Acquisizione di Tool: Obtain Capabilities - Tool (T1588.002)

Trattandosi di una tecnica di Resource Development, l'obiettivo del red team non è "attaccare" ma costruire in modo lab-safe un arsenale realistico che rispecchi quello degli avversari reali, per poi validare le detection difensive.

Il punto di partenza è la costituzione di un toolkit ricalcato sui gruppi osservati. Molti attori si affidano a strumenti open source scaricabili direttamente:

• Impacket (open source): suite Python per SMB/WMI/DCE-RPC, alla base di psexec.py, wmiexec.py, secretsdump.py.
• Mimikatz (open source): estrazione credenziali con moduli come sekurlsa::logonpasswords.
• PsExec (gratuito, Sysinternals): esecuzione remota legittima abusata da decine di gruppi.
• BloodHound e SharpHound (open source): mappatura dei percorsi di attacco in Active Directory.
• Metasploit Framework (freemium): generazione di payload e Meterpreter.

Per emulare avversari che usano framework commerciali, Cobalt Strike (a pagamento) resta il riferimento; in laboratorio si può sostituire con alternative open come Sliver (open source), impiegato realmente nella campagna C0018, o PoshC2 ed Empire (open source), visti in Frankenstein e in molti gruppi.

Una catena tipica in ambiente Windows di test parte dal caricamento del tool sull'host compromesso, seguito dal dumping delle credenziali e dal movimento laterale:

secretsdump.py DOMINIO/utente@target

psexec.py DOMINIO/utente@target cmd.exe

Un aspetto centrale di T1588.002 è la personalizzazione dei tool per evadere i controlli, comportamento attribuito a GALLIUM, APT39 e Silence. In laboratorio questo si simula con offuscatori come ConfuserEx (open source, usato realmente in C0017) per i binari .NET, oppure ricompilando Mimikatz da sorgente per alterarne le firme. Per il testing anti-EDR, i team valutano i payload in sandbox isolate senza sottometterli a servizi multiscanner pubblici che condividono i campioni.

Sul fronte accesso remoto, gli avversari commodity abusano di software RMM legittimo: AnyDesk, ConnectWise, RemoteUtilities e MeshCentral (quest'ultimo open source) compaiono in numerose campagne. Per il tunneling e il proxy, strumenti come Ligolo-ng, GOST e Chisel (tutti open source) replicano ciò che gruppi come Cinnamon Tempest e Medusa Group utilizzano.

L'intero esercizio va condotto in un range chiuso, con snapshot ripristinabili e regole di ingaggio che vietano l'uso di licenze crackate, coerentemente con l'etica del testing autorizzato.

Poiché l'acquisizione dei tool avviene fuori dalla visibilità aziendale, il SOC deve spostare la detection sulla fase in cui questi strumenti vengono effettivamente eseguiti. Gli artefatti digitali rilevanti sono i processi, i moduli caricati, i file e le connessioni di rete generate dal tool una volta atterrato sull'endpoint.

La base è una telemetria endpoint solida. Sysmon (gratuito) fornisce eventi ad alto valore: EventID 1 per la creazione di processi, EventID 7 per il caricamento di moduli sospetti, EventID 3 per le connessioni di rete e EventID 11 per la scrittura di file. Sul versante nativo, abilitare l'auditing di EventID 4688 con command line e il Script Block Logging di PowerShell (EventID 4104) è indispensabile per intercettare Empire, PowerSploit e Rubeus.

Gli indicatori comportamentali più affidabili includono:

• Esecuzione di PsExec che crea il servizio PSEXESVC (EventID 7045) e accessi via named pipe.
• Accesso a lsass.exe con maschere di memoria sospette, tipico di Mimikatz e credential dumping.
• Traffico verso profili C2 noti di Cobalt Strike, come le named pipe di default o i pattern del Malleable profile.
• Installazione improvvisa di software RMM (AnyDesk, ConnectWise, MeshCentral) non presente nella baseline aziendale.
• Query LDAP massive verso Active Directory tipiche di BloodHound/SharpHound.

Sul piano preventivo, i controlli di hardening riducono la superficie: application allowlisting tramite WDAC o AppLocker blocca l'esecuzione di binari non approvati; la segmentazione di rete limita l'efficacia dei tool di tunneling come Ligolo e GOST; e la protezione di LSASS con Credential Guard ostacola il dumping.

Un nodo critico sono i falsi positivi. PsExec, AdFind, Advanced IP Scanner e i software RMM sono strumenti legittimi ampiamente usati dagli amministratori. Distinguere l'uso benigno da quello malevolo richiede il contesto: chi ha lanciato il tool, da quale host, verso quali destinazioni e in quale finestra temporale. Un RMM eseguito da un account di servizio inatteso o un network scanner lanciato da una workstation utente sono segnali molto più forti del semplice nome del binario.

La correlazione SIEM dovrebbe legare l'apparizione del tool a comportamenti successivi (dumping, lateral movement, esfiltrazione), costruendo alert basati sulla catena piuttosto che sul singolo evento, e sfruttando threat intelligence per arricchire hash e watermark noti dei payload.

L'analisi forense di T1588.002 si articola su due livelli complementari: le fonti esterne che documentano dove e come l'avversario ha ottenuto gli strumenti, e gli artefatti endpoint che emergono dopo che il tool è stato dispiegato nella rete.

Sul versante esterno, l'intelligence sui repository di malware è preziosa. I payload di Cobalt Strike contengono spesso un watermark numerico legato alla licenza, un artefatto che permette di raggruppare campagne e attribuire attività a specifici acquirenti o licenze rubate. La detection MITRE evidenzia proprio l'analisi di dati contestuali come tempi di compilazione, hash dei file e watermark come chiave per correlare l'uso di uno strumento a un avversario.

Sull'endpoint, la ricostruzione della timeline parte dalle tracce di esecuzione. Su Windows gli artefatti primari sono:

• Prefetch (C:\Windows\Prefetch): conferma l'esecuzione di binari come psexec.exe o mimikatz.exe con timestamp e conteggio esecuzioni.
• Shimcache e Amcache.hve: registrano presenza e path dei tool anche dopo la cancellazione.
• Registro di sistema: la creazione del servizio PSEXESVC e le chiavi dei software RMM installati.
• Event log: Security 4688, System 7045 per i servizi, e i log applicativi di AnyDesk o ConnectWise che conservano ID di sessione e IP remoti.

Su Linux e appliance, l'analisi si concentra su bash_history, artefatti di BusyBox (usato in Cutting Edge), binari di tunneling come GOST (Operation MidnightEclipse) e proxy come PySoxy. La memoria volatile, acquisibile con strumenti come Volatility 3 (open source), rivela injection in memoria — tecnica vista con Kubo Injector — e processi Meterpreter residenti.

Le campagne documentate offrono pattern ricorrenti. In C0015 e C0018 gli attori ransomware hanno lasciato tracce di AdFind, AnyDesk, Process Hacker, Sliver e PDQ Deploy; in Operation Wocao compaiono JexBoss, KeeThief e BloodHound; durante la SharePoint ToolShell Exploitation figurano Impacket, PsExec e Mimikatz. Riconoscere queste combinazioni aiuta l'analista a ipotizzare l'attore e a prevedere gli artefatti ancora da cercare.

Un accorgimento importante è la ricerca di versioni modificate dei tool: GALLIUM, APT39, Silence e Aoqin Dragon hanno alterato strumenti open source, quindi hash noti potrebbero non corrispondere. In questi casi l'analisi comportamentale e le stringhe interne dei binari diventano decisive per confermare la natura dell'artefatto e ancorarlo alla timeline dell'incidente.

L'adozione di tool legittimi riutilizzati offensivamente è forse la tecnica più trasversale del panorama: 82 gruppi la impiegano, attraversando spionaggio statale, hacktivismo e crimine finanziario. Questa ubiquità la rende poco utile per l'attribuzione basata sul singolo strumento, ma i pattern di combinazione e personalizzazione restano indicatori preziosi.

APT29, attore russo, si distingue per un arsenale ampio che unisce Mimikatz, SDelete, Tor, meek e Cobalt Strike; nella campagna C0021 ha impiegato Cobalt Strike con una variante modificata del profilo Malleable C2 Pandora, segno di raffinatezza nella customizzazione per evadere le difese di rete.

Sandworm Team, altro gruppo russo, mostra una notevole flessibilità operativa: ha acquisito Invoke-PSImage per stabilire un canale cifrato in preparazione dell'attacco alle Olimpiadi invernali del 2018, e successivamente Impacket e RemoteExec nelle operazioni Prestige del 2022, affiancandoli a Empire, Cobalt Strike e PoshC2.

APT41, gruppo cinese, esemplifica l'uso di tool pubblici anche per l'accesso iniziale: nella campagna C0017 contro reti governative statali USA ha impiegato YSoSerial.NET, ConfuserEx e BadPotato, dimostrando l'integrazione di offuscatori per l'evasione. La sua presenza si estende a Operation CuckooBees, condivisa con Winnti Group e BARIUM.

Lazarus Group, attore nordcoreano, nella Operation Dream Job ha assemblato strumenti eterogenei come Wake-On-Lan, Responder, ChromePass e dbxcli, riflettendo un approccio pragmatico misto a lure di finte offerte di lavoro.

Scattered Spider, gruppo finanziariamente motivato legato al collettivo "The Com", nella campagna C0027 ha combinato LINpeas, aws_consoler, rsocx, Level RMM e RustScan, evidenziando una forte propensione verso ambienti cloud e social engineering.

Emergono chiari overlap di tooling. Mimikatz, Impacket, PsExec e Cobalt Strike costituiscono un nucleo condiviso da attori di ogni provenienza. Gruppi cinesi come GALLIUM, APT39 e Aoqin Dragon tendono a modificare i tool open source per aggiungere funzionalità o eludere l'antimalware, un tratto che li distingue dagli attori commodity.

Un trend in accelerazione è l'abuso di software RMM legittimo — AnyDesk, ConnectWise, MeshCentral, SimpleHelp — da parte di MuddyWater, Storm-1811, ShinyHunters, INC Ransom e Medusa Group, che sfruttano la fiducia riposta in questi strumenti per mimetizzarsi. Parallelamente, la campagna Anthropic AI-orchestrated condotta da GTG-1002 segnala l'ingresso di framework AI-agentici come moltiplicatori nell'orchestrazione degli strumenti offensivi.

MITRE ATT&CK: tecnica T1588.002 (Obtain Capabilities: Tool), tattica TA0042, mitigazione M1056, detection DET0852/AN1984. Gruppi e campagne citati dai dati forniti, tra cui C0015, C0017, C0018, C0021, C0022, C0027, Operation CuckooBees e Anthropic AI-orchestrated Campaign. Tool di detection: Sysmon, Volatility 3. Parte dei comandi, degli artefatti forensi e delle procedure operative deriva da conoscenza professionale di cybersecurity, integrata nel rispetto dei dati MITRE ATT&CK.