Rilevamento Lingua di Sistema: System Language Discovery (T1614.001)

Per un red team, simulare T1614.001 richiede la riproduzione fedele delle chiamate API e delle query di registro utilizzate dai malware documentati, senza attivare la componente distruttiva.

Su Windows la via più diretta è PowerShell. La lettura della chiave di registro replica il comportamento di Ryuk:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Nls\Language' -Name InstallLanguage

Per emulare le chiamate API come fanno Maze, REvil e Zeus Panda, un piccolo wrapper .NET risulta efficace:

[System.Globalization.CultureInfo]::InstalledUICulture [System.Globalization.CultureInfo]::CurrentCulture

La lista dei layout di tastiera, replicando SynAck e Cuba, si ottiene con Get-WinUserLanguageList oppure interrogando direttamente GetKeyboardLayoutList tramite P/Invoke in C#. Per una demo command-line che imita IcedID, il one-liner cmd.exe /c chcp restituisce il code page attivo.

Su Linux e macOS la raccolta è banale: locale, echo $LANG, localectl status su distribuzioni systemd. Su macOS il comando defaults read -g AppleLocale restituisce la locale utente, mentre osascript -e 'user locale of (get system info)' replica esattamente il payload AppleScript usato da XCSSET.

Per l'integrazione in un implant di laboratorio, framework come Sliver (open source) e Mythic (open source) espongono già primitive di host discovery che includono la locale nel beacon iniziale. Cobalt Strike (a pagamento) dispone del comando integrato per interrogare le informazioni di sistema tramite Beacon Object Files personalizzati. Un red team maturo scrive un BOF minimale che chiama direttamente GetUserDefaultUILanguage via GetProcAddress su kernel32.dll, evitando la creazione di processi figli e riducendo la telemetria generata.

Per riprodurre la logica di geofencing evasion in un esercizio di adversary emulation, si può costruire un dropper che confronta l'output di GetUserDefaultLangID con una blacklist (0x419 russo, 0x422 ucraino, 0x423 bielorusso) e termina se corrisponde. Atomic Red Team (open source) include test specifici per T1614.001 che coprono sia le query di registro sia le chiamate API, utilizzabili come baseline per validare la detection del SOC.

In contesti ESXi o Linux server, la lettura di /etc/default/locale o /etc/locale.conf fornisce la stessa informazione senza necessità di privilegi elevati, replicando il pattern osservato in Cuckoo Stealer che verifica la variabile LANG prima di procedere.

La detection di T1614.001 è intrinsecamente rumorosa perché applicazioni legittime interrogano costantemente le impostazioni di lingua. La chiave è il contesto di esecuzione, non l'evento in sé.

Su Windows la fonte primaria è Sysmon Event ID 13 (Registry value set) e 12 (Registry object added/deleted) filtrati sul path HKLM\SYSTEM\CurrentControlSet\Control\Nls\Language. Un accesso legittimo tipicamente proviene da svchost.exe, explorer.exe o installer firmati. Un accesso da processi non firmati, da percorsi %TEMP%, %APPDATA%\Roaming o da binari senza company name valida è un forte segnale. La regola dovrebbe correlare l'evento di registro con l'Event ID 1 (Process Create) del processo padre per ricostruire la catena.

Per le chiamate API (GetUserDefaultUILanguage, GetKeyboardLayoutList), la visibilità richiede tracing ETW o hook in user-mode. Microsoft Defender for Endpoint (a pagamento), Elastic Defend (freemium) e Sysmon con configurazione ETW estesa possono catturare le chiamate a kernel32.dll!GetKeyboard* tramite provider ETW-Ti. In alternativa, la telemetria EDR sui caricamenti di user32.dll e kernel32.dll combinata con l'entropia del processo chiamante offre un proxy accettabile.

