Furto di Ticket Kerberos: Ccache Files (T1558.005)

L'obiettivo in un red team engagement è dimostrare la catena completa: compromissione locale → estrazione ccache → Pass-the-Ticket → movimento laterale. La premessa è avere già eseguito codice sul target Linux o macOS, tipicamente come utente non privilegiato o via escalation locale.

Su Linux, il primo passo è l'enumerazione dei ticket disponibili. Il comando klist -A mostra tutte le cache dell'utente corrente, mentre un semplice ls -la /tmp/krb5cc_* rivela i ccache di altri utenti spesso lasciati con permessi 600 ma leggibili in scenari di condivisione errata. Con privilegi di root, la copia è banale:

cp /tmp/krb5cc_1001 /tmp/stolen_ticket

export KRB5CCNAME=/tmp/stolen_ticket

klist

A questo punto ogni comando che parla Kerberos — SSH con GSSAPI, mount di condivisioni CIFS, query LDAP — userà l'identità della vittima.

Il passaggio verso Active Directory richiede la conversione del formato. Impacket (open source) è lo standard di fatto: ticketConverter.py stolen_ticket.ccache stolen_ticket.kirbi produce il formato consumabile su Windows. La suite Impacket copre anche il forging completo con ticketer.py per generare Golden/Silver Ticket dato un hash o una aesKey, e getST.py per richiedere service ticket via S4U2Self/S4U2Proxy in scenari di delegazione non vincolata.

Per scenari più realistici di lateral movement post-furto, psexec.py e wmiexec.py di Impacket consumano direttamente il ccache tramite la variabile KRB5CCNAME, evitando qualsiasi passaggio di password sulla rete.

Su macOS, l'estrazione dalla memoria è più complessa perché la cache non risiede su disco. Bifrost (open source, disponibile su GitHub del progetto TrustedSec) interagisce con le API del framework Kerberos per dumpare TGT e service ticket dal keychain di sessione, con comandi come bifrost --action askhash --user target@REALM per interrogare la cache in memoria.

In laboratorio è utile costruire un dominio Kerberos MIT con FreeIPA o un realm Active Directory con un client Linux integrato via SSSD, così da riprodurre entrambi i pattern. Ricorda di forzare la variabile KRB5_TRACE=/dev/stderr durante i test per osservare il traffico Kerberos generato dai tool e affinare la comprensione delle richieste AS-REQ/TGS-REQ risultanti.

La detection di T1558.005 è un problema di correlazione tra tre eventi che, presi singolarmente, sono benigni: accesso a un file in /tmp, esecuzione di un processo, richiesta Kerberos verso il KDC. La detection AN0069 di MITRE su Linux modella esattamente questa catena.

La telemetria di base su Linux è auditd con regole mirate sui percorsi ccache. Una regola efficace intercetta ogni open/read sui pattern noti:

-w /tmp/krb5cc_ -p rwa -k ccache_access

-w /tmp/krb5.ccache -p rwa -k ccache_access

È utile aggiungere una regola sulla syscall execve per catturare l'invocazione della variabile KRB5CCNAME nell'ambiente del processo figlio, correlando poi con il PID. Sysmon for Linux (open source) fornisce eventi FileCreate e ProcessCreate con parent PID, semplificando la correlazione in SIEM.

La logica di alerting deve basarsi su un baseline dei processi autorizzati (klist, kinit, sssd_be, gssproxy, client SSH con GSSAPI, mount.cifs). Ogni processo fuori da questa lista che apra un ccache è candidato ad alert ad alta severità. Particolarmente sospetti sono interpreti (python, perl), shell che leggono direttamente il file, o processi con nome random compatibile con drop di malware.

Il secondo livello di correlazione lega l'accesso al file con una successiva richiesta TGS-REQ verso il KDC da un principal che non ha appena eseguito una AS-REQ. Se il dominio è Active Directory integrato, il KDC logga l'evento 4769 (Service Ticket Request); su MIT Kerberos e Heimdal i log del KDC contengono le richieste per principal. Una finestra di correlazione di 60-120 secondi tra accesso ccache anomalo e TGS-REQ dal client corrispondente identifica il Pass-the-Ticket.

Su macOS (AN0070), la telemetria proviene da unified log e osquery (open source). Filtri su predicati come subsystem == "com.apple.Kerberos" mostrano le chiamate al framework; processi non presenti nel baseline (loginwindow, kinit, sso_extension) che invocano queste API sono anomali. Tool come Bifrost o porting di Mimikatz emergono qui.

I falsi positivi principali derivano da agent di backup che scansionano /tmp, tool di monitoring che enumerano processi con environment, e job schedulati che rinnovano ticket in cron. Il tuning richiede whitelist per PID/binari firmati e finestre temporali che escludano i rinnovi periodici (tipicamente ogni 8-10 ore). Sul piano preventivo, controlli Harden utili includono restrizioni SELinux/AppArmor sui path ccache e l'adozione di KEYRING o KCM come storage al posto dei file su disco, eliminando alla radice la superficie di lettura.

L'analisi forense del furto ccache richiede di ricostruire chi ha letto quale ticket, quando, e cosa ha fatto immediatamente dopo. Gli artefatti si distribuiscono tra filesystem, log di audit, log del KDC e memoria.

Su Linux, il primo punto di raccolta è la directory /tmp. Anche dopo la cancellazione del ccache, i timestamp atime e mtime dei file superstiti possono indicare accessi anomali; se il filesystem è ext4 con journaling completo, debugfs consente il recupero di inode recentemente deallocati, potenzialmente riportando alla luce il contenuto binario del ccache. Il formato è documentato (MIT ccache v4) e strumenti come klist -c di MIT Kerberos leggono il dump per estrarre principal, service names, timestamp di emissione e scadenza dei ticket — informazioni cruciali per determinare quali sessioni Kerberos siano state compromesse.

I log auditd in /var/log/audit/audit.log forniscono la timeline degli accessi se le regole erano attive: cercare eventi con key ccache_access correlati per PID al processo padre tramite ausearch -k ccache_access -i. In assenza di auditd preconfigurato, i log di journald e i file in /var/log/secure mostrano le sessioni SSH e sudo che precedono l'accesso, utili a inquadrare l'attaccante.

Un artefatto sottovalutato è la shell history dell'utente compromesso (.bash_history, .zsh_history) e la variabile KRB5CCNAME eventualmente esportata in file di profilo (.bashrc, .profile), che indicano manipolazione persistente del path della cache. Il file /etc/krb5.conf va acquisito e confrontato con backup: modifiche al parametro default_ccache_name possono indicare redirezione verso path controllati dall'attaccante.

Sul lato KDC, i log di Active Directory contengono eventi 4768 (TGT request) e 4769 (Service Ticket request). La correlazione chiave è un 4769 originato da un IP client senza precedente 4768 nella finestra di validità del ticket: segno che il TGT proveniva da altrove, ovvero rubato. In ambiente MIT/Heimdal, i log del KDC in /var/log/krb5kdc.log mostrano principal e client address delle richieste.

Su macOS, la cache in memoria si estrae con sudo klist -A durante l'incident response live, mentre l'unified log (log show --predicate 'subsystem == "com.apple.Kerberos"' --last 24h) ricostruisce l'attività Kerberos delle ultime ore. La presenza di binari non firmati Apple che hanno interagito col framework è indicativa di tool offensivi come Bifrost. Quarantine attributes e xattr -l sui binari sospetti aiutano a determinare vettore di ingresso e provenienza.

I dati MITRE ATT&CK per T1558.005 non registrano gruppi APT né campagne pubbliche formalmente attribuite a questa specifica sottotecnica. L'unico software mappato è Impacket (S0357), la suite Python open source sviluppata originariamente da Core Security e oggi mantenuta da Fortra, che rappresenta lo strumento di riferimento per la manipolazione di ccache attraverso getST.py e ticketer.py, capaci di forgiare o rubare ticket Kerberos partendo da password, hash NT, chiavi AES o TGT preesistenti.

Dal punto di vista dell'intelligence, l'assenza di attribuzioni formali non deve essere letta come irrilevanza operativa. La tecnica si inserisce nella famiglia più ampia dello Steal or Forge Kerberos Tickets (T1558), dove sono documentati abusi da parte di numerosi attori, e rappresenta il naturale complemento Linux/macOS delle tecniche originariamente sviluppate su Windows (Golden Ticket, Silver Ticket, Kerberoasting). L'espansione di Active Directory verso ambienti misti — client Linux integrati via SSSD, Mac gestiti tramite Jamf con Kerberos SSO, container che si autenticano al dominio — ha ampliato la superficie ccache e reso T1558.005 rilevante in scenari enterprise moderni.

Il tool overlap con Impacket è il segnale operativo più forte: qualsiasi attore che utilizzi Impacket per lateral movement in AD ha, di fatto, capacità T1558.005 nativa. Impacket è ubiquo tra ransomware operator, gruppi di cybercrime e APT state-sponsored per la sua natura open source e la portabilità cross-platform. La conversione di ccache a formato kirbi tramite ticketConverter.py è pattern documentato in intrusioni che iniziano da compromissione Linux (server web, CI/CD, jump host) e pivotano verso Windows.

Il pattern geografico non è determinabile con i dati forniti. Tuttavia, il trend osservabile a livello di intelligence più ampia mostra un crescente interesse verso il pivot Linux-to-AD, spinto dall'adozione di workload cloud-native e dalla presenza di infrastruttura CI/CD con service account Kerberos privilegiati.

Sul piano prospettico, tre tendenze meritano monitoraggio. La prima è l'integrazione di capacità ccache-parsing in framework di post-exploitation general purpose, che abbassa la soglia di ingresso. La seconda è l'estensione verso macOS enterprise, dove strumenti come Bifrost hanno dimostrato la fattibilità dell'estrazione da memoria via API framework. La terza è l'abuso di ccache in contesti containerizzati e Kubernetes dove pod con volumi emptyDir montati in /tmp possono esporre ticket di service account cross-tenant. Per un CISO, la priorità difensiva è ridurre la persistenza dei ccache su disco adottando storage KEYRING o KCM e restringendo l'accesso con controlli MAC (SELinux, AppArmor).

MITRE ATT&CK: T1558.005 (Ccache Files), TA0006 (Credential Access), S0357 (Impacket), M1043, M1047. Detection: DET0024 con analitiche AN0069 (Linux, auditd) e AN0070 (macOS, unified log/osquery). MITRE D3FEND: mapping tecniche difensive Detect e Harden per credenziali Kerberos. Documentazione ufficiale MIT Kerberos e Heimdal per formato ccache. Repository GitHub di Impacket (Fortra) e Bifrost (TrustedSec). Integrata conoscenza professionale verificata su comandi auditd, sintassi Impacket, artefatti forensi Linux/macOS e configurazioni SSSD.