Creazione Account: Create Account (T1136)

La creazione di account rappresenta una delle tecniche di persistenza più subdole e durature nel panorama offensivo moderno. Catalogata come T1136 all'interno della tattica TA0003 (Persistence) del framework MITRE ATT&CK, questa tecnica consente all'avversario di garantirsi un accesso credenziale secondario che sopravvive a riavvii, cambi di password degli utenti compromessi e rimozione di impianti malware.

La logica è tanto semplice quanto efficace: perché mantenere una backdoor rumorosa quando è possibile creare un utente legittimo che si confonde nel rumore di fondo delle operazioni IT quotidiane? L'account può essere locale, di dominio, oppure residente in un tenant cloud, e in quest'ultimo scenario l'attaccante spesso limita i privilegi a servizi specifici per ridurre la visibilità.

I numeri parlano chiaro: 3 gruppi APT documentati (tra cui Indrik Spider, Scattered Spider e Salt Typhoon), 1 famiglia malware (LockBit 2.0) e 1 campagna storica (l'attacco alla rete elettrica ucraina del 2016 condotto da Sandworm Team) utilizzano questa tecnica come pilastro delle loro operazioni. Le mitigazioni MITRE si articolano su 4 controlli principali: Privileged Account Management, Operating System Configuration, Network Segmentation e Multi-factor Authentication, a testimonianza di quanto sia difficile contenere una tecnica che sfrutta funzionalità native del sistema operativo.

In un ingaggio red team, la creazione di un account è tipicamente la seconda mossa dopo aver ottenuto privilegi amministrativi, subito prima di stabilire un canale C2 secondario. La regola d'oro è mimetizzarsi: un account chiamato svc_backup o helpdesk_temp scivola tra le maglie di un audit superficiale molto meglio di admin1.

Su Windows, il comando base rimane net user pentester Password123! /add seguito da net localgroup Administrators pentester /add per l'escalation. Un approccio più stealth utilizza WMI, come documentato per Indrik Spider:

wmic.exe useraccount create Name="svc_update" Password="..." FullName="Update Service"

In ambiente Active Directory, il PowerShell module ActiveDirectory offre il cmdlet New-ADUser, mentre da endpoint compromesso senza RSAT si ricorre a net user /add /domain oppure alle chiamate LDAP dirette tramite Impacket (open source), in particolare addcomputer.py per creare account macchina utili al successivo abuso di delega Kerberos.

Su Linux, la sequenza classica è useradd -m -s /bin/bash sysmon && passwd sysmon, seguita da usermod -aG sudo sysmon. La variante osservata in Salt Typhoon su apparati di rete prevede modifiche dirette a /etc/passwd e /etc/shadow, tecnica utile quando gli utility binari sono monitorati o assenti. Un one-liner per aggiungere un utente UID 0 senza toccare useradd:

echo 'backup:x:0:0::/root:/bin/bash' >> /etc/passwd

Su macOS il tool nativo è dscl, con la sequenza dscl . -create /Users/svc, dscl . -create /Users/svc UserShell /bin/bash, dscl . -create /Users/svc UniqueID 501, dscl . -passwd /Users/svc Password123.

In ambiente cloud, la creazione di identità è oggi il vero terreno di gioco. Su Azure AD/Entra ID il comando New-AzureADUser o le API Graph consentono di creare identità con MFA disabilitato. Su AWS, aws iam create-user seguito da aws iam create-access-key produce credenziali programmatiche che raramente scattano alert se generate durante orario lavorativo. Framework offensivi come Stormspotter (open source) e ROADtools (open source) aiutano a mappare tenant Azure prima dell'iniezione dell'account, mentre Pacu (open source) automatizza la persistenza IAM in AWS.

Per simulare Scattered Spider, che crea identità legittime tramite social engineering dell'helpdesk, il red teamer può includere una fase di vishing verso il service desk chiedendo reset password o provisioning di nuovi utenti — con approvazione preventiva del cliente.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.