Modifica del Registro: Modify Registry (T1112)

In un red team engagement la manipolazione del Registro serve tre obiettivi: persistenza silenziosa, disabilitazione dei controlli e staging di payload. La forma più basilare è l'aggiunta di una chiave Run, replicando comportamenti visti in PLAINTEE o Amadey:

reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v Updater /t REG_SZ /d "C:\Users\Public\payload.exe" /f

Per simulare Wizard Spider e forzare la cache di credenziali in chiaro tramite WDigest:

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

Dopo il logon successivo, Mimikatz (open source) tramite sekurlsa::logonpasswords estrarrà le credenziali. Per abilitare RDP con RestrictedAdmin come fatto da Aquatic Panda, utile per pass-the-hash senza esporre credenziali plaintext, si agisce su HKLM\SYSTEM\CurrentControlSet\Control\Lsa\DisableRestrictedAdmin impostandolo a 0.

Per bypassare le protezioni Office e abilitare macro (tattica di Gamaredon Group e Kimsuky):

reg add "HKCU\Software\Microsoft\Office\16.0\Word\Security" /v VBAWarnings /t REG_DWORD /d 1 /f

Per indebolire Defender in laboratorio, replicando TA505 e BlackByte, si modificano le chiavi sotto HKLM\SOFTWARE\Policies\Microsoft\Windows Defender impostando DisableAntiSpyware a 1, operazione che richiede SYSTEM.

Sul fronte C2, Cobalt Strike (a pagamento) include comandi built-in per registry operations e permette di droppare payload cifrati in chiavi arbitrarie tramite BOF. Alternative open source includono Sliver (open source) e Havoc (open source), entrambi con moduli per registry manipulation via API dirette anziché reg.exe, riducendo la telemetria di process creation.

Per emulare la tecnica di null-character prepending (chiavi pseudo-nascoste), il tool RegHide di Sysinternals e librerie come PyRegHide dimostrano che chiavi con nomi che iniziano con \0 diventano invisibili a reg.exe e regedit pur restando leggibili via native API NtSetValueKey.

Per lateral movement via Remote Registry, impacket-reg (open source) dal toolkit Impacket permette:

impacket-reg domain/user:pass@target add -keyName HKLM\SYSTEM\... -v ValueName -vt REG_SZ -vd "data"

Richiede il servizio RemoteRegistry attivo e credenziali valide sul target. In ambienti Atomic Red Team (open source), i test T1112 forniscono script pronti per validare la copertura di detection dell'organizzazione senza dover scrivere procedure ex novo.

La detection di T1112 poggia su due pilastri: telemetria granulare degli eventi Registry e correlazione con contesto processo. La base è Sysmon (gratuito) di Sysinternals configurato con un template robusto — quello di SwiftOnSecurity (open source) o Olaf Hartong's sysmon-modular (open source) — che genera EventID 12 (RegistryEvent Object create/delete), EventID 13 (RegistryEvent Value Set) e EventID 14 (RegistryEvent Key/Value Rename).

Senza Sysmon, il canale nativo Security fornisce EventID 4657 (A registry value was modified), ma richiede abilitazione dell'audit tramite auditpol /set /subcategory:"Registry" /success:enable /failure:enable e configurazione delle SACL sulle chiavi target. Questo genera volume elevato: la selezione delle chiavi da auditare è critica.

Le chiavi ad alto valore da monitorare in modo stringente includono le classiche zone di autorun (HKLM\Software\Microsoft\Windows\CurrentVersion\Run e varianti RunOnce, Winlogon\Userinit, Winlogon\Shell), le configurazioni di sicurezza (SecurityProviders\WDigest\UseLogonCredential, Lsa\RunAsPPL, Policies\Microsoft\Windows Defender), i servizi (HKLM\SYSTEM\CurrentControlSet\Services), le Image File Execution Options (usate come backdoor da SUNBURST), e le chiavi Office Security che governano l'esecuzione macro.

Le regole Sigma pubbliche coprono molti di questi pattern: win_registry_persistence_search_order, win_defender_disabled, win_wdigest_enable_uselogoncredential. Sigma è open source e le regole sono convertibili in query per Splunk, Elastic, Sentinel via sigmac o pySigma (open source).

