Enumerazione Processi: Process Discovery (T1057)

In un ingaggio red team, l'enumerazione dei processi è tra le prime azioni post-exploitation. Su Windows il comando canonico è tasklist /v che restituisce nome, PID, sessione e utente proprietario. La variante tasklist /svc mappa i servizi ai processi ospitanti, utile per identificare svchost specifici, mentre tasklist /m elenca i moduli caricati per ogni processo — informazione preziosa per individuare DLL di EDR o hook di sicurezza.

In PowerShell il cmdlet Get-Process offre output oggetto-orientato integrabile in pipeline. Per ottenere anche il path dell'eseguibile e la command line completa conviene interrogare WMI: Get-WmiObject Win32_Process | Select Name, ProcessId, ParentProcessId, CommandLine. Questo approccio rivela argomenti sensibili passati a linea di comando, come password o token.

Per operazioni più stealth, l'invocazione diretta delle API native tramite C# o C++ evita di spawnare processi figli sospetti. La sequenza CreateToolhelp32Snapshot → Process32First → Process32Next replica l'enumerazione senza toccare binari LOLBAS. Alternative moderne come NtQuerySystemInformation con la classe SystemProcessInformation forniscono l'elenco completo bypassando alcuni hook user-mode.

Su Linux la scelta ricade su ps aux o ps -ef per output completo. L'enumerazione diretta di /proc — iterando le directory numeriche e leggendo /proc/[PID]/cmdline, /proc/[PID]/exe e /proc/[PID]/status — è più silenziosa e permette filtri custom senza dipendere dal binario ps (che potrebbe essere sostituito da rootkit). Su macOS ps aux funziona identicamente e AppleScript può interrogare le applicazioni GUI con System Events.

In ambiente ESXi il comando esxcli system process list fornisce dettagli su tutti i processi del VMkernel, mentre su router Cisco IOS il classico show processes cpu aiuta a identificare processi ad alto consumo, potenziale target per interferenza operativa.

Strumenti da laboratorio utili includono Sliver (open source), Mythic (open source) e Cobalt Strike (a pagamento) che integrano moduli di process discovery nel loro post-exploitation toolkit. SharpHound (open source) e PowerSploit (open source) offrono cmdlet dedicati all'enumerazione arricchita. Per simulazioni realistiche, Atomic Red Team (open source) include atomici mappati esplicitamente su T1057, riproducibili in lab per validare la copertura di detection.

La detection di T1057 richiede analisi comportamentale piuttosto che signature statiche, perché tasklist e ps sono strumenti nativi utilizzati quotidianamente dagli amministratori. La chiave sta nel contestualizzare l'esecuzione: chi lancia il comando, da quale processo padre e in quale sequenza rispetto ad altre attività.

Su Windows le log source primarie sono Security (EventCode 4688 per process creation con command line, se abilitato Include command line in process creation events) e Sysmon (open source) con EventCode 1. Un pattern ad alto valore è l'esecuzione di tasklist.exe o cmd.exe /c tasklist con parent process anomalo: winword.exe, excel.exe, outlook.exe, mshta.exe o wscript.exe indicano quasi sempre esecuzione da macro o script malevolo. Analogo discorso per powershell.exe che invoca Get-Process subito dopo un download cradle.

La correlazione temporale è fondamentale: un singolo tasklist è rumore, ma una sequenza in pochi secondi di whoami, systeminfo, net user, tasklist, ipconfig è la firma comportamentale di un discovery burst tipico post-exploitation. Regole Sigma che raggruppano eventi 4688 per host e utente in finestre di 60-120 secondi offrono alta precisione.

Su Linux il tuning ruota attorno a auditd con regole su execve per binari come ps, top, htop e su openat verso path /proc/[0-9]/*. Un utente non-root che itera massivamente su /proc leggendo cmdline e status è un forte indicatore. osquery (open source) con la tabella processes correlata a process_events consente hunt retroattive efficaci.

Su macOS la Unified Log traccia esecuzioni via ps e launchctl; particolare attenzione va a invocazioni tramite osascript o shell non interattive da cron. Su ESXi il log shell.log registra ogni comando eseguito nella ESXi Shell — l'esecuzione di esxcli system process list da utenti diversi da root abituali o da sessioni SSH non attese merita alert immediato. Sui network device i syslog TACACS+ o AAA accounting mostrano ogni show processes eseguito con username associato.

I falsi positivi principali derivano da tool di monitoraggio legittimi (SCCM, Nagios, agent EDR), script di inventory e sessioni di troubleshooting di sysadmin. La whitelist va costruita sui parent process legittimi (services.exe per servizi noti, agent path specifici) e sugli account di service documentati. Un approccio efficace è il baseline per host: se una workstation contabile non ha mai eseguito tasklist in 90 giorni e improvvisamente lo lancia dopo un'apertura di allegato Office, l'alert ha altissima confidenza.

L'analisi forense di T1057 si muove su tre piani: evidenze di esecuzione, artefatti di comando e timeline correlata. Su Windows l'esecuzione di tasklist.exe lascia tracce in diversi artefatti di execution evidence: Prefetch (C:\Windows\Prefetch\TASKLIST.EXE-.pf*) con timestamp di prima e ultima esecuzione, contatore di run count e file caricati; Amcache.hve con hash SHA1 del binario e path completo; UserAssist nel registry dell'utente per esecuzioni interattive via Explorer.

