi esegue il comando, in quale contesto shell e con quale parent process. Il rumore di fondo è alto — script di inventario, agent EDR, backup software e software di monitoraggio interrogano regolarmente lo storage — quindi la strategia vincente è la baseline comportamentale più che la firma statica sul comando.

Su Windows la telemetria primaria arriva da Sysmon Event ID 1 (process creation) e Event ID 4688 del Security log con command-line auditing abilitato. Le query da mettere in watchlist includono l'esecuzione di wmic.exe con argomento logicaldisk, di powershell.exe con Get-PSDrive o Get-WmiObject Win32_LogicalDisk, di fsutil.exe fsinfo drives e di vssadmin list shadows (visto in Chimera). Il fattore discriminante è il parent process: se il padre è explorer.exe durante orario lavorativo l'evento è probabilmente benigno; se è w3wp.exe, sqlservr.exe, un binario in %TEMP% o una sessione wmiprvse.exe originata da rete, la fidelity sale drasticamente. Il user context è l'altro pivot: enumerazioni eseguite da account di servizio o utenti standard che non hanno mai storicamente usato quei comandi meritano triage immediato.

Su Linux la fonte è auditd con regole SYSCALL/EXECVE che tracciano l'esecuzione di lsblk, fdisk, parted, lshw e df. Una regola efficace filtra per TTY: comandi eseguiti senza TTY interattivo (quindi da script, cron o reverse shell) sono statisticamente più sospetti. Correlare con il parent shell — se il genitore è bash originato da sshd di un IP esterno o da un processo web-server, il segnale è forte.

Su macOS l'Unified Log cattura invocazioni di diskutil e system_profiler; l'anomalia da cacciare è l'esecuzione da parte di LaunchAgent non firmati o da GUI app non standard.

Su ESXi i log hostd e auth registrano sessioni SSH e comandi esxcli. La regola d'oro è: qualsiasi esxcli storage eseguito da un IP sorgente diverso dai jump host di amministrazione noti va escalato.

Per ridurre falsi positivi conviene mantenere un allow-list di script di inventario aziendali (agent SCCM, Ansible, Nagios, backup client) e concentrarsi sulle deviazioni. Un pattern ad alto valore è la catena discovery: enumerazione dischi seguita entro pochi minuti da enumerazione share (net view), enumerazione processi e query LDAP — indicatore quasi certo di post-exploitation attiva. Alert singoli hanno poco valore; la correlazione temporale multi-tecnica è ciò che trasforma il segnale in incidente.

L'analisi forense di Local Storage Discovery si concentra sulla ricostruzione della finestra temporale in cui l'attaccante ha profilato il sistema e sulla correlazione con le azioni successive. Gli artefatti utili sono numerosi ma effimeri: la scoperta stessa raramente scrive file persistenti, quindi la timeline dipende da execution artifacts di sistema.

Su Windows le fonti primarie sono:

• Prefetch (C:\Windows\Prefetch*): la presenza di WMIC.EXE-.pf, FSUTIL.EXE-.pf* o POWERSHELL.EXE-.pf* con timestamp di esecuzione permette di collocare il comando nella timeline. Tool come PECmd di Eric Zimmerman (open source) parsano rapidamente questi file.
• PowerShell Operational log (Microsoft-Windows-PowerShell/Operational): con ScriptBlock Logging (Event ID 4104) attivo si recuperano i cmdlet completi, inclusi Get-PSDrive, Get-WmiObject Win32_LogicalDisk e chiamate a Get-Volume.
• ShimCache e Amcache.hve: registrano l'esecuzione di binari come wmic.exe e fsutil.exe anche in assenza di Sysmon. AmcacheParser (open source) estrae SHA1, path e first execution time.
• Registry key HKLM\SYSTEM\CurrentControlSet\Services\Disk\Enum: interrogata da JHUHUGIT per ottenere identificatori hardware; l'accesso non lascia traccia diretta ma la chiave stessa è pivot per capire cosa l'attaccante avrebbe visto.
• Security Event 4688 e Sysmon Event 1: se disponibili, forniscono command-line completa e parent process.

Su Linux auditd con regole appropriate scrive in /var/log/audit/audit.log ogni execve; in assenza di auditd si ripiega su .bash_history dell'utente compromesso, last, lastb e i log di sshd per correlare la sessione. Il tool auditbeat (open source) o ausearch (open source, incluso in auditd) semplificano il parsing.

Su macOS l'Unified Log si interroga con log show --predicate 'process == "diskutil"' --last 7d; mac_apt (open source) automatizza l'estrazione di questi artefatti da un'immagine forense.

