Ruoli Cloud Aggiuntivi: Additional Cloud Roles (T1098.003)
La tecnica T1098.003 – Additional Cloud Roles descrive l'assegnazione di ruoli o permessi aggiuntivi ad account cloud controllati dall'attaccante per consolidare l'accesso a un tenant. Si tratta di una manipolazione mirata delle policy IAM in ambienti AWS, GCP o Azure, oppure dell'aggiunta di ruoli come Global Administrator in Microsoft 365, capace di trasformare un accesso opportunistico in una presenza persistente e privilegiata.
MITRE ATT&CK colloca la tecnica su due tattiche complementari: TA0003 (Persistence), perché il ruolo elevato sopravvive a rotazioni credenziali e cambi di dispositivo, e TA0004 (Privilege Escalation), poiché consente di superare i confini del principio del minimo privilegio. Nella kill chain si posiziona subito dopo l'Initial Access o la Account Creation, spesso come primo movimento post-compromissione di un'identità cloud.
L'impatto è sistemico: con un ruolo di Global Admin o Owner l'attaccante può reimpostare password di altri amministratori, creare service principal, esfiltrare mailbox complete via Graph API, disabilitare logging e mantenere backdoor federate. I dati MITRE registrano 3 gruppi attivi sulla tecnica — LAPSUS$, Scattered Spider e Storm-0501 — e 2 campagne documentate (C0024 SolarWinds Compromise e C0027), a testimonianza di quanto la manipolazione IAM sia oggi vettore preferenziale per attori sia state-sponsored sia financially-motivated. Le mitigazioni ufficiali si concentrano su M1018, M1026 e M1032.
In un engagement red team su ambiente cloud, la simulazione di T1098.003 parte sempre dalla disponibilità di un'identità compromessa con permessi minimi di manipolazione IAM. L'obiettivo del percorso è verificare se dal set di privilegi iniziali si riesca a raggiungere un ruolo amministrativo pieno senza generare alert.
Su AWS, il primo passo è l'enumerazione delle policy attaccabili. Con la AWS CLI (open source) puoi elencare le policy gestite associate all'utente corrente tramite aws iam list-attached-user-policies --user-name
Per l'enumerazione preventiva dei percorsi di escalation, Pacu (open source) è il framework di riferimento, con moduli come iam__privesc_scan che identificano automaticamente le 20+ tecniche note. In parallelo, PMapper (open source) costruisce un grafo dei privilegi effettivi, e ScoutSuite (open source) fornisce un audit completo delle misconfigurazioni.
Su Azure, lo scenario più realistico replica il comportamento di Storm-0501: partendo da un'identità con ruolo Owner su una subscription, si invoca l'operazione Microsoft.Authorization/elevateAccess/action per ottenere User Access Administrator sul Tenant Root Group. Con Azure CLI (open source) il comando è az rest --method post --url "/providers/Microsoft.Authorization/elevateAccess?api-version=2016-07-01", seguito da az role assignment create --role "Owner" --assignee
Su Microsoft 365, la simulazione LAPSUS$ prevede l'aggiunta del ruolo Global Administrator tramite AzureAD PowerShell module (open source) con Add-AzureADDirectoryRoleMember, oppure via Microsoft Graph con New-MgDirectoryRoleMemberByRef.
In laboratorio, CloudGoat (open source) e AzureGoat (open source) offrono scenari volutamente vulnerabili per esercitare l'intera catena senza rischi legali, mentre Stratus Red Team (open source) di DataDog automatizza la detonation di T1098.003 con cleanup automatico.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.