Account Cloud Compromessi: Cloud Accounts (T1078.004)
La tecnica T1078.004 descrive l'abuso di identità cloud legittime — account utente, service principal, managed identity o chiavi di accesso a storage — per ottenere ingresso e permanenza in ambienti SaaS e IaaS. Il MITRE ATT&CK la mappa su quattro tattiche: Initial Access (TA0001), Persistence (TA0003), Privilege Escalation (TA0004) e Defense Evasion (TA0005), riflettendo la sua natura trasversale nella kill chain.
Un account cloud compromesso è un moltiplicatore d'attacco: le credenziali sopravvivono ai riavvii degli endpoint, bypassano molti controlli perimetrali e, se federate o sincronizzate via Microsoft Entra Connect, permettono di pivotare tra tenant cloud e Active Directory on-premises con la stessa password. In ambienti Azure il rischio si amplifica quando l'avversario compromette risorse con Managed Identity collegata, potendo richiedere token di accesso senza mai vedere una credenziale statica.
I numeri sono significativi: 9 gruppi APT documentati (dai russi di APT29 agli iraniani di APT33, passando per il collettivo cybercriminale LAPSUS$ e Scattered Spider), 3 tool offensivi dedicati all'enumerazione e allo sfruttamento, 2 campagne di alto profilo tra cui il SolarWinds Compromise e 7 famiglie di mitigazioni. L'impatto potenziale include esfiltrazione di mailbox intere, creazione di service principal persistenti e movimento laterale verso l'infrastruttura ibrida attraverso strumenti di software deployment SaaS.
In un ingaggio autorizzato l'obiettivo è dimostrare come una credenziale cloud legittima diventi la chiave per persistenza e privilege escalation. La catena tipica parte dall'acquisizione credenziali — via phishing con Evilginx2 (open source) per intercettare token di sessione post-MFA, oppure password spraying con MSOLSpray (open source) contro endpoint Microsoft Online.
Una volta ottenuto l'accesso, il primo passo è l'enumerazione. ROADtools (open source, S0684) è lo standard per Entra ID: il comando roadrecon auth -u user@tenant.onmicrosoft.com -p 'password' genera un token, seguito da roadrecon gather per estrarre l'intero grafo del tenant in un database SQLite navigabile via GUI web. Per AWS il tool di riferimento è Pacu (open source, S1091): dopo set_keys per importare le credenziali, moduli come iam__enum_permissions e iam__privesc_scan mappano automaticamente path di escalation su ruoli mal configurati.
Su Kubernetes gestito, Peirates (open source, S0683) sfrutta service account token montati nei pod per assumere identità cloud del nodo — particolarmente efficace contro cluster EKS/GKE dove il nodo ha ruoli IAM ampi.
Per dimostrare persistenza in Azure, l'approccio classico è creare Additional Cloud Credentials su un'applicazione esistente. Con il modulo AzureAD o Microsoft.Graph di PowerShell (open source) si aggiunge un client secret a un service principal compromesso, ottenendo accesso programmatico che sopravvive al reset della password utente e spesso bypassa i controlli MFA condizionali (i service principal non fanno MFA interattivo).
Un'altra catena ad alto impatto è l'abuso di Managed Identity su Azure VM: dall'interno della VM, una chiamata all'Instance Metadata Service restituisce un token OAuth per l'identità associata. Se quella identità ha ruoli Contributor su altre subscription, il pivot è immediato. Il tool MicroBurst (open source) automatizza questa fase con Get-AzurePasswords e Invoke-EnumerateAzureSubDomains.
Per simulare Scattered Spider (G1015) e LAPSUS$ (G1004), integra social engineering verso l'help desk per il reset MFA — scenario da concordare esplicitamente nel rules of engagement. Documenta ogni token generato e revocalo a fine test tramite Revoke-AzureADUserAllRefreshToken. Usa sempre tenant di laboratorio dedicati; l'esecuzione di Pacu o ROADtools contro tenant di produzione senza autorizzazione scritta configura accesso abusivo ai sensi delle normative vigenti.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo