Credenziali di Dominio in Cache: Cached Domain Credentials (T1003.005)

In un ingaggio red team autorizzato, il prelievo delle credenziali cached parte quasi sempre da un accesso privilegiato già acquisito. Su Windows il percorso classico consiste nell'esportare gli hive di registro SECURITY e SYSTEM, che contengono rispettivamente il materiale cifrato dei DCC2 e la SysKey necessaria a decifrarli.

Con privilegi SYSTEM (via PsExec -s o token stealing) i comandi sono:

reg save HKLM\SYSTEM C:\Windows\Temp\sys.hive reg save HKLM\SECURITY C:\Windows\Temp\sec.hive

Gli hive vengono poi processati offline con impacket-secretsdump (open source), parte del framework Impacket di Fortra:

secretsdump.py -system sys.hive -security sec.hive LOCAL

L'output include la sezione [*] Dumping cached domain logon information (domain/username:hash) con hash in formato $DCC2$10240#user#hash, direttamente utilizzabile con Hashcat (open source, modalità -m 2100) o John the Ripper (open source, formato mscash2). Data la derivazione PBKDF2 con 10240 iterazioni, il cracking è considerevolmente più lento rispetto a NTLM: pianificare wordlist mirate (aziendali, stagionali) e regole di mutazione è essenziale.

In alternativa Mimikatz (open source) offre il modulo dedicato:

privilege::debug token::elevate lsadump::cache

Il vecchio Cachedump di fizzgig e strumenti automatizzati come LaZagne (open source, modulo windows all) semplificano la raccolta ma sono ampiamente firmati dagli AV, quindi in scenari evasivi conviene lavorare direttamente con hive esportati e trasferiti fuori host.

Su Linux con integrazione SSSD, dopo aver ottenuto root:

tdbdump /var/lib/sss/db/cache.CORP.LOCAL.ldb | grep -i hash

Per Quest VAS il file è vas_auth.vdb, apribile con la stessa utility del pacchetto tdb-tools (open source). Lo strumento Linikatz (open source, progetto di CyberArk Labs su GitHub) automatizza l'estrazione da entrambi i backend e produce hash pronti per il cracking.

Durante l'esercizio è raccomandato limitare l'attività a host segregati di laboratorio, documentare hash e password recuperati in vault cifrati, e coordinare con il blue team le finestre temporali per validare la telemetria di detection. Verificare anche il valore di HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\CachedLogonsCount: se è impostato a 0 la cache è vuota e la tecnica non produce risultato.

La detection di T1003.005 si basa sulla correlazione tra elevazione di privilegi, accesso a hive di registro sensibili e spawn di processi di dumping. Il riferimento MITRE DET0513 identifica due analitiche complementari (AN1417 per Windows, AN1418 per Linux) che vale la pena implementare come regole SIEM parallele.

Su Windows le fonti primarie sono Security e Sysmon. Gli EventCode chiave includono 4688 (process creation, con command line abilitata via GPO) e 4663 (object access) sugli hive SECURITY e SYSTEM. Con Sysmon monitorare Event ID 1 per processi che invocano reg.exe save, reg.exe export, o powershell.exe con parametri riconducibili al dumping, e Event ID 11 per la creazione di file .hive, .save o .reg in directory temporanee. Particolare attenzione a Event ID 10 (ProcessAccess) verso lsass.exe con GrantedAccess 0x1010 o 0x1410, spesso combinato con l'accesso alle cache.

Una regola efficace correla in una finestra di 60 secondi: elevazione di privilegi (Event 4672 con SeDebugPrivilege o SeBackupPrivilege), esecuzione di reg save con target HKLM\SECURITY o HKLM\SYSTEM, e successiva creazione file. La firma di secretsdump su rete (SMB verso ADMIN$ con creazione di servizio temporaneo) è visibile via Event ID 7045 e 5145.

Dal punto di vista D3FEND, i controlli Detect rilevanti sono Process Spawn Analysis e System Call Analysis; sul fronte Harden, l'inserimento degli utenti privilegiati nel gruppo Protected Users e la riduzione di CachedLogonsCount a 0-1 per workstation amministrative sono mitigazioni preventive tracciate come M1015 e M1028.

Su Linux le fonti sono auditd e osquery. Configurare regole auditd sui path SSSD e Quest:

-w /var/lib/sss/db/ -p rwa -k sssd_cache_access -w /var/opt/quest/vas/authcache/ -p rwa -k vas_cache_access

Gli eventi SYSCALL e EXECVE devono essere correlati per identificare tdbdump, cat o dd invocati come root contro questi file. In osquery la tabella process_events con filtro su cmdline LIKE '%cache_%.ldb%' produce alert mirati.

Falsi positivi tipici: backup enterprise che leggono l'hive SECURITY (Veeam, Commvault), aggiornamenti SSSD, script di health-check che invocano sssctl. Whitelist basate su parent process e signing del binario riducono il rumore. Un tuning consigliato prevede soglia di severità ALTA quando reg save e creazione hive avvengono da parent non standard (non mmc.exe, non services.exe).

L'analisi forense di un incidente T1003.005 richiede la ricostruzione di tre elementi: l'elevazione di privilegi che ha reso possibile l'accesso alla cache, l'artefatto di dumping vero e proprio, e l'eventuale esfiltrazione degli hash verso infrastruttura di cracking.

Su Windows gli artefatti primari risiedono nel registro. L'hive SECURITY (percorso %SystemRoot%\System32\config\SECURITY) contiene la chiave Cache con i valori NL$1 … NL$10 che rappresentano gli hash DCC2. La chiave HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\CachedLogonsCount va ispezionata per determinare quante credenziali potevano essere presenti al momento del compromesso. Utilizzare RegRipper (open source) con il plugin cachedump oppure Registry Explorer di Eric Zimmerman (gratuito) per navigare gli hive acquisiti.

