Compromissione Account Cloud: Cloud Accounts (T1586.003)
La tecnica T1586.003 descrive la compromissione di account cloud che l'avversario riutilizza come infrastruttura operativa, invece di acquistarne di propri. Appartiene alla tattica TA0042 (Resource Development), la fase in cui l'attaccante crea, acquista o ruba risorse a supporto dell'intera catena d'attacco, ben prima dell'accesso iniziale alla vittima finale.
Un account cloud sottratto — che sia Google Workspace, Microsoft OneDrive, Dropbox o un tenant AWS — offre storage per esfiltrazione e caricamento tool, capacità di calcolo tramite VPS e funzioni serverless, oltre a servizi di messaggistica come Twilio, SendGrid, AWS SES e SNS sfruttabili per spam e phishing. Il vantaggio strategico è duplice: l'avversario sviluppa capacità sofisticate senza gestire server propri e beneficia della reputazione legittima dell'infrastruttura compromessa, che elude molti filtri.
I metodi di compromissione sono vari: raccolta di credenziali tramite phishing, acquisto su mercati clandestini, password spraying e furto di token applicativi. In alcuni casi l'avversario punta ad account privilegiati dei fornitori di servizi per sfruttare una relazione di fiducia con i loro clienti.
L'impatto va misurato in termini di attribuzione: il traffico C2 e l'esfiltrazione transitano da domini e IP legittimi, complicando il blocco basato su reputazione. I dati MITRE ATT&CK associano a questa tecnica 2 gruppi, 1 campagna e 1 mitigazione, a conferma di un uso mirato ma ad alto valore operativo.
Trattandosi di una tecnica pre-compromise (TA0042), in un ingaggio red team l'obiettivo non è violare account cloud di terzi — operazione illegale e fuori scope — ma simulare in laboratorio l'acquisizione e l'abuso di account cloud entro tenant di proprietà, per validare le difese del cliente.
Un approccio lab-safe parte dalla ricostruzione della catena di compromissione delle credenziali. Il password spraying contro un tenant di test Microsoft 365 si simula con MSOLSpray (open source), che tenta poche password comuni su molte utenze per evitare il lockout. Per l'enumerazione e l'abuso post-accesso di identità Azure/Entra ID si usa ROADtools (open source), utile a mappare token, applicazioni e permessi delegati che consentirebbero il furto di application access token.
Sul fronte AWS, dopo aver ottenuto credenziali in un account di laboratorio, Pacu (open source) permette di enumerare permessi IAM, individuare bucket S3 accessibili e verificare l'idoneità dell'account a ospitare storage di esfiltrazione o funzioni Lambda serverless. La CLI ufficiale AWS resta lo strumento base: un comando come
aws sts get-caller-identity
conferma quale identità stai impersonando, mentre aws s3 ls elenca i bucket disponibili come possibile deposito tool.
La catena d'attacco tipica che riproduci in demo è: raccolta credenziali via phishing simulato → validazione con spray → accesso al tenant → uso dello storage cloud (Google Drive, OneDrive, S3) come canale di upload tool ed esfiltrazione → eventuale spin-up di VPS o servizi di messaggistica per il C2.
È proprio questo che i dati MITRE documentano: APT41 nella campagna APT41 DUST ha usato account Google Workspace compromessi per il command and control, e APT-C-36 account Google Drive sottratti — uno riconducibile a un ente governativo colombiano. APT29 ha invece sfruttato proxy residenziali e macchine virtuali Azure per offuscare l'accesso.
Per la parte offensiva su Google Workspace puoi appoggiarti a GHunt (open source) per l'OSINT sugli account e, in ambiente controllato, a GCPBucketBrute (open source) per testare l'esposizione degli storage. L'obiettivo dell'esercizio è dimostrare quanto sia difficile distinguere il traffico verso questi provider legittimi da quello benigno, così da giustificare controlli su MFA, conditional access e monitoraggio dei token.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.