Manipolazione degli Account: Account Manipulation (T1098)

In un red team assessment, la manipolazione degli account è la fase in cui si trasforma un accesso opportunistico in persistenza controllata. La prima mossa, dopo aver ottenuto credenziali di dominio, è mappare i gruppi ad alto privilegio con strumenti di enumerazione LDAP come BloodHound (open source) e la sua libreria di collezione SharpHound. Query come Get-DomainGroupMember 'Domain Admins' via PowerView (open source) rivelano candidati e path di attacco.

Su Active Directory, l'operazione classica consiste nell'aggiungere l'account controllato a un gruppo privilegiato. Con permessi WriteDACL o GenericAll su un gruppo, il comando nativo è:

net group "Domain Admins" attacker /add /domain

oppure, via PowerShell RSAT, Add-ADGroupMember -Identity "Domain Admins" -Members attacker. Se l'obiettivo è alterare un hash NTLM senza conoscere la password in chiaro, Mimikatz (open source) offre i moduli lsadump::changentlm e lsadump::setntlm, particolarmente utili contro account di servizio dove il reset via GUI sarebbe rumoroso.

Su Linux, la manipolazione ruota attorno a usermod, passwd e groupmod. Aggiungere un utente al gruppo sudo si fa con usermod -aG sudo victim, mentre modificare la shell di un account di sistema per abilitare login interattivi (chsh -s /bin/bash daemonuser) è un pattern ricorrente. Su macOS, l'equivalente è dscl . -append /Groups/admin GroupMembership target_user oppure sysadminctl -addUser attacker -admin.

Gli ambienti virtualizzati meritano attenzione: Scattered Spider ha dimostrato come l'aggiunta di un account al gruppo ESX Admins su vSphere conceda diritti amministrativi completi sull'hypervisor. In laboratorio, la simulazione avviene via PowerCLI (freemium, richiede licenza vSphere) con New-VIPermission o direttamente via API REST di vCenter.

Nel piano cloud, la manipolazione riguarda SSO e ruoli IAM. Con AWS CLI (open source) aws iam attach-user-policy eleva un utente esistente; su Entra ID, Add-AzureADDirectoryRoleMember iscrive un account al ruolo Global Administrator. Per emulare Sandworm su SQL Server, la stored procedure sp_addlinkedsrvlogin crea mapping di credenziali tra istanze, utile per pivoting laterale. Tutti questi comandi vanno eseguiti in laboratori isolati e mai in reti di produzione senza autorizzazione scritta.

Il rilevamento della manipolazione degli account richiede correlazione multi-sorgente perché l'azione, presa singolarmente, assomiglia ad amministrazione legittima. La detection DET0096 di MITRE identifica sei analitiche complementari che coprono Windows, Linux, macOS, IdP, ESXi e SaaS.

Su Windows, la fonte primaria è il Security Event Log. Gli EventCode chiave sono 4720 (creazione account), 4722 (abilitazione), 4724 (reset password amministrativo), 4728 e 4732 (aggiunta a gruppo globale e locale), 4738 (modifica attributi utente) e 5136 (modifica oggetto directory). L'analitica AN0265 suggerisce di correlare questi eventi con la lineage di processo tramite Sysmon (open source): un 4732 generato da un processo powershell.exe discendente di winword.exe è quasi sempre malevolo. La tuning raccomandata prevede una finestra temporale di 5 minuti tra processo sospetto e modifica account, una lista di gruppi ad alto privilegio (Domain Admins, Enterprise Admins, Schema Admins) e un flag SubjectTargetMismatch quando il modificatore differisce dall'account modificato.

Su Linux, auditd deve tracciare le syscall verso usermod, passwd, chage e le scritture su /etc/passwd, /etc/shadow, /etc/sudoers. Una regola tipo -w /etc/sudoers -p wa -k sudoers_change genera eventi correlabili con la sessione utente. Su macOS, l'Unified Log registra invocazioni di dscl, sysadminctl e pwpolicy; un filtro su subsystem == "com.apple.opendirectoryd" isola le modifiche di directory service.

Lato Identity Provider (AN0268), i log Okta System Log o Entra ID Audit Log vanno monitorati per eventi come user.account.privilege.grant, user.mfa.factor.reset o assegnazione di ruoli amministrativi. Un baseline per coppie utente-ruolo attese e un allowlist di indirizzi IP per API admin riducono i falsi positivi.

Su ESXi/vCenter (AN0269), l'aggiunta al gruppo ESX Admins — pattern Scattered Spider — emerge dai log vpxa e dagli eventi vim.event.PermissionAddedEvent. Va segnalata ogni modifica di permessi da IP non appartenenti alla jumpbox amministrativa.

Per SaaS (AN0270), i log unificati di Microsoft 365 e Google Workspace tracciano escalation di ruolo da Editor a Owner su documenti sensibili o inviti a guest esterni. I falsi positivi tipici sono ondate legittime di onboarding, reset password massivi post-incident e attività di IT admin durante finestre di manutenzione: mitigabili con whitelist temporali e correlazione con ticket di change management.

L'analisi forense di T1098 ricostruisce chi ha modificato cosa, quando e con quale processo. Il primo pilastro su Windows è il Security Event Log (%SystemRoot%\System32\winevt\Logs\Security.evtx), da cui estrarre gli EventCode citati con strumenti come EvtxECmd di Eric Zimmerman (open source) o Chainsaw (open source). Un comando tipico è *EvtxECmd.exe -f Security.evtx --csv output*, che normalizza gli eventi in CSV analizzabile in Timeline Explorer.

Per ricostruire modifiche a oggetti Active Directory, il log Directory Service (EventCode 5136, 5137, 5141) contiene l'attributo modificato, il vecchio valore, il nuovo valore e il DN dell'oggetto. Correlare con NTDS.dit estratto da un domain controller permette di verificare lo stato attuale rispetto a snapshot precedenti; tool come ntdsutil (built-in Windows) e secretsdump.py di Impacket (open source) supportano l'analisi offline.

Su endpoint, la timeline va arricchita con artefatti di esecuzione: Prefetch (C:\Windows\Prefetch) mostra invocazioni di net.exe, dsadd.exe o powershell.exe; ShimCache e Amcache.hve confermano presenza di binari sospetti; ScriptBlockLogging di PowerShell (EventCode 4104) preserva il testo degli script anche dopo la cancellazione del file. Se Sysmon è installato, gli EventCode 1 (process create) e 11 (file create) legano il processo modificante alla catena parent.

Su Linux, gli artefatti chiave sono /var/log/auth.log, /var/log/secure, i log di auditd in /var/log/audit/audit.log e i timestamp mtime/ctime di /etc/passwd, /etc/shadow, /etc/group. Il comando ausearch -k sudoers_change estrae eventi correlati. La history di shell (.bash_history, .zsh_history) e i log di last e lastlog aiutano a delineare la sessione dell'attaccante.

Su macOS, l'Unified Log si interroga con log show --predicate 'subsystem == "com.apple.opendirectoryd"' --last 7d. I file plist in /var/db/dslocal/nodes/Default/users/ contengono le definizioni utente locali e vanno confrontati con backup Time Machine.

Per ESXi, i log rilevanti sono /var/log/vpxa.log, /var/log/hostd.log e /var/log/auth.log. Il pattern di Scattered Spider — creazione del gruppo ESX Admins — lascia traccia in hostd.log e nella configurazione /etc/vmware/hostd/authorization.xml.

Nel caso Sandworm del 2016, l'artefatto rivelatore fu la presenza di link server MS-SQL creati via sp_addlinkedsrvlogin, interrogabili con SELECT * FROM sys.servers e visibili nei log di transazione se SQL Audit era attivo. La timeline finale deve incrociare eventi identity, esecuzione processi, modifiche filesystem e log di rete per attribuire la modifica a una sessione specifica.

Il repertorio di attori che praticano manipolazione degli account è ampio e trasversale a motivazioni e geografie. I dati MITRE evidenziano tre profili particolarmente rilevanti.

Lazarus Group (G0032), attribuito alla Corea del Nord e attivo dal 2009, integra la manipolazione degli account nel proprio arsenale distruttivo. Il malware WhiskeyDelta-Two contiene una funzione che tenta di rinominare l'account administrator locale, un pattern coerente con operazioni wiper dove l'obiettivo è impedire il recovery. L'inserimento della manipolazione in un tool distruttivo — anziché in un impianto di persistenza silenziosa — riflette la doppia natura di Lazarus, che alterna spionaggio finanziario a operazioni di sabotaggio.

HAFNIUM (G0125), attore state-sponsored cinese noto per lo sfruttamento massivo delle vulnerabilità ProxyLogon di Exchange nel 2021, ha ripetutamente concesso privilegi ad account di dominio e resettato password di account admin di default. Il pattern è tipico dello spionaggio: manipolare account esistenti riduce l'impronta rispetto alla creazione di nuove identità, che sarebbe più facilmente rilevata da audit periodici.

Scattered Spider (G1015), collettivo cybercriminale di lingua inglese specializzato in social engineering e ransomware-as-a-service, ha innovato il playbook aggiungendo account al gruppo ESX Admins su vSphere per ottenere pieni diritti amministrativi sull'hypervisor. Questa mossa consente di cifrare in blocco tutte le VM ospitate bypassando gli EDR guest, ed è diventata firma distintiva degli attacchi ai settori casino, retail e assicurativo tra 2022 e 2024.

Sul fronte campagne, l'attacco alla rete elettrica ucraina del dicembre 2016 (C0025) condotto da Sandworm Team rappresenta il caso più documentato di manipolazione account in contesto ICS/OT. L'uso di sp_addlinkedsrvlogin su MS-SQL per creare link tra account fraudolenti e server remoti ha permesso il pivoting laterale che ha preceduto il deployment di Industroyer contro le sottostazioni di distribuzione. La campagna segna la seconda offensiva pubblica di Sandworm contro l'Ucraina e ha stabilito il template per operazioni successive.

Sul piano tool, Mimikatz (S0002) rimane il denominatore comune: i moduli lsadump::changentlm e lsadump::setntlm consentono di riscrivere hash NTLM senza conoscere la password originale, mentre l'estensione Skeleton Key installa un bypass di autenticazione sul domain controller. Calisto (S0274), malware macOS, aggiunge permessi e abilita remote login per tutti gli utenti, dimostrando che la tecnica non è confinata al mondo Windows.

Il trend osservabile è una progressiva estensione dal dominio Windows tradizionale verso hypervisor, identity provider cloud e SaaS, dove un singolo cambio di ruolo può compromettere interi tenant.

MITRE ATT&CK: tecnica T1098 (Account Manipulation), gruppi G0032, G0125, G1015, software S0002 e S0274, campagna C0025, mitigazioni M1018, M1022, M1026, M1028, M1030, M1032, M1042, detection DET0096 (analitiche AN0265–AN0270). MITRE D3FEND per artefatti e contromisure. Documentazione ufficiale di Sysmon, auditd, Microsoft Security Event Log, VMware vSphere, Okta System Log. Conoscenza professionale integrata per sintassi comandi, tool forensi (EvtxECmd, Chainsaw, Impacket) e procedure operative red team/DFIR.