La timeline di attività si costruisce combinando: MFT (analizzato con MFTECmd di Zimmerman, gratuito) per identificare la creazione di file .hive o .save in C:\Windows\Temp, C:\Users\Public o percorsi custom; UsnJrnl per cambi di stato ravvicinati; Prefetch (C:\Windows\Prefetch\REG.EXE-*.pf) che testimonia l'esecuzione di reg.exe con timestamp precisi ricavabili con PECmd (gratuito). Amcache.hve e ShimCache documentano l'esecuzione di binari come mimikatz.exe, secretsdump.py o lazagne.exe, anche se rinominati (il PE header e l'hash SHA1 restano).

Gli Event Log conservati in %SystemRoot%\System32\winevt\Logs\ — in particolare Security.evtx, Microsoft-Windows-Sysmon%4Operational.evtx e Microsoft-Windows-PowerShell%4Operational.evtx — vanno esportati e analizzati con EvtxECmd (gratuito) o Chainsaw (open source, WithSecure) per generare timeline unificate compatibili con Sigma.

Su Linux i file cache SSSD e VAS conservano i propri timestamp di accesso e modifica. L'analisi di /var/log/audit/audit.log con ausearch -k sssd_cache_access -ts recent restituisce le syscall di lettura dei database, mentre .bash_history degli utenti privilegiati, /var/log/auth.log per gli eventi sudo e /var/log/secure per le sessioni SSH consentono di attribuire l'azione a un account. Il timestamp atime sui file cache può indicare l'ultimo accesso, ma solo se il filesystem non è montato con noatime.

Dal punto di vista D3FEND gli artefatti mappati sono Registry Key, File, Process e User Account. Correlare l'ID di sessione dell'utente (Logon ID nell'Event 4624) con i processi che hanno acceduto agli hive fornisce l'attribuzione richiesta in un report giudiziario.

In presenza di Okrum o strumenti simili, cercare varianti di Quarks PwDump (open source, dismesso ma ancora reperibile) con hash noti da threat intelligence e artefatti di persistenza correlati.

Il panorama degli attori che sfruttano T1003.005 è dominato da gruppi con forte legame all'ecosistema mediorientale, con una convergenza notevole sull'uso di LaZagne come tool preferito per l'estrazione automatizzata delle credenziali cached.

OilRig (G0049), noto anche come APT34 o Helix Kitten, è un attore riconducibile a operazioni di intelligence iraniane. Nelle sue campagne ha impiegato LaZagne per raccogliere credenziali sia dagli account localmente loggati sia da Outlook Web Access, evidenziando un pattern in cui la cache DCC2 rappresenta uno dei tanti vettori di harvesting all'interno di una strategia multi-source. Il gruppo predilige target nel settore energetico, governativo e finanziario in Medio Oriente.

APT33 (G0064), anch'esso attribuito all'Iran e talvolta tracciato come Elfin, ha fatto ampio uso di tool pubblicamente disponibili tra cui LaZagne, riducendo il rischio di attribuzione forense basata su codice custom. Il gruppo è storicamente associato ad attacchi contro il settore aerospaziale e petrolchimico, con particolare attenzione a Arabia Saudita e Stati Uniti.

MuddyWater (G0069), cluster iraniano attivo dal 2017 e collegato al MOIS, integra LaZagne nelle proprie catene post-exploitation dopo l'esecuzione di PowerShell dropper. Le vittime tipiche includono telco, enti governativi ed entità del settore petrolifero in Medio Oriente, Asia centrale ed Europa.

Leafminer (G0077), sovrapponibile in parte a operazioni iraniane, ha utilizzato diversi tool per recuperare login e password, tra cui LaZagne, confermando la tendenza regionale a standardizzare su strumenti open source di credential dumping.

Sul fronte software, oltre a LaZagne (S0349) che rimane il denominatore comune, i dati MITRE censiscono Cachedump (S0119) — utility storica specificamente dedicata all'estrazione degli hash MSCache — e Pupy (S0192), RAT modulare open source che incorpora LaZagne come modulo di post-exploitation. Okrum (S0439), malware attribuito al gruppo Ke3chang, adotta invece una variante modificata di Quarks PwDump per la stessa finalità, dimostrando che anche cluster non iraniani mantengono la tecnica nel proprio arsenale.

Il pattern emergente è duplice: da un lato la scelta strategica di tool open source ampiamente noti per confondere l'attribuzione; dall'altro, l'inserimento della raccolta cached credentials come step precoce della post-exploitation, propedeutico al cracking offline e al movimento laterale verso asset di valore. Per un CTI officer questo si traduce in priorità di detection sui binari LaZagne (anche rinominati, tracciabili per import table e stringhe) e su comportamenti reg save seguiti da esfiltrazione, indipendentemente dal cluster di attribuzione.

Dati primari da MITRE ATT&CK per la tecnica T1003.005, mappatura difensiva MITRE D3FEND (Process Spawn Analysis, System Call Analysis, User Account Locking), analitica DET0513 con sub-analitiche AN1417 e AN1418. Gruppi citati: G0049, G0064, G0069, G0077. Software: S0119, S0192, S0349, S0439. Mitigazioni: M1015, M1017, M1026, M1027, M1028. Per comandi operativi, tool di detection e artefatti forensi è stata integrata conoscenza professionale di cybersecurity relativa a strumenti open source e commerciali verificabili (Impacket, Mimikatz, Hashcat, Sysmon, RegRipper, Zimmerman Tools, Chainsaw, auditd, osquery).