Un pattern di detection ad alto valore è la sequenza temporale: T1614.001 raramente si presenta isolato. Nei ransomware documentati (Ryuk, LockBit, Clop) la query di lingua precede di secondi la fase di enumerazione file, la shadow copy deletion o la connessione C2. Correlare Sysmon EID 13 su Nls\Language con successivi vssadmin delete shadows, wmic shadowcopy delete o creazione di mutex sospetti aumenta drasticamente la precisione. Splunk e Sentinel possono materializzare questa correlazione con query di sequence su finestre di 30-60 secondi.

Su Linux, auditd con regola -a always,exit -F arch=b64 -S execve -F path=/usr/bin/locale -k language_discovery traccia l'esecuzione del comando. Analogamente per localectl. Il segnale diventa significativo quando l'utente non è root o un account di servizio noto, ma un utente applicativo (www-data, tomcat) o una shell figlia di un processo web.

Su macOS il Unified Log cattura le invocazioni di defaults read -g AppleLocale e systemsetup -gettimezone. Query osquery (open source) sulla tabella processes filtrate per cmdline LIKE '%AppleLocale%' forniscono baseline utile.

I falsi positivi principali derivano da software di localizzazione, browser al primo avvio, agenti di inventario (SCCM, JAMF) e installer MSI. La whitelist per parent process (msiexec.exe, TrustedInstaller.exe, processi firmati Microsoft) riduce il rumore senza cecità operativa. Una soglia di frequenza — più di N query al minuto dallo stesso processo non firmato — completa la logica di alerting.

L'analisi forense di T1614.001 sfrutta la persistenza degli artefatti di registro Windows e la traccia delle chiamate API nei log EDR o nei dump di memoria.

Sul disco Windows, l'hive SYSTEM contiene la chiave CurrentControlSet\Control\Nls\Language con il valore InstallLanguage e Default. La chiave in sé è legittima, ma Registry Explorer (gratuito) e RegRipper (open source) permettono di verificare i timestamp LastWrite delle chiavi correlate. Un timestamp aggiornato in prossimità di altri IOC (creazione di file sospetti in %ProgramData%, esecuzione di processi non firmati) supporta l'ipotesi di accesso da parte del malware.

La traccia più solida arriva dai log Sysmon archiviati: EID 13 e 10 (Process Access verso lsass.exe o altri processi che espongono API di localizzazione) offrono la sequenza temporale. EVTX Explorer e Chainsaw (entrambi open source) permettono di estrarre in bulk gli eventi relativi al path Nls\Language e correlarli con Process Create.

Nella memoria volatile, Volatility 3 (open source) con i plugin windows.pslist, windows.cmdline e windows.handles può identificare processi che hanno aperto handle verso la chiave di registro o hanno caricato kernel32.dll con pattern di chiamata anomali. Il plugin windows.malfind aiuta a individuare code injection in processi legittimi che potrebbero mascherare la query.

Per le campagne documentate, un caso emblematico è Operation Dream Job (C0022, 2019-2020) attribuita a Lazarus Group: il malware distribuito era progettato per non eseguire su sistemi con lingua coreana, giapponese o cinese, ipotesi verificabile analizzando i binari recuperati con IDA Pro (a pagamento) o Ghidra (open source) cercando riferimenti a GetUserDefaultUILanguage seguiti da confronti con costanti 0x412 (coreano), 0x411 (giapponese), 0x804 (cinese semplificato).

Per i campioni ransomware come Ryuk, LockBit 3.0, REvil e Clop, l'analisi statica rivela la blacklist di language ID hardcoded — 0x419 (russo), 0x422 (ucraino), 0x423 (bielorusso) e varianti CIS. La presenza di questi valori nel binario è un forte indicatore di attribuzione a operatori russofoni.

Su Linux, gli artefatti includono /var/log/audit/audit.log con record SYSCALL per execve di locale, e la cronologia shell (.bash_history, .zsh_history) dell'utente compromesso. Su macOS, il Unified Log persistito tramite log collect fornisce evidenza delle invocazioni AppleScript utilizzate da XCSSET e simili.

La timeline consolidata con Plaso/log2timeline (open source) permette di posizionare la query di lingua nella sequenza dell'attacco, tipicamente tra la fase di initial access e la decisione di deployment del payload finale.

L'analisi degli attori che impiegano T1614.001 rivela due macro-cluster con motivazioni opposte ma tecniche identiche.

Il primo cluster è quello dei ransomware operator russofoni. Storm-0501 identifica esplicitamente code page di paesi CIS e si autoesclude dai target associati a Russia e Commonwealth of Independent States, comportamento coerente con l'ipotesi di operatori residenti in tali giurisdizioni che vogliono evitare attriti con le autorità locali. Lo stesso pattern è replicato dai binari di Ryuk, REvil, LockBit 2.0 e LockBit 3.0, Clop, DEATHRANSOM, Avaddon, Cuba, Bazar e StealBit, tutti con blacklist che includono russo, ucraino, bielorusso, kazako e talvolta tataro. Questa uniformità suggerisce non tanto condivisione di codice quanto una regola operativa non scritta dell'ecosistema criminale russofono, quasi un requisito di sopravvivenza.

Il secondo cluster è quello degli APT state-sponsored con targeting selettivo. Ke3chang, gruppo storicamente attribuito a interessi cinesi, colleziona il language ID come parte del profilo vittima per prioritizzare le operazioni. Durante Operation Dream Job (C0022, 2019-2020), Lazarus Group ha distribuito payload che si rifiutavano di eseguire su sistemi coreani, giapponesi o cinesi, verosimilmente per ridurre il rischio di analisi da parte di ricercatori regionali o per evitare esposizione politica in scenari sensibili. La campagna ha colpito difesa, aerospazio e settori governativi in Stati Uniti, Israele, Australia, Russia e India.

Malteiro, operatore del banking trojan Mispadu, adotta l'approccio inverso: esegue solo se la lingua è spagnolo o portoghese, coerentemente con il targeting LATAM e la penisola iberica. Analogo comportamento è osservato in SharpStage, DropBook e Spark, che verificano la presenza dell'arabo prima di procedere, suggerendo campagne mirate a target mediorientali. Flagpro, associato ad attività verso Asia orientale, cerca giapponese, taiwanese o inglese.

BlackByte (G1043) usa il language check per determinare l'esecuzione successiva, adottando la logica di geofencing ormai standard del panorama ransomware. Il malware BlackByte Ransomware (S1180) implementa la verifica come primo step della catena.

Il trend consolidato è che T1614.001 è diventato una firma comportamentale di due mondi: la criminalità organizzata russofona lo usa come polizza assicurativa, mentre gli APT lo usano come filtro di targeting geografico. Per un analista TI, la presenza di language check in un campione è un indicatore precoce di attribuzione probabilistica: la blacklist CIS punta a operatori est-europei, le whitelist regionali (arabo, spagnolo/portoghese, asiatico) puntano a operazioni mirate. RedLine Stealer, Gootloader, PUBLOAD e StrelaStealer confermano che il pattern si è ormai esteso a infostealer e loader commodity, rendendolo un elemento quasi ubiquitario nel malware moderno.

MITRE ATT&CK T1614.001 (System Language Discovery), tattica TA0007 (Discovery). Gruppi: G0004, G1026, G1043, G1053. Campagna: C0022 (Operation Dream Job). Software citati: S0083, S0085, S0242, S0330, S0446, S0449, S0483, S0496, S0534, S0543, S0546, S0547, S0611, S0616, S0625, S0632, S0640, S0652, S0658, S0691, S0696, S1122, S1138, S1153, S1180, S1183, S1199, S1200, S1202, S1228, S1240. Detection: DET0565 (AN1561, AN1562, AN1563). MITRE D3FEND per artefatti difensivi. Integrata conoscenza professionale su tool forensi e detection engineering (Sysmon, Volatility, Chainsaw, Atomic Red Team, osquery).