Secondo il framework D3FEND, la contromisura chiave è System Configuration Permissions (D3-SCP) unita a User Behavior Analysis (D3-UBA). In pratica: baseline dei processi che legittimamente scrivono in chiavi sensibili (installer MSI firmati, GPO client, agenti di configuration management) e alert sui delta. Un reg.exe invocato da winword.exe o powershell.exe verso WDigest è un pattern raramente legittimo.

Elementi comportamentali da correlare in una singola detection rule:

• Parent-child lineage anomala (Office o browser che spawnano reg.exe o powershell.exe che scrive registry)
• Chiavi security-sensitive modificate al di fuori delle finestre di patching
• Sequenza modifica WDigest seguita entro 24 ore da logon interattivo — indicatore di harvesting credenziali
• Modifiche multiple a chiavi Defender/AMSI/SmartScreen nello stesso host in breve finestra

I falsi positivi principali arrivano da software di gestione endpoint (SCCM, Intune, Ansible), da installer legittimi durante patch Tuesday, e da script IT amministrativi. La tuning richiede allowlist per hash e signer dei binari, non solo per nome processo, poiché reg.exe è nativo e non discriminante di per sé. EDR commerciali come CrowdStrike Falcon (a pagamento), SentinelOne (a pagamento) e Microsoft Defender for Endpoint (a pagamento) offrono behavioral rules preconfezionate specifiche per T1112.

L'analisi forense del Registro è una disciplina matura con toolkit consolidati. Su un sistema live o su immagine acquisita, gli hive rilevanti risiedono in %SystemRoot%\System32\Config (SYSTEM, SOFTWARE, SECURITY, SAM) e nei profili utente come NTUSER.DAT e UsrClass.dat. Ogni hive mantiene transaction log (.LOG1, .LOG2) che possono contenere modifiche non ancora committate e forniscono material per la ricostruzione temporale.

Lo strumento di riferimento è RegRipper di Harlan Carvey (open source), che tramite plugin estrae informazioni categorizzate: autorun, servizi, USB history, tipped folders, e specificamente chiavi note per essere target di malware. L'esecuzione tipica su una copia offline dell'hive:

rip.pl -r SOFTWARE -f software > software_report.txt

Per analisi più profonda, Registry Explorer di Eric Zimmerman (gratuito) permette navigazione interattiva, parsing di deleted keys residuati nelle unallocated cell, e supporto ai transaction log via Registry Transaction Log Explorer. Il flag deleted records è cruciale: gruppi come FIN8, Bisonal e CHARMPOWER cancellano intenzionalmente le proprie chiavi come parte del cleanup post-compromise, ma le celle deallocate restano leggibili finché non vengono sovrascritte.

Per la timeline, plaso/log2timeline (open source) integra parser Registry con altri artefatti producendo super-timeline consumabili in Timeline Explorer (gratuito). I timestamp LastWriteTime delle chiavi sono l'ancoraggio temporale principale, benché siano granulari solo a livello di chiave e non di singolo valore.

Gli artefatti D3FEND rilevanti includono Registry Key e Registry Value come Digital Artifacts primari, con Process e File come contesto correlato. La correlazione delle LastWriteTime con eventi di process creation (Sysmon EventID 1) e file creation (EventID 11) permette di attribuire modifiche a specifiche esecuzioni.

Casi documentati offrono pattern investigativi:

• Operation Wocao (C0014): verifica del valore UseLogonCredential in WDigest impostato a 1, con timestamp da correlare a successive attività Mimikatz
• 2015 Ukraine Electric Power Attack (C0028): chiavi Internet Settings modificate prima del lancio di rundll32.exe
• Night Dragon (C0002): tracce di zwShell nelle chiavi di configurazione
• SharePoint ToolShell Exploitation (C0058): modifiche a chiavi Defender su server SharePoint attribuibili a Storm-2603

Per chiavi pseudo-nascoste con null character prependuto, gli strumenti Win32 standard falliscono. RegHide detection richiede parsing binario diretto dell'hive: sia RegRipper che Registry Explorer bypassano le API Win32 e leggono la struttura raw, rendendoli capaci di rivelare queste chiavi. Un mismatch tra output di reg query live e Registry Explorer offline sulla stessa chiave è un forte indicatore di questa evasion.

Gli hive di backup in %SystemRoot%\System32\Config\RegBack (deprecati da Windows 10 1803 ma presenti su sistemi legacy) e le Volume Shadow Copies offrono snapshot storici utili per confrontare stati pre e post-compromissione via vssadmin list shadows seguito da mount tramite ShadowExplorer (gratuito).

La popolarità di T1112 attraversa tutto lo spettro degli avversari, dai crimeware ai nation-state, ma emergono cluster distinti per motivazione e sofisticazione.

Wizard Spider, l'organizzazione criminale russofona dietro TrickBot e Ryuk, ha reso operativa su scala industriale la modifica di WDigest\UseLogonCredential a 1 per abilitare cache credenziali in chiaro. Questo TTP è diventato quasi una firma degli attori ransomware post-Wizard Spider: BlackByte, BlackCat, LockBit 2.0 e LockBit 3.0, Medusa Group e Black Basta integrano tutti modifiche Registry per disabilitare Defender, alterare shadow copy behavior, e abilitare recovery-preventing state. La convergenza tecnica riflette la circolazione di operatori tra affiliate program del ransomware-as-a-service.

Gamaredon Group, attribuito al FSB russo e persistentemente attivo contro obiettivi ucraini, presenta un uso distintivo: modifica VBAWarnings e AccessVBOM nelle chiavi Office per disarmare le protezioni macro, e usa HKEY_CURRENT_USER\Console\WindowsUpdate come storage improprio dell'indirizzo C2 — una scelta che sfrutta la scarsa attenzione forense verso chiavi apparentemente di sistema. Turla, altro APT russo di livello superiore, opera in modo più raffinato: storage di payload cifrati in Registro (visibile in ComRAT, RegDuke, PolyglotDuke, TinyTurla), che rappresenta un'architettura fileless matura sviluppata nel corso di oltre un decennio.

Sul versante cinese, APT41, Threat Group-3390 (LuckyMouse) e Aquatic Panda integrano modifiche Registry con obiettivi differenziati: APT41 con GOODLUCK manipola il Registro per credential theft, Threat Group-3390 crea chiavi in HKLM\SYSTEM\CurrentControlSet\services per persistenza di driver malevoli, mentre Aquatic Panda abilita RestrictedAdmin per pass-the-hash via RDP. Volt Typhoon, attore cinese oggetto di alert governativi USA per targeting di infrastrutture critiche, usa netsh per creare PortProxy Registry entries su server compromessi — TTP living-off-the-land coerente con la filosofia stealth del gruppo.

Kimsuky e APT38 (Lazarus subgroup), entrambi nordcoreani, coprono spettri diversi: Kimsuky manipola file associations e macro settings per veicolare intrusion vector, APT38 tramite CLEANTOAD integra Registry manipulation in operazioni finanziarie contro banche SWIFT.

Campagne documentate come Operation Wocao (C0014) e 2015 Ukraine Electric Power Attack (C0028) mostrano come attori state-sponsored integrano queste tecniche in kill chain complesse: Wocao usa la stessa modifica WDigest poi adottata dal crimeware, mentre Sandworm nel 2015 modifica Internet Settings prima di lanciare rundll32.exe verso C2.

La campagna recente SharePoint ToolShell Exploitation (C0058) del 2025, con attribuzione a Storm-2603, Threat Group-3390 e ZIRCONIUM, conferma il trend: exploit di vulnerabilità edge (CVE-2025-53770/53771) seguito da modifiche Registry per disabilitare Defender su server SharePoint on-premises. Il pattern exploit → registry weaken → payload deploy si è consolidato come standard operativo trasversale a threat actor di ogni matrice.

MITRE ATT&CK T1112 Modify Registry, tattiche TA0003 e TA0005. Campagne C0002 Night Dragon, C0006 Operation Honeybee, C0014 Operation Wocao, C0028 2015 Ukraine Electric Power Attack, C0058 SharePoint ToolShell Exploitation. Mitigazione M1024, detection DET0280. MITRE D3FEND per contromisure System Configuration Permissions e User Behavior Analysis. Integrazioni da conoscenza professionale su Sysmon, RegRipper, Registry Explorer, plaso, Impacket, Sigma, Atomic Red Team e regole SwiftOnSecurity/sysmon-modular verificate su repository ufficiali.