Blocco Accessi Utente: Account Access Removal (T1531)

In un ingaggio autorizzato, la simulazione di T1531 richiede attenzione perché il rischio operativo è alto: un errore può bloccare fuori dai sistemi anche il team blu. La regola è lavorare su account fittizi creati appositamente in un ambiente di staging, mai su utenze reali senza autorizzazione scritta esplicita.

Su Windows, la manipolazione più comune si esegue via PowerShell. Il cmdlet Set-LocalUser -Name testuser -Password (ConvertTo-SecureString "RandomStr!ng" -AsPlainText -Force) forza il cambio credenziali di un utente locale, mentre Disable-LocalUser -Name testuser lo disabilita senza cancellarlo. Su Active Directory l'equivalente è Set-ADAccountPassword -Identity testuser -Reset -NewPassword (ConvertTo-SecureString ...) seguito eventualmente da Disable-ADAccount. La utility legacy resta net user testuser /active:no oppure net user testuser NewP@ss123 /domain. Per simulare il comportamento di DEADWOOD, che genera password casuali di 32 caratteri, si può concatenare net.exe con una stringa generata via [System.Web.Security.Membership]::GeneratePassword(32,8).

Su Linux la sequenza tipica è passwd -l username per bloccare l'account, usermod -L username con effetto analogo, o userdel -r username per la rimozione completa con home directory. Il cambio password non interattivo si ottiene con echo "user:newpass" | chpasswd. Per forzare il logout immediato dell'utente colpito si usa pkill -KILL -u username.

Su macOS gli strumenti sono dscl . -delete /Users/username e sysadminctl -deleteUser username, entrambi documentati da Apple. Su ESXi il comando è esxcli system account remove -i username oppure esxcli system account set -i username -p 'NewPassword' per la modifica.

Per il red team che simula scenari ransomware, framework come Atomic Red Team (open source) di Red Canary contengono test specifici per T1531 già mappati, eseguibili con Invoke-AtomicTest T1531. Caldera (open source) di MITRE offre ability equivalenti orchestrabili in catene più complesse. Metasploit Framework (open source, edizione community) include moduli post-exploitation per la manipolazione utenze una volta ottenuto accesso SYSTEM o root.

La catena realistica prevede: escalation a privilegi amministrativi, enumerazione degli account admin del dominio con net group "Domain Admins" /domain, esecuzione parallela della rimozione su più account tramite loop PowerShell, e infine shutdown /r /t 0 per rendere le modifiche irreversibili nel breve termine. Documentare ogni azione con timestamp è indispensabile per il rollback.

La detection di T1531 si basa sulla correlazione tra eventi di modifica account e il contesto in cui avvengono: chi li esegue, da quale processo padre, in quale finestra temporale. I dati MITRE mappano sei analitiche (AN0334-AN0339) che coprono Windows, Linux, macOS, ESXi, Office 365 e SaaS.

Su Windows le fonti primarie sono il Security Event Log e Sysmon. Gli EventCode critici sono 4720 (creazione account), 4722 (account abilitato), 4725 (account disabilitato), 4726 (account cancellato), 4724 (reset password admin-initiated) e 4740 (lockout). La regola comportamentale che riduce i falsi positivi correla questi eventi con la lineage di processo: un 4726 generato da una sessione dove powershell.exe ha come parent cmd.exe lanciato da un utente non-IT è un segnale forte. Sysmon EventID 1 (process creation) permette di ricostruire la catena explorer.exe → powershell.exe → net.exe, pattern anomalo se l'utente non appartiene al gruppo helpdesk.

Il tuning suggerito include tre dimensioni: contesto utente (Domain Admins legittimi vs. utenti standard), finestra temporale (azioni fuori dai maintenance window definiti dal change management) e parent process (esclusione di tool di gestione noti come mmc.exe per Active Directory Users and Computers).

Su Linux la telemetria arriva da auditd con regole sui syscall execve che intercettano invocazioni di passwd, userdel, chage e usermod. Una regola tipica è -w /usr/bin/passwd -p x -k account_mod. La correlazione con NSM:Connections aggiunge il contesto di remote access: una modifica password preceduta da una sessione SSH inbound da IP esterno merita escalation. Il campo auid di auditd traccia l'utente originario anche dopo sudo, elemento chiave per attribuire l'azione.

Su macOS il Unified Log cattura invocazioni di dscl e sysadminctl; la query con log show --predicate 'process == "sysadminctl"' estrae gli eventi rilevanti. Su ESXi i log hostd e vpxa registrano le operazioni di esxcli; un system account remove originato da IP fuori dalla management network è un red flag immediato.

Su Office 365, il Unified Audit Log traccia operazioni come Remove-Mailbox, Set-Mailbox, Remove-MsolUser e Update-MgUser. La correlazione con SigninLogs permette di individuare azioni admin da geografie anomale o da sessioni con MFA bypassato. Per SaaS come Okta, i log user.lifecycle.delete e user.lifecycle.deactivate in bulk entro finestre brevi indicano attività scriptata.

I falsi positivi principali derivano da script di offboarding HR, migrazioni pianificate e revoche automatiche post-terminazione contratto: whitelist basate su service account e cambi di stato HRIS riducono il rumore.

L'analisi forense post-incidente su T1531 si concentra sulla ricostruzione di chi ha modificato quali account, quando e con quale strumento, con l'obiettivo secondario di ripristinare gli accessi il più rapidamente possibile.

