Interruzione Servizi: Service Stop (T1489)

In un ingaggio red team la simulazione di T1489 va inserita nella fase finale, dopo che sono già stati validati privilege escalation e lateral movement. L'esecuzione richiede quasi sempre contesto SYSTEM o amministratore locale: su Windows conviene ottenerlo tramite token impersonation o service creation con PsExec (open source, Sysinternals) usando la sintassi PsExec.exe -s -i cmd.exe.

Su Windows le vie native sono tre. La più rumorosa è net stop , ereditata da NT ma ancora funzionante: gruppi come Wizard Spider la usano insieme a taskkill /F /IM /T per abbattere backup e antivirus. Il Service Control Manager offre sc.exe stop e sc.exe config start= disabled per persistenza della disabilitazione. La via API, adottata da Olympic Destroyer e Diavol, invoca OpenSCManagerW seguito da ChangeServiceConfigW con SERVICE_DISABLED: è meno visibile a livello command line ma resta tracciabile via Sysmon Event ID 1 sul processo chiamante.

Per laboratori realistici, Atomic Red Team (open source, Red Canary) include atomici pronti sotto T1489 che replicano net stop contro Spooler o W32Time. Caldera (open source, MITRE) permette di orchestrare la catena stop-service → wipe simulato tramite l'ability corrispondente.

Su Linux l'equivalente è systemctl stop seguito da systemctl mask per impedire il riavvio. Simulazioni realistiche di ransomware Linux (EKANS-like) arrestano mysqld, postgresql, docker prima di toccare i data store. Su sistemi legacy vale ancora service stop o l'invocazione diretta degli script in /etc/init.d/.

Su macOS il tool nativo è launchctl: sudo launchctl bootout system/ rimuove un daemon caricato, mentre launchctl disable system/ impedisce il caricamento futuro. Bersagli tipici in scenari offensivi sono com.apple.TimeMachine e agenti EDR di terze parti.

Su ESXi il pattern osservato in LAPSUS$, BlackCat e Cheerscrypt prevede l'accesso SSH all'host e l'uso di esxcli vm process list per enumerare le VM, seguito da esxcli vm process kill --type=force --world-id= per liberare i lock sui file .vmdk prima della cifratura. In alternativa vim-cmd vmsvc/power.off offre uno shutdown più "pulito" ma altrettanto efficace. In laboratorio è essenziale operare su host isolati: uno shutdown forzato può corrompere snapshot e thin-provisioned disks.

La detection di T1489 si fonda sull'osservazione comportamentale della catena elevazione privilegi → arresto servizio critico → azione distruttiva. La finestra temporale tra i tre eventi è il discriminante principale rispetto al rumore di fondo generato da manutenzione ordinaria.

Su Windows le fonti primarie sono Sysmon (open source, Microsoft) con configurazione tipo SwiftOnSecurity, il canale Security e il canale System. Gli eventi da correlare sono EventCode 7036 (Service Control Manager, cambio stato servizio) e EventCode 7040 (cambio startup type, indicatore di sc config ... start= disabled), abbinati a Sysmon Event ID 1 per intercettare le command line di net.exe stop, sc.exe stop, taskkill.exe /F, Stop-Service. L'allerta ad alta fedeltà scatta quando la parent chain risale a processi anomali (Office, browser, LOLBins) o quando il servizio arrestato appartiene a una watchlist: MSExchangeIS, MSSQLSERVER, SQLSERVERAGENT, VSS, Veeam*, agenti EDR. La detection AN0061 suggerisce di baseline-are i tempi tipici di manutenzione (patch Tuesday, finestre di backup) per ridurre falsi positivi.

Un secondo layer intercetta l'uso API diretto: Sysmon Event ID 7 (Image Load) su advapi32.dll combinato con Event ID 8 (CreateRemoteThread) verso processi services.exe è indicatore debole ma utile per malware come Olympic Destroyer e Diavol che invocano ChangeServiceConfigW senza passare da command line.

Su Linux (AN0062) la telemetria si costruisce con auditd: regole su execve per catturare systemctl stop|disable|mask e service ... stop, correlate con syslog/journald messaggi Stopped . Il segnale forte è la sequenza sudo → stop di mysqld/postgresql/docker → unlink o rename massivo sotto /var/lib/.

Su macOS (AN0063) il unified log traccia launchctl bootout e disable; una query log show --predicate 'process == "launchctl"' filtrata su label sensibili individua l'attività. Su ESXi (AN0064) hostd.log e shell.log registrano invocazioni esxcli vm process kill e vim-cmd vmsvc/power.off, spesso precedute da login SSH da IP non appartenenti alla rete di management.

Sul fronte D3FEND le tecniche difensive rilevanti sono Service Binary Verification e Process Lineage Analysis: il primo garantisce che il servizio riavviato non sia stato sostituito, il secondo aggancia lo stop event alla catena genitoriale. I falsi positivi principali arrivano da SCCM, WSUS, script di patching, backup agent e cluster failover: il tuning per ParentProcess, ServiceName e TimeWindow consigliato dalla detection AN0061 è indispensabile.

L'analisi forense di T1489 parte dalla ricostruzione temporale dell'arresto servizi rispetto a cifratura o wiping dei dati. La finestra è tipicamente stretta — minuti, raramente ore — e questo aiuta a delimitare il perimetro.

