Interrogazione del Registro: Query Registry (T1012)
La tecnica Query Registry descrive l'interazione degli attaccanti con il Registro di Windows per raccogliere informazioni su sistema operativo, configurazione, software installato e impostazioni di sicurezza. Il Registro è una miniera di dati strutturati: dalle chiavi che elencano i programmi installati sotto Uninstall, ai parametri di rete, fino ai riferimenti a client di accesso remoto come PuTTY, TeamViewer o Terminal Services Client. Un'interrogazione mirata restituisce all'attaccante un quadro dettagliato dell'ambiente senza dover eseguire strumenti rumorosi.
La tecnica è mappata sulla tattica TA0007 (Discovery) e rientra tipicamente nella fase post-compromise, subito dopo l'Initial Access e prima del Lateral Movement. Serve a orientare l'operatore: capire dove si trova, quali difese sono presenti, quali percorsi di movimento laterale esistono e se vale la pena procedere con l'infezione completa o abbandonare la vittima (una scelta comune per evitare sandbox e ambienti di analisi).
I numeri raccontano la diffusione del pattern: 19 gruppi APT documentati, 98 famiglie di malware e una campagna (Operation Wocao) tracciata da MITRE. Da RAT commodity come njRAT fino a impianti sofisticati come SUNBURST e TEARDROP, l'interrogazione del Registro è un denominatore comune. La strumentazione preferita spazia dall'utility nativa reg.exe alle API RegQueryValueExA e RegEnumKeyW, passando per WMI e PowerShell.
In un ingaggio red team, l'interrogazione del Registro serve a profilare rapidamente l'endpoint compromesso senza scaricare tool aggiuntivi. Il punto di partenza è quasi sempre reg.exe, presente nativamente su ogni versione moderna di Windows.
Per enumerare i programmi installati, il comando canonico è:
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall" /s
Per identificare le sessioni PuTTY salvate — un pattern osservato in Operation Wocao — si utilizza:
reg query "HKCU\Software\SimonTatham\PuTTY\Sessions"
Per scoprire i server RDP contattati di recente, replicando ciò che fanno APT41 e Chimera:
reg query "HKCU\Software\Microsoft\Terminal Server Client\Default"
Sul fronte della persistence recon, le classiche Run keys si interrogano con reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" e l'equivalente HKLM. Per verificare se il sistema è in una VM o sandbox — approccio usato da FinFisher e SodaMaster — si controllano chiavi come HKLM\HARDWARE\DESCRIPTION\System alla ricerca di stringhe VMware, VBOX o QEMU.
Da PowerShell, il provider Registry:: consente query più eleganti e integrabili in script di discovery:
Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion" | Select ProductName, CurrentBuild
Per un approccio più strutturato in lab, PowerSploit (open source, archiviato ma ancora funzionale) offre il modulo Get-RegistryAlwaysInstallElevated che verifica una misconfigurazione critica per l'escalation. SILENTTRINITY (open source) implementa la funzione GetRegValue che interroga HKCU\Software\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated per la stessa finalità.
Per operazioni C2-driven, framework commerciali come Cobalt Strike (a pagamento) offrono il comando shell reg query direttamente attraverso il Beacon, mentre alternative open source come Sliver (open source) e Havoc (open source) espongono funzionalità analoghe. In un red team maturo, la query del Registro si combina con il modulo Seatbelt di GhostPack (open source), che raccoglie decine di chiavi rilevanti in un'unica esecuzione: informazioni AV installato, policy AppLocker, credenziali salvate, chiavi RDP e configurazioni di PowerShell logging.
Lato OPSEC, conviene evitare reg query /s su hive interi: genera un volume di accessi anomalo e facilmente correlabile. Preferire query mirate su chiavi specifiche riduce l'impronta sui log Sysmon EventCode 12/13/14.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo