Ricognizione di Sistema: System Information Discovery (T1082)

Per un red teamer, la ricognizione di sistema è la prima azione dopo aver ottenuto una shell. L'obiettivo è capire dove ci si trova senza rumore eccessivo, replicando il comportamento reale degli avversari documentati.

Su Windows il comando principe rimane systeminfo, che restituisce OS, build, hotfix installati, produttore, modello e memoria fisica. Combinazioni tipiche osservate in campagne reali come Operation Honeybee e Operation CuckooBees includono:

cmd /c systeminfo > %temp%\temp.ini

ver

hostname

wmic os get Caption,Version,BuildNumber,OSArchitecture

Per approcci più stealthy via PowerShell si può usare Get-ComputerInfo, Get-WmiObject Win32_OperatingSystem o Get-CimInstance Win32_BIOS. Il cmdlet Get-ADComputer (richiede modulo ActiveDirectory RSAT) permette enumerazione remota di hostname, ultimo logon e OS attraverso il dominio, tecnica documentata per Wizard Spider.

Su Linux la sequenza classica include uname -a, cat /etc/os-release, lscpu, free -h e hostnamectl. Rocke ha utilizzato uname -m per identificare l'architettura del kernel, mentre Fysbis ha usato pattern egrep su /etc/ per distinguere la distribuzione. Su macOS il riferimento è sw_vers -productVersion, usato da OSX/Shlayer, insieme a system_profiler SPHardwareDataType e ioreg -l per il serial number, tecnica adottata da XCSSET e OSX_OCEANLOTUS.D.

Su ESXi, dove i ransomware operator si concentrano sempre più, i comandi utili sono esxcli system version get, esxcli system hostname get e esxcli hardware platform get. Sui dispositivi di rete Cisco IOS/NX-OS il classico è show version, come documentato nella campagna ArcaneDoor con l'impianto Line Dancer.

Per scenari cloud, AWS espone aws ec2 describe-instances, Azure az vm list e GCP gcloud compute instances list. Un red teamer con credenziali IAM compromesse può enumerare l'intera flotta senza toccare gli endpoint.

Sul fronte tool per esercitazioni lab-safe, framework come Empire (open source), Covenant (open source), Sliver (open source), Mythic (open source) e PoshC2 (open source) includono moduli di system enumeration nativi. Empire dispone del modulo situational_awareness/host/winenum, PoshC2 del cmdlet Get-ComputerInfo integrato. Per simulazioni orientate a MITRE ATT&CK, Atomic Red Team (open source) fornisce test atomici pronti per T1082 su Windows, Linux e macOS.

La detection di T1082 è insidiosa perché i comandi coinvolti sono legittimi e frequentemente eseguiti da amministratori, script di inventario e agenti di gestione. La chiave sta nella correlazione contestuale, non nel singolo evento.

Su Windows la fonte primaria è Sysmon Event ID 1 (process creation) affiancato al WinEventLog:Security con EventCode 4688 (audit process creation con command line, richiede abilitazione via GPO Include command line in process creation events). Le baseline devono catturare esecuzioni di systeminfo.exe, hostname.exe, wmic.exe, reg query verso chiavi hardware e invocazioni PowerShell di Get-ComputerInfo o Get-WmiObject. L'evento PowerShell 4104 (script block logging) è essenziale per intercettare cmdlet WMI/CIM offuscati.

La regola di detection efficace non è "systeminfo eseguito", ma "multiple comandi discovery in finestra temporale breve dallo stesso processo padre". La detection DET0525 di MITRE suggerisce esplicitamente di correlare systeminfo, hostname, wmic e net config eseguiti entro pochi secondi, tipicamente sotto i 60. Un pattern come cmd.exe che spawna in sequenza systeminfo, ipconfig, net user, whoami è la firma comportamentale di quasi ogni playbook APT documentato, da Ke3chang a Kimsuky a APT41.

Su Linux la telemetria proviene da auditd (regole su syscall execve) o da soluzioni EDR con eBPF. Comandi da monitorare: uname, lscpu, cat /etc/os-release, hostnamectl, dmidecode. Su macOS il unified log (accessibile via log stream o log show) traccia esecuzioni di sw_vers, system_profiler, systemsetup e ioreg.

Per ESXi il vmkernel.log e shell.log registrano invocazioni esxcli; una sessione SSH inaspettata seguita da enumerazione esxcli system deve generare alert alto. Sui dispositivi di rete, i log syslog con comandi show version eseguiti da account non standard o al di fuori delle finestre di manutenzione sono indicatori chiave dopo campagne come ArcaneDoor e KV Botnet Activity.

In ambienti cloud, AWS CloudTrail registra le chiamate DescribeInstances, DescribeImages, GetInstanceProfile. Un burst di queste API da un ruolo IAM insolito o da un IP esterno alla baseline indica ricognizione. Azure Activity Log e GCP Audit Logs offrono equivalenti.

I falsi positivi principali derivano da tool di asset inventory (Lansweeper, Tanium, SCCM), script di logon aziendali e software di helpdesk. Whitelisting per processo padre, account di servizio e host origine riduce il rumore. L'approccio D3FEND consigliato è Process Analysis combinato con User Behavior Analysis per identificare deviazioni dalla baseline dell'account.

Nell'analisi post-incidente, la ricognizione di sistema lascia tracce sottili ma consistenti che permettono di ricostruire i primi momenti del compromesso e correlare l'attività a specifici gruppi.

Su Windows le fonti forensi primarie sono il Prefetch (C:\Windows\Prefetch\SYSTEMINFO.EXE-.pf* e simili per HOSTNAME.EXE, WMIC.EXE), che documenta esecuzione, timestamp del primo e ultimo avvio e conteggio di esecuzioni. Amcache.hve (C:\Windows\AppCompat\Programs\Amcache.hve) conserva SHA1 e path degli eseguibili invocati, utile per rilevare binari LOLBAS legittimi usati in modo anomalo. Il ShimCache (SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache) fornisce timeline di esecuzione complementare.

Gli event log rimangono il pilastro: Security.evtx con EventCode 4688 e Microsoft-Windows-PowerShell/Operational.evtx con 4104 permettono di ricostruire la command line esatta. In assenza di command line logging, il canale Microsoft-Windows-Sysmon/Operational.evtx con Event ID 1 è decisivo. La presenza di file redirect come %TEMP%\download, %TEMP%\temp.ini o %TEMP%\ini.txt è patognomonica: admin@338 usava systeminfo >> %temp%\download, Operation Honeybee cmd /c systeminfo > %temp%\temp.ini, KONNI cmd /c systeminfo.

Per indagini su exfiltration correlata, i file di output della ricognizione (spesso piccoli file di testo o INI in AppData\Local\Temp, ProgramData o directory create dal malware) rappresentano staging artifact. Il file system journal ($UsnJrnl:$J) e la MFT consentono di identificare creazioni ed eliminazioni entro finestre temporali precise, cruciali per ricostruire il dwell time iniziale.

Su Linux gli artefatti principali sono ~/.bash_history, ~/.zsh_history, auditd log in /var/log/audit/audit.log e file utmp/wtmp. Comandi come uname -a, *cat /etc/release, lscpu eseguiti nei primi minuti di una sessione SSH sospetta sono indicatori. Rocke e TeamTNT hanno lasciato tracce riconoscibili di enumerazione hardware in fase pre-mining. Su macOS il unified log preserva fino a diverse settimane di eventi; log show --predicate 'process == "sw_vers"' permette di isolare le invocazioni.

Per la correlazione con campagne, la sequenza esatta dei comandi è un fingerprint utile. La campagna FunnyDream ha usato systeminfo con pattern specifici, Operation CuckooBees ha impiegato la combinazione systeminfo + net config Workstation tipica di APT41. La campagna Cutting Edge contro Ivanti Connect Secure ha invece utilizzato lo script Perl ENUM4LINUX (open source) per enumerazione su host Samba, artefatto identificabile nei log dell'appliance.

Su ESXi i log hostd.log, shell.log e auth.log documentano sessioni SSH e comandi esxcli. Sui dispositivi di rete compromessi da ArcaneDoor o KV Botnet Activity, la memoria volatile e le configurazioni running/startup sono l'unica fonte affidabile, richiedendo acquisizione live tramite console fisica.

L'ubiquità di T1082 tra 55 gruppi APT documentati la rende poco utile per attribution isolata, ma la sequenza esatta di comandi, i pattern di redirect verso file temporanei e le combinazioni con altre tecniche di discovery forniscono fingerprint operativi significativi.

APT41 (G0096), gruppo cinese a doppia natura tra espionaggio statale e cybercrime, utilizza systeminfo e net config Workstation in sequenza come standard operativo, pattern osservato durante Operation CuckooBees (2019-2022) contro aziende tech e manifatturiere in Asia orientale, Europa occidentale e Nord America. Il gruppo si sovrappone parzialmente con Winnti Group e BARIUM, condividendo tooling e infrastruttura.

Kimsuky (G0094), gruppo nordcoreano focalizzato su intelligence su affari coreani, combina systeminfo con query WMI su Win32_OperatingSystem per raccolta granulare. La preferenza per WMI riflette un'evoluzione verso living-off-the-land per evadere detection basate su process creation. La sovrapposizione tooling con Lazarus Group (G0032) e APT37 (G0067) riflette la condivisione di risorse nell'ecosistema cyber DPRK.

OilRig (G0049), gruppo iraniano attivo contro target mediorientali, esegue hostname e systeminfo come prima azione post-exploitation. Durante la campagna Juicy Mix (2022) contro organizzazioni israeliane, OilRig ha deployato il backdoor Mango che invia il nome host via HTTP POST per registrazione presso il C2. Questo pattern è condiviso con HEXANE (G1001) e CURIUM (G1012), entrambi vicini all'ecosistema iraniano.

Mustang Panda (G0129), gruppo cinese focalizzato su target del Sud-Est asiatico e ONG tibetane, utilizza systeminfo nelle prime fasi delle sue infection chain basate su PlugX. Durante RedDelta Modified PlugX Infection Chain Operations (2023-2024) ha inoltre eseguito fingerprinting del sistema operativo tramite analisi degli User-Agent HTTP, tecnica indiretta che riduce la telemetria endpoint.

Volt Typhoon, tramite KV Botnet Activity (2022-2024), rappresenta l'evoluzione più preoccupante: enumerazione di dispositivi SOHO end-of-life (Cisco, NETGEAR, DrayTek) tramite uname e raccolta di hosts file e utilizzo CPU per costruire un'infrastruttura di offuscamento verso target critici in energia e telecomunicazioni, inclusi obiettivi su Guam.

Il trend emergente vede tre traiettorie: spostamento verso ambienti non-Windows (ESXi con BlackByte (G1043) e Play (G1040), dispositivi di rete con ArcaneDoor), uso crescente di WMI e PowerShell per evadere detection basate su binari classici, e integrazione della ricognizione in campagne di sfruttamento massivo di vulnerabilità come SharePoint ToolShell Exploitation (2025), dove Storm-2603 e ZIRCONIUM hanno effettuato fingerprinting rapido di server SharePoint compromessi per selezionare payload appropriati.

MITRE ATT&CK T1082, tattica TA0007 Discovery. Campagne C0001 Frankenstein, C0006 Operation Honeybee, C0007 FunnyDream, C0012 Operation CuckooBees, C0014 Operation Wocao, C0029 Cutting Edge, C0035 KV Botnet Activity, C0044 Juicy Mix, C0046 ArcaneDoor, C0047 RedDelta, C0049 Leviathan Australian Intrusions, C0058 SharePoint ToolShell Exploitation. Detection DET0525 e analytics AN1452-AN1457. MITRE D3FEND per Process Analysis e User Behavior Analysis. Integrata conoscenza professionale di cybersecurity per comandi operativi, sintassi tool (Sysmon, auditd, PowerShell) e framework di red teaming open source (Empire, Covenant, Sliver, Mythic, PoshC2, Atomic Red Team).