Credential Compromise: Valid Accounts - Domain Accounts (T1078.002)
Il compromesso di account di dominio rappresenta una delle tecniche più insidiose nell'arsenale degli attaccanti moderni. Questi account, gestiti da Active Directory Domain Services, forniscono accesso e permessi configurati attraverso sistemi e servizi dell'intera infrastruttura aziendale.
La tecnica si manifesta in ben quattro fasi della kill chain: Initial Access (TA0001) quando l'attaccante ottiene il primo appiglio nella rete, Persistence (TA0003) per mantenere l'accesso anche dopo riavvii o cambi di password, Privilege Escalation (TA0004) sfruttando account con privilegi elevati, e Defense Evasion (TA0005) mascherandosi dietro attività apparentemente legittime.
18 gruppi APT documentati utilizzano questa tecnica, insieme a 5 software malevoli e 9 campagne di attacco significative. La pervasività deriva dalla natura stessa degli account di dominio: credenziali valide che permettono movimento laterale invisibile, accesso a risorse privilegiate e persistenza a lungo termine nell'ambiente target.
Gli attaccanti ottengono queste credenziali attraverso tecniche come OS Credential Dumping o riutilizzo di password, trasformando un singolo account compromesso in una chiave universale per l'intera infrastruttura aziendale.
La simulazione del compromesso di account di dominio inizia con l'acquisizione delle credenziali. Su Windows, il comando più diretto utilizza mimikatz per estrarre hash NTLM:
sekurlsa::logonpasswords
Una volta ottenute le credenziali, il movimento laterale diventa immediato. PowerShell offre cmdlet nativi per l'impersonation:
$cred = New-Object System.Management.Automation.PSCredential("DOMAIN\Administrator", $password) Invoke-Command -ComputerName SERVER01 -Credential $cred -ScriptBlock {whoami}
Cobalt Strike automatizza queste operazioni attraverso il comando make_token, permettendo l'esecuzione di comandi nel contesto di un account di dominio compromesso. La bellezza di questa tecnica sta nella sua semplicità: nessun exploit, nessun payload sospetto, solo autenticazione legittima.
Su Linux con integrazione AD, il comando kinit permette di ottenere un Ticket Granting Ticket:
kinit administrator@CORP.LOCAL klist
Per ESXi, l'accesso tramite vSphere utilizza direttamente le credenziali di dominio integrate. Il comando vim-cmd eseguito con privilegi di dominio permette controllo completo dell'infrastruttura virtuale.
Magic Hound ha dimostrato l'efficacia di questa catena combinando LSASS dumping con movimento laterale immediato. Prima estraggono credenziali con procdump, poi utilizzano wmiexec per esecuzione remota:
procdump.exe -accepteula -ma lsass.exe lsass.dmp wmiexec.py DOMAIN/Administrator@192.168.1.100
La persistenza si ottiene creando servizi Windows con credenziali di dominio o modificando Group Policy Objects. Wizard Spider utilizza regolarmente account Domain Admin per distribuire ransomware attraverso GPO, garantendo esecuzione su ogni sistema del dominio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo