Aggiunta a Gruppi Privilegiati: Additional Local or Domain Groups (T1098.007)
La tecnica T1098.007 descrive l'abuso della membership dei gruppi locali o di dominio come meccanismo di persistenza e privilege escalation. L'attaccante, dopo aver compromesso o creato un account, lo inserisce in gruppi ad alto privilegio come Administrators, Domain Admins, Remote Desktop Users o sudo/wheel, ottenendo un canale stabile di rientro anche in presenza di rotazione credenziali o riavvii.
Sul piano tattico la tecnica appartiene contemporaneamente a TA0003 (Persistence) e TA0004 (Privilege Escalation): la stessa modifica di appartenenza produce entrambi gli effetti, perché garantisce accesso duraturo e al contempo eleva le autorizzazioni operative dell'account. È una manovra particolarmente insidiosa perché sfrutta funzionalità amministrative legittime — net localgroup, net group, usermod, dseditgroup — senza introdurre binari sospetti sul sistema.
L'impatto è amplificato in ambienti Active Directory: l'inserimento di machine account in gruppi di dominio consente all'account SYSTEM della macchina di acquisire privilegi sul dominio, aprendo scenari di lateral movement e compromissione della foresta. I dati MITRE censiscono 7 gruppi APT e 4 famiglie di malware che adottano questo pattern, tra cui APT3, APT41, Kimsuky, FIN13, APT5 e strumenti come ServHelper, SMOKEDHAM e DarkGate, a conferma della trasversalità geografica e settoriale della tecnica.
In un ingaggio red team la modifica di gruppo è tipicamente l'atto conclusivo di una catena che parte da initial access, prosegue con la creazione o il takeover di un account e culmina nell'elevazione della membership. L'obiettivo è ottenere un canale di rientro che sopravviva a reset password, patch e riavvii.
Su Windows, i comandi nativi sono i più discreti perché parte di net.exe (S0039). Per aggiungere un utente al gruppo amministratori locale:
net localgroup Administrators
Per un gruppo di dominio, sfruttando l'utility integrata:
net group "Domain Admins"
Per garantire accesso RDP senza toccare gli amministratori:
net localgroup "Remote Desktop Users"
Un pattern osservato in Magic Hound consiste nell'abilitare l'account DefaultAccount e inserirlo in Administrators e Remote Desktop Users, mimetizzandosi tra gli account di sistema. In ambienti AD, con PowerShell e il modulo ActiveDirectory (open source, incluso in RSAT), l'operazione equivalente è Add-ADGroupMember. Per l'abuso avanzato della relazione machine-account su dominio, framework come Impacket (open source) e BloodHound (open source) permettono di mappare i path di escalation e identificare gruppi target con impatto massimo.
Su Linux l'approccio standard usa usermod:
usermod -aG sudo
Oppure, per gruppi come wheel su distribuzioni RHEL-based:
gpasswd -a
Un'alternativa più stealth è la modifica diretta di /etc/group, che bypassa i wrapper ma lascia traccia nell'auditd se configurato. Per abusi persistenti sul canale sudo, l'inserimento in gruppi già presenti in /etc/sudoers evita di toccare file monitorati.
Su macOS il comando canonico è:
dseditgroup -o edit -a
Oppure con dscl per modifiche granulari alle directory locali.
Per la simulazione controllata in lab, framework come Atomic Red Team (open source) contengono test già pronti per T1098.007 con payload replicabili. Caldera (open source) di MITRE consente di orchestrare la catena account-creation + group-add in scenari automatizzati. Nei laboratori AD, GOAD (Game of Active Directory, open source) offre un dominio vulnerabile predisposto per esercitare tecniche di manipolazione dei gruppi privilegiati e osservarne gli effetti sul path di attacco.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.