Su Windows l'artefatto primario è il System Event Log (%SystemRoot%\System32\winevt\Logs\System.evtx). Gli event ID chiave sono 7036 (transizioni Running/Stopped), 7040 (modifica startup type), 7009 e 7031 (timeout e failure che possono seguire uno stop forzato). Il Security.evtx aggiunge 4697 (installazione servizio) e 4688 (process creation, se abilitato) per correlare l'utente che ha emesso il comando. Sul filesystem, la registry hive SYSTEM contiene sotto ControlSet001\Services<nome>\Start il valore modificato: 4 indica disabled. Casi come Industroyer vanno oltre, sovrascrivendo con zero le chiavi in SYSTEM\CurrentControlSet\Services per rendere il sistema non avviabile — un tell forense inequivocabile visibile in dump della hive con RegRipper (open source) o Registry Explorer (gratuito, Eric Zimmerman).

Prefetch (*C:\Windows\Prefetch*) conserva evidenze di esecuzione di net.exe, sc.exe, taskkill.exe, PsExec.exe con timestamp precisi al secondo. ShimCache e Amcache.hve confermano l'esecuzione anche in assenza di prefetch. Per malware come Ryuk l'analisi ha spesso identificato kill.bat come dropper degli script di stop: la ricerca in %TEMP% e nelle cartelle profili utente per file .bat con timestamp coerente è un passaggio standard, supportata da KAPE (gratuito, Kroll) con target BasicCollection.

Su Linux il journal di systemd (journalctl -u --since ...) fornisce timeline dettagliate degli stop, mentre auditd logga syscall kill e execve. La bash_history dell'utente root o compromesso, se non pulita, mostra la sequenza di comandi. Cross-check con utmp/wtmp per ricostruire chi era loggato in quel momento e da quale IP.

Su ESXi — bersaglio di LAPSUS$, BlackCat, Cheerscrypt, Akira _v2 e del malware VIRTUALPITA che manipola vmsyslogd — i log hostd.log, vmkernel.log e shell.log in /var/log/ registrano ogni invocazione esxcli e vim-cmd. La timeline forense va ricostruita correlando questi log con i timestamp di modifica dei file .vmdk nei datastore.

Sul piano D3FEND gli artefatti digitali chiave sono Process, Service, Operating System e File: la loro correlazione temporale costruisce la narrativa incidente. Per timeline consolidate, Plaso/log2timeline (open source) aggrega event log, prefetch, registry e journald in un supertimeline unico.

Il panorama attoriale di T1489 è nettamente polarizzato: da un lato gruppi state-sponsored che usano lo stop servizi per operazioni distruttive geopolitiche, dall'altro la galassia ransomware finanziariamente motivata.

Lazarus Group (G0032), attribuito alla Corea del Nord, ha impiegato la tecnica arrestando MSExchangeIS per rendere inaccessibili i contenuti Exchange nelle vittime. Il pattern rientra nel più ampio playbook di operazioni disruptive che affianca il filone di furto valutario per il finanziamento del regime.

Sandworm Team (G0034), riconducibile al GRU russo (Unit 74455), rappresenta l'apice dell'uso distruttivo: arresto di MSSQL Windows service per garantire la cifratura completa nelle campagne contro l'Ucraina. Il malware Prestige attribuito al medesimo cluster usa C:\Windows\System32\net.exe stop MSSQLSERVER come step canonico, e Industroyer — sempre nell'orbita Sandworm secondo la letteratura pubblica — sovrascrive registry key di servizi per rendere inoperabili i sistemi ICS.

Wizard Spider (G0102), sindacato criminale russofono dietro Conti e Ryuk, ha standardizzato l'uso combinato di taskkill.exe e net.exe per abbattere backup, catalog service e client cloud prima della cifratura di rete. Il malware Conti (S0575) arresta fino a 146 servizi Windows, Ryuk (S0446) delega a kill.bat, Diavol (S0659) invoca la SCM API. L'ecosistema tool riflette la maturità industriale del gruppo.

Indrik Spider (G0119), autore di Dridex e delle famiglie BitPaymer/WastedLocker, sfrutta PsExec per distribuire lo stop servizi in modo laterale prima del ransomware. LAPSUS$ (G1004), gruppo estorsivo con membri giovanissimi, ha spento macchine virtuali direttamente da infrastrutture VMware ESXi on-premise delle vittime, anticipando un trend che sarebbe diventato dominante.

Medusa Group (G1051) ha portato la tecnica a livello industriale terminando servizi legati a backup, sicurezza, database, comunicazione, filesharing e siti web; il malware Medusa Ransomware (S1244) implementa taskkill /F /IM /T e net stop come primitive core.

Due trend emergono con chiarezza dai dati. Il primo è la convergenza ESXi: BlackCat, Cheerscrypt, Akira _v2, LockBit 3.0, VIRTUALPITA e Royal targettano esplicitamente hypervisor VMware — colpire un host significa impattare decine di VM con una singola azione, moltiplicando pressione estorsiva. Il secondo è la specializzazione anti-EDR: Embargo con MS4Killer, LockBit 2.0/3.0 e Qilin integrano watchlist hardcoded di processi security da terminare, evolvendo verso driver vulnerabili firmati (BYOVD) per bypassare protezioni kernel-level. Il perimetro non è più solo Windows: EKANS colpisce processi ICS, InvisibleFerret opera cross-platform su Windows, Linux e macOS con taskkill e killall.

MITRE ATT&CK T1489 (Service Stop), tattica TA0040 (Impact). Gruppi G0032, G0034, G0102, G0119, G1004, G1051. Software di riferimento: S0575 (Conti), S0446 (Ryuk), S0400 (RobbinHood), S0365 (Olympic Destroyer), S0604 (Industroyer), S1058 (Prestige), S1244 (Medusa Ransomware). Mitigazioni M1018, M1022, M1024, M1030, M1060. Detection analytics AN0061-AN0064. MITRE D3FEND per Service Binary Verification e Process Lineage Analysis. Integrazioni di conoscenza professionale su Sysmon, KAPE, RegRipper, Plaso, Atomic Red Team e Caldera per procedure operative e forensi.