Su Windows il primo artefatto è il Security.evtx, dove gli EventCode 4720-4740 forniscono la timeline delle modifiche. L'evento 4726 (account deletion) include SID del target e SID del subject che ha eseguito l'azione; il 4738 (user account changed) è particolarmente prezioso perché il campo PasswordLastSet rivela reset silenziosi. Se il volume di eventi è stato azzerato dall'attaccante (T1070.001), le tracce si spostano su fonti secondarie: il SAM hive (C:\Windows\System32\config\SAM) contiene i metadati degli account locali, mentre su Active Directory il database NTDS.dit preserva la storia degli oggetti utente e i metadati di replica visibili con repadmin /showobjmeta.

La persistenza dell'attività PowerShell si trova nel log Microsoft-Windows-PowerShell/Operational (EventID 4104 per script block logging), che cattura il testo dei cmdlet Set-ADAccountPassword o Disable-ADAccount eseguiti. PSReadLine conserva la history in %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt, spesso trascurata dagli attaccanti. Prefetch (C:\Windows\Prefetch\NET.EXE-.pf*) documenta l'esecuzione di net.exe con timestamp di prima e ultima esecuzione, e ShimCache / Amcache.hve confermano l'invocazione anche in assenza di prefetch.

Nelle intrusioni Akira e LAPSUS$, la firma comune è la rimozione batch degli account amministrativi globali pochi minuti prima della detonazione del payload di cifratura. La correlazione tra timestamp di 4726 sequenziali su account privilegiati e la creazione di nota di riscatto sui file share fornisce il punto zero dell'impatto. Per DEADWOOD la firma è la password casuale di 32 caratteri applicata via net.exe combinata con la terminazione di winlogon.exe, evento visibile in Sysmon EventID 5 (process termination) o come crash nel System log.

Su Linux i file /etc/passwd, /etc/shadow e /etc/group vanno acquisiti con hashing forense; i loro timestamp mtime nel file system (visibili con stat) datano l'ultima modifica. I log /var/log/auth.log (Debian) o /var/log/secure (RHEL) registrano le invocazioni di passwd e sudo. L'utility lastlog mostra l'ultimo accesso registrato per utente, utile per identificare account improvvisamente bloccati.

Su ESXi i log /var/log/hostd.log e /var/log/auth.log documentano le operazioni esxcli; la loro rotazione rapida rende cruciale l'acquisizione immediata. Per Office 365, il Unified Audit Log si estrae con Search-UnifiedAuditLog entro la retention (90-180 giorni a seconda della licenza) e va preservato in CSV per la timeline consolidata.

Il panorama degli attori che adottano T1531 è dominato da gruppi ransomware e distruttivi, per cui la rimozione degli accessi è funzionale alla massimizzazione del danno e all'estorsione. I dati MITRE censiscono due gruppi principali e quattro famiglie malware, ma il pattern è ricorrente nell'intero ecosistema ransomware.

LAPSUS$ (G1004) rappresenta il caso di scuola dell'uso operativo della tecnica. Il gruppo, noto per intrusioni ad alto profilo contro aziende tecnologiche, ha rimosso gli account global admin delle organizzazioni bersaglio per estrometterle completamente dai propri tenant cloud. Il modus operandi combina social engineering, acquisto di credenziali da insider e SIM swapping per ottenere l'accesso iniziale; una volta dentro, l'escalation a permessi admin e la successiva revoca degli altri amministratori serve sia a garantire persistenza esclusiva sia a impedire risposta. L'assenza di un movente prevalentemente economico e la componente giovanile del gruppo hanno reso le loro operazioni particolarmente caotiche e distruttive.

Akira (G1024) è un gruppo ransomware emerso più recentemente, con vittime distribuite tra Nord America ed Europa in settori manifatturiero, healthcare e servizi professionali. La firma tecnica documentata è la cancellazione degli account amministratore nella rete della vittima immediatamente prima della fase di cifratura, comportamento coerente con la volontà di rallentare l'incident response e forzare il pagamento del riscatto. Akira opera con modello Ransomware-as-a-Service e affiliati multipli, il che spiega la variabilità nelle TTP secondarie.

Sul fronte malware, LockerGoga (S0372) è tristemente noto per l'attacco a Norsk Hydro del 2019: il payload modifica le password degli account e forza il logoff degli utenti attivi, comportamento che paralizzò migliaia di endpoint contemporaneamente. MegaCortex (S0576) replica lo stesso schema, condividendo con LockerGoga sia tecniche che presumibile origine operativa, con targeting su grandi enterprise europee. Meteor (S0688) è il wiper attribuito all'attacco al sistema ferroviario iraniano del 2021: la manipolazione delle password locali è parte di una catena distruttiva più ampia che include cancellazione di volumi e defacement. DEADWOOD (S1134) rappresenta la variante più sofisticata: password random di 32 caratteri applicate via net.exe e terminazione di winlogon.exe rendono la ripresa possibile solo tramite ripristino offline.

Il trend consolidato è la convergenza tra ransomware e wiper: T1531 non è più un semplice contorno ma un componente strategico del playbook di impact, spesso automatizzato nello stesso binario che esegue la cifratura. Le organizzazioni con architetture di identity federate e break-glass account offline sono strutturalmente più resilienti; quelle con dipendenza esclusiva da un identity provider cloud sono le più esposte.

MITRE ATT&CK: tecnica T1531 (Account Access Removal), tattica TA0040 (Impact). Gruppi: G1004 (LAPSUS$), G1024 (Akira). Software: S0372 (LockerGoga), S0576 (MegaCortex), S0688 (Meteor), S1134 (DEADWOOD). Analitiche di detection: AN0334-AN0339. Framework di simulazione citati con conoscenza professionale verificata: Atomic Red Team, MITRE Caldera, Metasploit Framework. Contenuti su artefatti forensi, EventCode Windows, syscall Linux e comandi ESXi integrati con conoscenza professionale di cybersecurity secondo il Livello 2.