Le campagne documentate offrono riferimenti utili. In Operation Wocao (C0014, 2017-2019) gli operatori hanno raccolto marca e modello dei dischi come parte del profiling iniziale — cercare nei log evidenze di enumerazione hardware combinata a comandi di inventario è coerente con quel TTP. In C0017 (APT41, 2021-2022) la firma è la one-liner ping -n 1 combinata con cmd /c dir per estrarre il volume serial number: un pattern molto specifico, facilmente grep-abile nei log PowerShell o nei Prefetch. Nella SolarWinds Compromise (C0024) APT29 usava fsutil per verificare lo spazio prima di operazioni pesanti — la sequenza fsutil volume diskfree seguita da creazione di file grandi è un pattern forense caratteristico.

La timeline finale deve correlare l'esecuzione di comandi discovery con l'attività immediatamente successiva (mount di share, drop di payload, cifratura) per attribuire il contesto operativo corretto.

Local Storage Discovery è una tecnica che attraversa praticamente tutti i profili avversariali documentati, ma la sua declinazione operativa varia significativamente per motivazione e origine geografica.

Lazarus Group (G0032), attribuito alla Corea del Nord, integra la discovery dello storage in molteplici varianti malware inclusa una variante Destover-like che invia le informazioni sullo spazio disco al C2. La logica è coerente con il modus operandi del gruppo: raccolta massiva di telemetria dal target per decidere se meritevole di ulteriori investimenti operativi. Il malware FALLCHILL, HOPLIGHT, BLINDINGCAN e TAINTEDSCRIBE — tutti attribuiti all'ecosistema Lazarus — condividono routine di enumerazione dischi molto simili, suggerendo code reuse interno.

APT41 (implicato in C0017) mostra un approccio più opportunistico e agile: nella campagna 2021-2022 contro almeno sei reti governative statali USA, il gruppo ha usato one-liner cmd nativi (ping + dir + findstr) per estrarre volume serial number, evitando strumenti custom facilmente firmabili. Questa preferenza per LOLBins è un tratto distintivo dei gruppi cinesi maturi, che privilegiano la stealth sull'automazione.

Volt Typhoon (G1017), attore statale cinese focalizzato su infrastrutture critiche USA, enumera file system type, drive name, size e free space come parte di una ricognizione persistente e a bassa velocità tipica delle operazioni di pre-positioning. Il pattern è coerente con obiettivi di lungo periodo che richiedono comprensione approfondita dell'ambiente prima di qualsiasi azione impattante.

Kimsuky (G0094), gruppo nordcoreano orientato allo spionaggio contro Corea del Sud e think tank, integra l'enumerazione dischi nei propri toolkit KGH_SPY e KONNI. Higaisa (G0126), altro attore della penisola coreana, si concentra sul volume serial number come identificatore univoco della vittima — pattern replicato in yty, Zebrocy, CORESHELL e SampleCheck5000 per fingerprinting anti-analisi e tracking delle infezioni.

ToddyCat (G1022), attivo contro entità governative asiatiche ed europee, si distingue per la granularità: raccoglie modello, vendor e serial number dei drive bootable, dato utile sia per anti-VM sia per selezionare vittime di interesse strategico.

Un trend cross-cutting è l'uso di questa tecnica nelle famiglie ransomware moderne: Ryuk, REvil, BlackCat, Black Basta, Royal, LockBit 2.0/3.0, Babuk, Medusa, Qilin, INC e HELLOKITTY enumerano tutti i drive logici prima della cifratura per massimizzare l'impatto e includere volumi nascosti o montati dinamicamente. I wiper — WhisperGate, HermeticWiper, ZeroCleare, ROADSWEEP, KillDisk — usano la stessa enumerazione per distruzione mirata, spesso combinandola con IOCTL di basso livello per accesso diretto al volume. La lezione strategica è che Local Storage Discovery non è mai un endpoint: è sempre il prologo di un'azione più consistente (esfiltrazione, cifratura o distruzione) e va trattata come indicatore di fase avanzata dell'intrusione.

MITRE ATT&CK T1680 (Local Storage Discovery), tattica TA0007 (Discovery). Campagne citate: C0014 (Operation Wocao), C0017 (APT41), C0024 (SolarWinds Compromise). MITRE D3FEND per mapping tecniche difensive. Analytics MITRE DET0188 (AN0536-AN0539). Parte del contenuto operativo (comandi, tool, artefatti forensi) integra conoscenza professionale di cybersecurity su strumenti open source verificabili (Sysmon, auditd, PECmd, AmcacheParser, mac_apt, CrackMapExec/NetExec, SILENTTRINITY, Impacket).