Avvio in Modalità Provvisoria: Safe Mode Boot (T1688)
La tecnica T1688 - Safe Mode Boot consiste nell'abuso della modalità provvisoria di Windows per neutralizzare le difese endpoint. Quando il sistema operativo viene avviato in Safe Mode, carica solo un set minimo di driver e servizi, e la maggior parte delle soluzioni EDR e antivirus di terze parti non si avvia automaticamente in questa modalità. L'attaccante sfrutta questa finestra di cecità per operare indisturbato, tipicamente eseguendo routine di cifratura ransomware o disabilitando controlli di sicurezza persistenti.
La tecnica si colloca nella tattica TA0112 (Defense Impairment) e viene utilizzata prevalentemente nelle fasi finali della kill chain, immediatamente prima dell'Impact. L'abuso avviene attraverso modifiche al Boot Configuration Data tramite l'utility bcdedit, oppure aggiungendo servizi malevoli alle chiavi di registro SafeBoot, o ancora registrando oggetti COM che vengono caricati anche in modalità ridotta.
L'impatto operativo è significativo: i dati MITRE documentano 7 famiglie malware che implementano questa capacità, tutte appartenenti all'ecosistema ransomware moderno. Tra queste figurano REvil, AvosLocker, Black Basta, LockBit 3.0, RansomHub, Qilin ed Embargo. La convergenza di così tanti operatori RaaS sulla stessa tecnica indica un'adozione ormai standardizzata come misura anti-EDR nelle catene d'attacco ransomware contemporanee.
In un contesto di red team autorizzato, la simulazione di T1688 richiede un ambiente lab isolato (macchine virtuali VMware o Hyper-V) perché il riavvio forzato in Safe Mode può compromettere la disponibilità del sistema target.
La modifica del Boot Configuration Data avviene tramite l'utility nativa di Windows bcdedit.exe, che richiede privilegi amministrativi elevati. Il comando standard usato dai ransomware come Black Basta è:
bcdedit /set {current} safeboot network
La variante senza networking usa il parametro minimal al posto di network. Per pianificare il riavvio successivo si combina con shutdown /r /t 0. Per ripristinare il boot normale in fase di cleanup del lab: bcdedit /deletevalue {current} safeboot.
La seconda catena d'attacco riguarda l'aggiunta di servizi persistenti alle chiavi di registro che governano il caricamento in Safe Mode. Le chiavi target sono HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal e HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network. Aggiungendo una sottochiave con il nome del servizio malevolo e valore predefinito Service, il payload viene caricato anche in modalità ridotta. Il comando reg add nativo permette l'operazione senza tool esterni.
Per un'emulazione realistica dell'intera catena ransomware, il framework Atomic Red Team (open source) mantenuto da Red Canary include atomic test specifici per T1688 che automatizzano la modifica BCD e il riavvio controllato. Caldera (open source) di MITRE offre plugin di emulazione per scenari Defense Impairment che possono essere concatenati.
Per valutare l'efficacia difensiva, uno scenario completo dovrebbe includere: escalation a SYSTEM tramite un vettore preesistente (es. abuso di token o servizio vulnerabile), modifica BCD, registrazione di un servizio dummy nella chiave SafeBoot\Network, riavvio pianificato, verifica che l'agente EDR non si carichi e che il servizio malevolo sia invece attivo. Il test misura sia la detection preventiva (alert sul comando bcdedit) sia la resilienza post-boot dell'EDR.
Strumenti utili per il monitoraggio del lab durante l'esercizio: Sysmon (gratuito, Microsoft Sysinternals) con configurazione SwiftOnSecurity o Olaf Hartong modular config (entrambe open source) per catturare gli eventi Process Creation e Registry. Process Monitor (gratuito) è utile per osservare in tempo reale le modifiche al registro durante l'esecuzione del payload.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo