Peripheral Device Discovery: Peripheral Device Discovery (T1120)
La tecnica Peripheral Device Discovery raccoglie informazioni sui dispositivi periferici collegati a un sistema: tastiere, stampanti, fotocamere, lettori di smart card, unità rimovibili e persino dispositivi Bluetooth. Rientra nella tattica TA0007 (Discovery), la fase post-compromissione in cui l'attaccante, già ottenuto un punto d'appoggio, si orienta nell'ambiente prima di decidere come muoversi. Enumerare le periferiche non è mai fine a se stesso: serve a capire cosa può essere sfruttato per collezione dati, movimento laterale o distruzione.
Il valore operativo di questa ricognizione è duplice. Per lo spionaggio, individuare una chiavetta USB o un lettore di smart card apre la strada all'esfiltrazione o al furto di credenziali. Per i wiper e i ransomware, mappare unità rimovibili e fisse è il preludio alla cifratura o alla sovrascrittura distruttiva dei file.
L'ampiezza dell'adozione è notevole: i dati MITRE ATT&CK associano 9 gruppi APT, 47 software e 2 campagne documentate a questa tecnica, senza mitigazioni preventive dirette censite. Questo squilibrio racconta molto: bloccare l'enumerazione delle periferiche con controlli preventivi è quasi impossibile, perché sfrutta funzionalità legittime del sistema operativo. La difesa si gioca quindi interamente sul piano del rilevamento comportamentale e della correlazione con le azioni successive, come collezione o cifratura.
Dal punto di vista offensivo, l'enumerazione delle periferiche sfrutta strumenti nativi, il che la rende silenziosa e difficile da distinguere dall'attività amministrativa legittima. È l'approccio living-off-the-land per eccellenza.
Su Windows, i comandi di riferimento sono quelli visti in campo reale. Turla e la campagna Operation CuckooBees hanno utilizzato:
fsutil fsinfo drives
per elencare tutte le unità connesse. Per un'enumerazione più ricca via PowerShell si usano cmdlet nativi:
Get-PnpDevice -PresentOnly | Where-Object { $_.Class -eq 'USB' }
oppure la query WMI:
wmic path Win32_USBControllerDevice get Dependent
Per unità logiche e geometria disco, Get-WmiObject Win32_DiskDrive e Get-Volume restituiscono dettagli su tipo, capacità e supporto rimovibile. Molti malware, come BADNEWS e Machete, non interrogano attivamente ma registrano una finestra e ascoltano il messaggio WM_DEVICECHANGE per intercettare inserimenti in tempo reale: una tecnica riproducibile in un impianto custom.
Su Linux, TeamTNT ha usato lspci per identificare i dispositivi VGA. L'arsenale tipico comprende:
- lsusb — elenco dei dispositivi USB
- lspci — bus PCI, schede video e controller
- lshw -class disk — dettagli hardware degli storage
- udevadm info --query=all --name=/dev/sdb — attributi di un device specifico
- lettura diretta di /proc/partitions e /sys/block/
Su macOS l'enumerazione passa da system_profiler SPUSBDataType per i dispositivi USB e da ioreg -p IOUSB per l'albero I/O Kit. Su host ESXi e ambienti virtualizzati l'attenzione si sposta su datastore e device mappati piuttosto che su USB fisiche.
Per un esercizio red team lab-safe, conviene incapsulare questi comandi in uno script di ricognizione e verificarne la telemetria. Framework come Atomic Red Team (open source) offrono test dedicati a T1120 che eseguono le enumerazioni canoniche e permettono di validare le detection del blue team. Per il post-exploitation, Cobalt Strike (a pagamento) e Sliver (open source) espongono funzioni di host recon che includono l'inventario dei drive. La catena tipica osservata unisce l'enumerazione al successivo monitoraggio degli inserimenti (USBStealer, Crutch) e alla collezione file su media rimovibili, quindi in laboratorio va simulata l'intera sequenza discovery-to-collection, non il solo comando isolato.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo