Enumerazione Macchine Virtuali: Virtual Machine Discovery (T1673)

In un red team engagement, la ricognizione delle VM va condotta con strumenti nativi dell'ambiente per minimizzare il rumore. Su un hypervisor VMware ESXi compromesso via SSH, i comandi di riferimento sono:

esxcli vm process list

vim-cmd vmsvc/getallvms

Il primo restituisce nome, World ID, VMX Cartel ID e path del file VMX di ogni VM in esecuzione, informazioni indispensabili per operazioni successive come il kill del processo (esxcli vm process kill --type=force --world-id=) prima di una fase di cifratura. Il secondo elenca tutte le VM registrate nell'inventario, anche quelle spente, con VMID utile per interazioni via vim-cmd.

Su Linux con KVM/libvirt, l'enumerazione avviene tramite virsh list --all (open source, incluso in libvirt-clients) che mostra domini attivi e inattivi. Per VirtualBox su host Linux o Windows, VBoxManage list vms e VBoxManage list runningvms (open source) forniscono UUID e nomi. Su ambienti QEMU standalone, l'ispezione dei disk image può essere fatta con qemu-img info (open source).

Su Windows con Hyper-V, PowerShell offre il cmdlet Get-VM per elencare le VM del server locale e Get-VM -ComputerName per interrogare host remoti se il WinRM è configurato. Per VMware Workstation, vmrun list (incluso nell'installazione, a pagamento) restituisce i path dei file VMX aperti.

Su macOS, VirtualBox usa la stessa sintassi VBoxManage list vms, mentre Parallels espone prlctl list --all (a pagamento).

Per catene d'attacco realistiche in laboratorio, uno scenario tipico prevede compromissione iniziale via credenziali SSH deboli su ESXi, enumerazione con esxcli, disabilitazione di vpxa e hostd per bloccare il management, quindi deployment di payload come simulazioni di Cheerscrypt in ambiente isolato. Framework come Metasploit (open source, freemium per la versione Pro) includono moduli ausiliari per VMware, mentre Impacket (open source) permette movimento laterale verso host di gestione.

Per simulazioni MITRE-aligned, Atomic Red Team (open source) fornisce test per T1673 replicabili in sandbox. Regola d'oro: mai eseguire questi comandi su infrastrutture di produzione senza autorizzazione scritta e sempre operare in segmenti di rete isolati con snapshot ripristinabili.

La detection di T1673 richiede visibilità sui log dell'hypervisor, spesso una lacuna nelle architetture SOC tradizionali focalizzate su endpoint Windows. La strategia DET0199 definita da MITRE si articola su quattro piattaforme, ciascuna con analitiche specifiche.

Su ESXi (AN0572), la fonte primaria è la shell log dell'hypervisor, tipicamente /var/log/shell.log e /var/log/hostd.log. Il SOC deve monitorare esecuzioni di esxcli vm process list e vim-cmd vmsvc/getallvms fuori dai workflow amministrativi noti. Il tuning previsto include una whitelist di ExpectedAdminUsers e la definizione di UnexpectedCommandPaths: ogni invocazione da utenti non presenti nella lista o da contesti anomali (ad esempio da sessioni SSH non originate dal jump host) deve generare alert ad alta priorità. L'inoltro dei log ESXi verso un SIEM via syslog è prerequisito tecnico: senza collector configurato, la detection è cieca.

Su Linux (AN0573), i log auditd con categoria SYSCALL intercettano l'esecuzione di virsh, VBoxManage e qemu-img. Una regola audit efficace traccia execve con argv contenenti "list", correlata al parent process per distinguere invocazioni interattive da script schedulati. Gli hint di tuning suggeriscono di allertare quando i comandi sono lanciati da NonRootAccounts e di mantenere una whitelist di KnownAdminScripts per ridurre il rumore.

Su Windows (AN0574), i Security Event Logs devono catturare Event ID 4688 con command line auditing abilitato (policy "Include command line in process creation events"). Le stringhe di interesse includono Get-VM, vmrun.exe list, VBoxManage.exe list vms. Sysmon (open source) con Event ID 1 fornisce granularità superiore, includendo hash e parent process. Il correlation deve verificare che l'account chiamante appartenga al gruppo ExpectedAdminAccounts e che lo script rientri nelle RoutineScripts approvate.

Su macOS (AN0575), il Unified Logging System raccoglie invocazioni di VBoxManage e Parallels CLI tramite predicati come process == "VBoxManage". La sensibilità va calibrata su UserContext e ExecutionTimeWindow, riducendo alert durante finestre di manutenzione.

I falsi positivi principali derivano da tool di monitoring legittimi (Zabbix, PRTG, Veeam) che periodicamente enumerano VM per health check. La baseline va costruita osservando due settimane di attività amministrativa e whitelistando gli account di servizio. Un indicatore forte di compromissione è la sequenza enumerazione → stop servizi → I/O massivo sui file VMDK, tipico pattern pre-ransomware.

L'analisi forense di eventi legati a T1673 parte dalla ricostruzione della timeline di accesso all'hypervisor o all'host virtualizzato. Su VMware ESXi, gli artefatti chiave risiedono in /var/log/: shell.log registra ogni comando eseguito da sessioni SSH o DCUI con timestamp e utente, hostd.log traccia le operazioni verso il management daemon incluse le API vim-cmd, vpxa.log documenta l'interazione con vCenter e auth.log le autenticazioni. La correlazione tra timestamp SSH e primo comando esxcli vm process list stabilisce il momento della ricognizione.

Un artefatto spesso trascurato è /etc/vmware/hostd/authorization.xml che, se modificato, indica escalation di privilegi post-accesso. I file VMX in /vmfs/volumes/// mantengono metadati sui guest e i loro snapshot: la lettura di questi file da parte di processi non standard è tracciabile via inode access time se il datastore lo supporta.

Su Linux host, i log auditd in /var/log/audit/audit.log sono la sorgente primaria. Query con ausearch -c virsh o ausearch -c VBoxManage estraggono le esecuzioni con PID, PPID e argv completi. Il file /var/log/libvirt/libvirtd.log documenta le richieste API. Per la timeline, la combinazione di auditd, bash history dell'utente compromesso e last per le sessioni permette di ricostruire la sequenza operativa. In assenza di auditd, i log systemd-journald possono contenere frammenti utili tramite journalctl -u libvirtd.

Su Windows, gli artefatti includono i Security Event Logs con EventCode 4688 per la creazione del processo, i PowerShell operational logs (Microsoft-Windows-PowerShell/Operational) con Event ID 4104 che registrano il blocco di script contenente Get-VM, e i ScriptBlock logs se abilitati. Il file Amcache.hve traccia l'esecuzione di vmrun.exe e VBoxManage.exe con SHA1 e timestamp di prima esecuzione. Le Prefetch in *C:\Windows\Prefetch* confermano l'invocazione con contatore di esecuzioni.

Su macOS, l'unified log è interrogabile tramite log show --predicate 'process == "VBoxManage"' --last 7d (comando nativo). I file plist in ~/Library/Preferences/ possono contenere riferimenti alle VM aperte.

Relativamente alle campagne documentate, UNC3886 ha utilizzato script di enumerazione contro hypervisor ESXi come fase preparatoria, mentre il ransomware Cheerscrypt invoca esxcli vm process list immediatamente prima di terminare i processi VM per liberare i file VMDK dal lock e cifrarli. Il malware VIRTUALPITA rappresenta un caso più sofisticato, poiché opera dall'interno dell'hypervisor per targetizzare specifiche VM guest per esecuzione di script.

Il panorama degli attori che sfruttano T1673 è concentrato ma tecnicamente sofisticato, riflettendo una tendenza consolidata: gli hypervisor sono diventati bersagli strategici perché la compromissione di un singolo ESXi può esporre decine di workload critici.

UNC3886 è l'attore di riferimento tracciato da MITRE per questa tecnica. Il gruppo, categorizzato come cluster di spionaggio, ha utilizzato script personalizzati per enumerare hypervisor ESXi e le loro macchine virtuali guest. L'approccio è coerente con un profilo APT: la ricognizione dell'infrastruttura virtualizzata precede il deployment di backdoor persistenti a livello hypervisor, permettendo di intercettare traffico e credenziali dei guest senza toccare i sistemi operativi ospitati. Questa tattica rende la detection endpoint-based inefficace e sposta la difesa a livello di hypervisor logging.

Sul fronte del cybercrime, tre famiglie malware documentate mostrano come la tecnica sia stata operazionalizzata. Cheerscrypt è un ransomware Linux-based specificamente progettato per ambienti ESXi: sfrutta esxcli vm process list per ottenere l'elenco dei processi VM attivi, li termina forzatamente per rilasciare il lock sui file VMDK e procede alla cifratura. Questo pattern è diventato uno standard de facto nel ransomware anti-ESXi, adottato da varianti multiple del panorama Big Game Hunting.

VIRTUALPITA rappresenta un livello di sofisticazione superiore: è un malware che risiede nell'hypervisor stesso e può targetizzare specifiche VM guest per l'esecuzione di script. L'attribuzione MITRE lo collega a operazioni di spionaggio, coerente con TTPs osservate in cluster di threat actor sponsorizzati da stati. La capacità di persistere a livello hypervisor e selezionare guest specifici indica ricognizione preventiva mirata.

Qilin, ransomware attivo nel panorama Ransomware-as-a-Service, include capacità di detection dell'ambiente virtuale. Questa funzionalità serve duplice scopo: evasione (interrompere l'esecuzione in sandbox analitiche) e targeting (adattare la strategia di cifratura quando il target è un hypervisor).

Il trend emergente è chiaro: convergenza tra APT e ransomware nell'attacco all'infrastruttura di virtualizzazione. VMware ESXi in particolare è diventato bersaglio prioritario data la sua diffusione in datacenter enterprise e la limitata capacità di installare EDR tradizionali sul sistema operativo dell'hypervisor. La combinazione di superficie d'attacco elevata (interfacce di gestione esposte, vulnerabilità storiche in vCenter) e limitata telemetria difensiva rende T1673 un anello iniziale ricorrente nelle catene di attacco distruttivo. Le organizzazioni con infrastruttura virtualizzata critica dovrebbero prioritizzare l'inoltro dei log ESXi verso il SIEM e la segmentazione delle reti di gestione hypervisor.

MITRE ATT&CK: tecnica T1673 (Virtual Machine Discovery), tattica TA0007 (Discovery), gruppo G1048 (UNC3886), software S1096 (Cheerscrypt), S1217 (VIRTUALPITA), S1242 (Qilin), strategia di detection DET0199 con analitiche AN0572-AN0575. Tecniche correlate T1486 (Data Encrypted for Impact) e T1489 (Service Stop). Contenuti su comandi operativi, artefatti forensi e tool di detection derivano da conoscenza professionale di cybersecurity applicata al framework MITRE ATT&CK.