Movimento Laterale Cloud: Cloud Services (T1021.007)

In un esercizio red team, la simulazione di T1021.007 parte dal presupposto che siano già state acquisite credenziali valide o token applicativi tramite fasi precedenti (phishing, dump di LSASS, furto di refresh token dal browser). L'obiettivo è dimostrare la fluidità con cui un'identità compromessa attraversa il confine ibrido.

Su ambiente Azure/Entra ID, il modulo Az PowerShell (open source) consente l'autenticazione interattiva con Connect-AzAccount oppure non interattiva con Connect-AzAccount -ServicePrincipal -Credential $cred -Tenant . Da qui l'enumerazione procede con Get-AzRoleAssignment, Get-AzResource e Get-AzKeyVault. Per il piano Microsoft Graph, Microsoft Graph PowerShell SDK (open source) espone Connect-MgGraph -Scopes "Directory.Read.All" seguito da Get-MgUser, Get-MgGroup e Get-MgApplication per mappare directory, ruoli e app registration.

Strumenti specializzati offensivi permettono di andare oltre l'enumerazione base. ROADtools (open source) di Dirk-jan Mollema estrae l'intera directory Entra ID via API Graph con roadrecon auth e roadrecon gather, producendo un database SQLite navigabile via GUI. AzureHound (open source) genera dati importabili in BloodHound per visualizzare percorsi di privilege escalation nel tenant. MicroBurst (open source) di NetSPI include script PowerShell per l'estrazione di segreti dai Key Vault e l'enumerazione di storage account.

Su AWS, la CLI ufficiale (open source) autenticata con chiavi rubate o token STS consente comandi come aws sts get-caller-identity, aws ec2 describe-instances --region us-east-1 e aws iam list-attached-user-policies --user-name . Pacu (open source) di Rhino Security Labs automatizza l'enumerazione e l'exploitation post-compromise con moduli come iam__enum_permissions e ec2__enum. Il caso di Scattered Spider, che ha riutilizzato istanze EC2 preesistenti per movimento laterale, si simula bene creando sessioni SSM verso EC2 con aws ssm start-session --target .

Su Google Cloud, gcloud auth login seguito da gcloud projects list e gcloud iam service-accounts list fornisce la base per l'enumerazione, mentre GCP-IAM-Privilege-Escalation (open source) di Rhino Security cataloga percorsi di escalation noti.

Un red team maturo simula anche l'abuso di Entra Connect Sync, sfruttando l'account MSOL_ con permessi DCSync per estrarre credenziali dal domain controller e pivotare in cloud — pattern osservato con Storm-0501. Il tool AADInternals (open source) di Nestori Syynimaa espone funzioni come Get-AADIntSyncCredentials per estrarre le credenziali del sync account in laboratorio.

La detection di T1021.007 richiede correlazione tra log di identity provider, control plane cloud e comportamento utente. Il rilevamento MITRE DET0008 articola quattro angoli di osservazione complementari: IaaS, Identity Provider, Office Suite e SaaS.

Sul piano IaaS, le fonti chiave sono AWS CloudTrail e GCP Cloud Audit Logs. Gli eventi di interesse includono ConsoleLogin, AssumeRole, GetSessionToken e chiamate API amministrative subito successive al login. Le regole comportamentali dovrebbero pesare la divergenza geografica del sourceIPAddress rispetto alla baseline utente, la presenza di user-agent atipici (es. aws-cli/2.x per un utente che opera solo da console) e la finestra temporale tra autenticazione ed enumerazione risorse. Un attaccante che si autentica e in pochi secondi esegue DescribeInstances su regioni mai usate genera un segnale forte.

Sul lato Identity Provider, i log Okta SystemLog, Entra ID Sign-in Logs e Google Workspace Login Audit permettono di individuare login federati SSO/OAuth verso il control plane seguiti da enumerazione di directory o permessi. Va monitorata la velocity (login geograficamente impossibili in intervalli brevi), l'uso di applicazioni OIDC inusuali per l'utente, e il grant di consenso OAuth verso app non censite. Le tecniche difensive D3FEND applicabili includono Authentication Event Thresholding e Session Duration Analysis.

Per Office Suite (M365 e Google Workspace), il log m365:unified (Unified Audit Log) evidenzia login da CLI o IP inattesi seguiti da accesso massivo a mailbox o documenti. Segnali di alto valore sono MailItemsAccessed con volumi anomali, FileDownloaded su repository SharePoint sensibili, e l'uso di eDiscovery o Compliance Search da parte di account non appartenenti al team compliance — pattern osservato con APT29.

Sul canale SaaS, i log di autenticazione delle applicazioni terze rivelano l'uso di token OAuth emessi prima di un reset password (indicatore di persistenza post-compromise) e accesso a dati regolamentati da app inattese.

I falsi positivi principali derivano da amministratori legittimi che usano CLI da nuove postazioni, integrazioni CI/CD con service principal, e VPN aziendali che alterano la geolocalizzazione. La mitigazione consiste nel baselining per utente e per service principal, con score cumulativo su più segnali. Sul piano preventivo, M1032 (MFA) e M1026 (Privileged Account Management) con Azure PIM o AWS IAM Identity Center riducono drasticamente la superficie, imponendo elevazione just-in-time e separazione tra account on-premises e cloud-only.

L'analisi forense di T1021.007 ricostruisce una timeline distribuita tra endpoint compromesso, identity provider e control plane cloud. Il punto di partenza è quasi sempre un artefatto locale: token cached, refresh token del browser, o credenziali del sync server.

Su endpoint Windows, i token OAuth di Azure PowerShell e AZ CLI sono cached in %USERPROFILE%.Azure\TokenCache.dat e %USERPROFILE%.Azure\AzureRmContext.json. Per Microsoft Graph PowerShell il percorso è *%LOCALAPPDATA%.IdentityService* con file msal.cache. I refresh token del browser Edge/Chrome per sessioni M365 risiedono nei database Login Data e Cookies sotto *%LOCALAPPDATA%\Microsoft\Edge\User Data\Default*. L'estrazione con DPAPI decryption via mimikatz (open source) o SharpChrome (open source) su acquisizione a freddo permette di correlare il furto con successivi login cloud.

Gli Event Log rilevanti includono Security 4624 (logon type 3 verso il sync server), Microsoft-Windows-PowerShell/Operational 4104 con evidenza di Connect-AzAccount o Connect-MgGraph, e per gli attacchi a Entra Connect il log applicativo Directory Service sul domain controller con evento 4662 verso l'account MSOL_. Il caso Storm-0501 documenta proprio l'abuso del server di sincronizzazione: sull'host va analizzato il servizio ADSync, il database SQL LocalDB in *%ProgramData%\Microsoft\Azure AD Connect* e i log in *%ProgramData%\AADConnect*.

Lato cloud, gli artefatti primari sono i log di audit persistiti. Azure Entra ID Sign-in Logs e Audit Logs (retention 30 giorni default, estesa via Log Analytics) contengono correlationId, sessionId, appId dell'applicazione OIDC, deviceId e conditional access result. AWS CloudTrail con bucket S3 dedicato conserva eventi con userIdentity.type, sessionCredentialFromConsole, userAgent e sourceIPAddress. GCP Cloud Audit Logs offre granularità simile su protoPayload.authenticationInfo.

La timeline forense tipica ricostruisce: (1) compromissione endpoint e furto token, (2) prima autenticazione cloud da IP attaccante con user-agent CLI, (3) enumerazione directory/risorse, (4) creazione di persistenza tramite service principal o app registration con client secret, (5) esfiltrazione o movimento laterale ulteriore.

Per la campagna C0027, l'artefatto discriminante era l'uso di credenziali Azure compromesse per pivotare verso sistemi on-premises — inverso del pattern usuale, che richiede analisi bidirezionale tra CloudTrail/Entra logs e event log Windows. Hayabusa (open source) per il parsing degli EVTX e Azure-Sentinel-Notebooks (open source) per l'analisi Jupyter dei log cloud accelerano la ricostruzione. Strumenti come Untitled Goose Tool (open source, CISA) automatizzano la raccolta di artefatti da tenant Azure e M365 durante incident response.

Il panorama degli attori che sfruttano T1021.007 è dominato da tre profili con motivazioni e TTP distinti, ma accomunati dall'abuso della fiducia identity-centric.

APT29 (noto anche come Cozy Bear, Midnight Blizzard, attribuito al servizio di intelligence estero russo SVR) rappresenta l'archetipo dell'attore state-sponsored specializzato in operazioni cloud. Il gruppo ha ripetutamente sfruttato account on-premises altamente privilegiati sincronizzati con Office 365 per muoversi lateralmente nel tenant, utilizzando Azure AD PowerShell come strumento primario. Il targeting è coerentemente orientato a intelligence collection: governi, think tank, aziende tech con accesso a proprietà intellettuale strategica. La sofisticazione operativa include tecniche come Golden SAML e abuso di service principal per persistenza a lungo termine, spesso combinati con T1021.007 in kill chain estese.

Scattered Spider (UNC3944, Octo Tempest, Muddled Libra) è un collettivo cybercriminale a matrice anglofona con forte componente di social engineering. Il gruppo ha dimostrato agilità nell'ambiente cloud, sfruttando istanze AWS EC2 preesistenti nelle vittime per movimento laterale e raccolta dati — un approccio living-off-the-cloud che minimizza artefatti nuovi. La campagna C0027 (giugno-dicembre 2022) ha colpito settore telecomunicazioni e BPO con obiettivi finanziari, combinando SIM swapping, phishing vocale sofisticato verso help desk e abuso di credenziali Azure compromesse per pivotare verso sistemi on-premises. Il pattern inverso (cloud-to-on-prem) distingue il gruppo dalla maggior parte degli attori.

Storm-0501 è emerso come attore ransomware con specializzazione ibrida. Il gruppo ha sfruttato server Entra Connect Sync compromessi come pivot strategico dall'ambiente on-premises al tenant cloud, dimostrando comprensione profonda dell'architettura di sincronizzazione identità. L'account MSOL_ con permessi DCSync diventa il vettore ideale per estrarre credenziali e propagarsi bidirezionalmente. Il modello operativo di Storm-0501 combina crittografia di risorse cloud (blob storage, database) con estorsione, un'evoluzione del ransomware tradizionale verso il control plane.

Il trend comune ai tre attori è la convergenza sull'identità come nuovo perimetro. La sincronizzazione ibrida, pensata per usabilità, offre un'unica superficie sfruttabile in entrambe le direzioni. Le contromisure prioritarie sono la separazione strutturale degli account cloud-only privilegiati (M1026), l'imposizione universale di MFA phishing-resistant (M1032, con preferenza per FIDO2), e la protezione tier-0 del sync server come si trattasse di un domain controller. La telemetria unificata tra CloudTrail/Entra Logs e EDR endpoint è la precondizione tecnica per detection efficace, poiché nessun log source isolato racconta l'intera storia.

MITRE ATT&CK T1021.007 (Cloud Services), gruppi G0016 (APT29), G1015 (Scattered Spider), G1053 (Storm-0501), campagna C0027, mitigazioni M1026 e M1032, detection DET0008. Riferimenti MITRE D3FEND per Authentication Event Thresholding e Session Analysis. Il documento integra conoscenza professionale di cybersecurity per la descrizione di tool operativi (ROADtools, AzureHound, Pacu, MicroBurst, AADInternals, Untitled Goose Tool, Hayabusa) e sintassi CLI ufficiali di Azure PowerShell, Microsoft Graph SDK, AWS CLI e gcloud.