Se Sysmon era attivo, gli EventCode 1 con command line completa forniscono l'evidenza più ricca, includendo ParentImage, ParentCommandLine, User e IntegrityLevel. In assenza di Sysmon, i 4688 nel Security log sono utili solo se la GPO Include command line era abilitata. Il ScriptBlock logging di PowerShell (EventCode 4104 in Microsoft-Windows-PowerShell/Operational) cattura invocazioni di Get-Process anche quando offuscate.

Un artefatto spesso trascurato è il file temporaneo di output. La campagna C0006 (Operation Honeybee) ha utilizzato cmd /c tasklist > %temp%\temp.ini, redirect verso %TEMP%. Anche se il file viene cancellato, tracce possono persistere in $MFT, $LogFile o USN Journal con nome, timestamp di creazione e size. La correlazione tra Prefetch di tasklist.exe e comparsa di file temp con estensioni anomale (.ini, .tmp, .dat) in %TEMP% o %APPDATA% è un forte pivot investigativo.

Su Linux la ricostruzione parte da bash history (~/.bash_history, ~/.zsh_history), da auditd se configurato per tracciare execve, e dai log di utmp/wtmp per correlare sessioni utente. L'accesso a /proc/[PID]/ non lascia tracce native sul filesystem, ma auditd con regole su openat verso /proc//status* o /proc//cmdline* cattura il pattern. Verificare l'integrità di /bin/ps con hash noti è essenziale, poiché rootkit userland come Diamorphine o campioni citati (S1078 RotaJakiro) sostituiscono utility di sistema per nascondere processi.

Su macOS la Unified Log conserva execve per giorni e quarantine database traccia binari scaricati. Su ESXi i file /var/log/shell.log e /var/log/auth.log registrano l'esecuzione di esxcli. La campagna C0056 (RedPenguin) su router Juniper ha visto malware leggere il PID del daemon snmpd — su questi apparati la forensics richiede acquisizione live di show tech-support e dump di memoria via console.

La timeline finale dovrebbe correlare esecuzione discovery, comparsa di file temporanei, successiva attività di lateral movement o credential access, ricostruendo il decision-making dell'attaccante.

L'ubiquità di T1057 tra i gruppi APT ne fa un indicatore comportamentale debole in isolamento, ma il modo in cui viene eseguito rivela signature operative distintive di ciascun attore.

Turla (G0010), gruppo russo storicamente associato all'FSB, esegue tasklist /v al primo check-in di ogni backdoor per fingerprinting ambientale, e le sue RPC backdoor enumerano processi correlati a specifiche porte aperte o named pipe — pattern raffinato che denota focus su lateral movement mirato. Turla combina questa capacità con framework modulari come Uroburos e Kazuar, entrambi dotati di comandi Process List nativi.

APT28 (G0007), attribuito al GRU russo, integra Process Discovery all'interno dei suoi loader Trojan per verificare la presenza di explorer.exe prima di procedere con permission escalation. Questo approccio pragmatico riflette la maturità operativa del gruppo, che utilizza tool proprietari come JHUHUGIT, ADVSTORESHELL, XAgentOSX e Zebrocy — quest'ultimo notevole per l'uso combinato di tasklist e wmic process get Capture, ExecutablePath per acquisire path eseguibili.

Lazarus Group (G0032) e il sotto-cluster APT38 (G0082), riconducibili alla Corea del Nord, mostrano un pattern peculiare: raccolgono anche i process times, informazione utile a stimare uptime del sistema e finestre operative. APT38 utilizza addirittura Sysmon deployato dall'attaccante per mappare processi e servizi dell'organizzazione — inversione ironica dello strumento difensivo. L'arsenale include Bankshot, KEYMARBLE, Dtrack, TAINTEDSCRIBE e DRATzarus, tutti con capacità di enumerazione processi finalizzata a detection di debugger e sandbox.

Volt Typhoon (G1017), threat actor cinese focalizzato su infrastrutture critiche statunitensi, utilizza tasklist come parte del suo playbook living-off-the-land. La campagna KV Botnet Activity (C0035) ha visto script di enumerazione processi finalizzati a identificare software di sicurezza e altre famiglie di botnet concorrenti da disabilitare prima dell'installazione — pattern di territorial malware condiviso con TeamTNT (G0139) che cerca specificamente processi aliyun e liyun di Alibaba Cloud Security.

UNC3886 (G1048), protagonista della campagna C0056 (RedPenguin) contro router Juniper, ha esteso Process Discovery a domini non convenzionali eseguendo script per listare processi guest VM da host ESXi. Questa evoluzione verso hypervisor e network device conferma un trend strategico: gli attori avanzati considerano ormai virtualization layer e edge networking come terreno operativo primario.

Campagne come C0024 (SolarWinds Compromise) di APT29, C0012 (Operation CuckooBees) attribuita a Winnti/APT41/BARIUM e C0014 (Operation Wocao) confermano che Process Discovery precede sempre azioni di alto impatto — è il momento in cui l'attaccante decide se investire ulteriormente sul target o abbandonarlo.

MITRE ATT&CK T1057 (Process Discovery), tattica TA0007 (Discovery). Campagne citate: C0001 Frankenstein, C0006 Operation Honeybee, C0007 FunnyDream, C0012 Operation CuckooBees, C0014 Operation Wocao, C0015, C0024 SolarWinds Compromise, C0035 KV Botnet Activity, C0056 RedPenguin. MITRE D3FEND per mapping difensivo. Il documento integra conoscenza professionale verificata su tool citati (Sysmon, osquery, Sigma, Atomic Red Team, Sliver, Mythic, PowerSploit, SharpHound) per comandi operativi e artefatti forensi.