Credential Stuffing: Riuso di Credenziali Compromesse (T1110.004)

Simulare un'operazione di credential stuffing in un contesto red team richiede tre ingredienti: un wordlist di coppie credenziali rappresentative, un tool di autenticazione multi-protocollo e una strategia di rate limiting per evitare lockout indesiderati sul cliente.

Le liste di riferimento più utilizzate in laboratorio provengono dalle raccolte pubbliche come SecLists (open source) mantenute su GitHub, che include collezioni tipo rockyou.txt, Top-Usernames-Shortlist.txt e combolist derivate da breach storici. Per verificare se un utente target ha credenziali compromesse in dump pubblici, il servizio Have I Been Pwned (freemium, con API a pagamento per l'accesso completo) resta lo standard, mentre in fase di raccolta OSINT il tool h8mail (open source) automatizza il lookup su più sorgenti.

Sul fronte esecuzione, Hydra (open source) copre praticamente tutti i protocolli citati nella tecnica. Un esempio classico contro SSH usa la forma:

hydra -L users.txt -P passwords.txt -t 4 -f ssh://target.lab.local

Dove -t 4 limita i thread paralleli e -f interrompe al primo successo. Per RDP il modulo dedicato è rdp, per SMB smb, per servizi HTTP form-based si usa http-post-form con la sintassi del form target. Medusa (open source) offre un'alternativa con parallelismo più granulare per host.

Contro ambienti Active Directory, CrackMapExec e il suo successore NetExec (open source) permettono di testare credenziali contro SMB, WinRM, LDAP e MSSQL in un'unica passata:

netexec smb 10.0.0.0/24 -u users.txt -p passwords.txt --continue-on-success

Per scenari cloud e SSO, MSOLSpray e TeamFiltration (entrambi open source) sono orientati a Microsoft 365 e implementano già logica di password spraying con delay configurabili. In ambienti AWS, CloudBrute (open source) copre l'enumerazione di servizi esposti.

Regola d'oro in un red team engagement: concordare sempre con il cliente le soglie di lockout documentate nelle policy AD, calibrare i delay tra tentativi (spesso 30 minuti tra round per aggirare finestre di conteggio) e mantenere log dettagliati di ogni tentativo per il report finale. In un esercizio serio, il credential stuffing va abbinato a verifiche di MFA bypass e conditional access, perché la sola validità della password raramente basta contro un tenant configurato correttamente.

La detection del credential stuffing si basa sul riconoscimento di un pattern comportamentale distintivo: molte identità diverse tentate da poche sorgenti, spesso in finestre temporali compresse. Questo differenzia la tecnica dal brute force classico, dove è una sola identità a subire molti tentativi.

Su ambienti Windows la fonte primaria è il canale Security Log con EventCode 4625 (logon fallito). L'analisi utile in Splunk o Sentinel aggrega per IP sorgente e conta gli username distinti in una finestra di 5-10 minuti. La detection AN1262 suggerisce una soglia tunabile di username univoci per IP: valori tipici partono da 10 identità distinte in 5 minuti come indicatore forte. È importante correlare anche con EventCode 4740 (account lockout) che indica quando la policy sta reagendo, e con 4776 per validazione NTLM. Su RDP specificamente, i log Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational forniscono dettaglio sulla sorgente della connessione.

Su Linux la telemetria arriva da syslog e auth.log, con eventi sshd del tipo Failed password for invalid user e Failed password for <user> — la detection AN1263 raccomanda di calcolare il rapporto tra login falliti e utenti distinti, un indicatore molto pulito per distinguere stuffing (rapporto vicino a 1:1) da brute force (rapporto molto sbilanciato). PAM tramite pam_faillock può generare eventi aggiuntivi utili.

Su identity provider cloud — Azure AD/Entra, Okta, Duo — i sign-in log sono la miniera d'oro. In Azure la tabella SigninLogs con ResultType diversi da 0 e raggruppamento per IPAddress e UserPrincipalName distinct count implementa direttamente AN1265. Fondamentale attivare la protezione contro leaked credentials in Entra ID P2, che arricchisce nativamente i sign-in con flag se la password compare in dump noti. Per SaaS generici e Microsoft 365/Exchange Online (rilevazione AN1269), il log unificato di Purview con operazioni UserLoginFailed segnala tentativi contro OWA e mailbox multiple da stesso client IP.

Controlli preventivi allineati alle mitigazioni MITRE: M1032 (MFA) riduce drasticamente l'efficacia anche a credenziali valide; M1036 (Account Use Policies) con lockout tarato (5 tentativi, 15 minuti) va bilanciato per evitare DoS; M1018 impone reset proattivo per account presenti in breach noti; M1027 blocca l'uso di password già compromesse tramite integrazione con liste HIBP.

I falsi positivi più comuni provengono da NAT aziendali (molti utenti dietro un unico IP pubblico), scanner di vulnerabilità autorizzati e sync client email mal configurati che ripetono credenziali stale — vanno mantenute allowlist e baseline per IP interni noti.

L'analisi forense di un incidente di credential stuffing parte dalla ricostruzione della finestra temporale degli attempt e dall'identificazione dell'account che ha ceduto per primo. Gli artefatti chiave si trovano su tre livelli: log di autenticazione, telemetria di rete e sorgenti di threat intelligence esterne.

Su Windows la timeline si costruisce dal file Security.evtx estratto dal path *%SystemRoot%\System32\winevt\Logs*. Gli eventi rilevanti sono 4625 (logon fallito, con campo IpAddress e SubStatus che indica se username inesistente 0xC0000064, password errata 0xC000006A, account disabilitato 0xC0000072), 4624 (logon riuscito da correlare con l'ultimo 4625 dallo stesso IP per identificare il pivot di successo), 4648 (logon con credenziali esplicite) e 4740 (lockout). Il tool EvtxECmd di Eric Zimmerman (open source) normalizza gli EVTX in CSV timeline-friendly per import in Timeline Explorer (gratuito).

Su Linux la sequenza da preservare include /var/log/auth.log o /var/log/secure a seconda della distribuzione, /var/log/wtmp e /var/log/btmp (letti con last e lastb rispettivamente), oltre a ~/.ssh/authorized_keys di ogni account per verificare eventuali chiavi inserite post-compromissione. Il journal systemd-journald interrogato con journalctl -u sshd --since fornisce una vista alternativa.

Per identity provider cloud, l'export forense degli Azure AD Sign-in logs (retention 30 giorni in tier gratuito, estendibile a 2 anni con Log Analytics a pagamento) va effettuato tempestivamente. I campi conditionalAccessStatus, riskDetail e riskLevelAggregated di Entra ID Protection rivelano se il sistema aveva già flaggato tentativi come anonymizedIPAddress o unfamiliarFeatures. Su M365 il Unified Audit Log di Purview conserva operazioni UserLoggedIn con dettaglio ApplicationId e UserAgent utili per distinguere client legittimi da tool automatizzati.

Un passaggio critico è l'arricchimento con breach data: interrogare Have I Been Pwned (API a pagamento) per gli account compromessi permette di ricostruire la sorgente probabile del leak. Servizi come DeHashed (a pagamento) o IntelX (freemium) offrono ricerca su combolist storiche e possono confermare se la specifica coppia username/password era già circolante in cataloghi criminali prima dell'incidente.

Per la parte network, i log di firewall perimetrale e reverse proxy (Nginx, F5, Cloudflare) contengono IP sorgente, User-Agent e frequenza dei tentativi HTTP. La correlazione con feed di IP reputation come AbuseIPDB (freemium) o Spamhaus (gratuito per volumi bassi) conferma spesso l'origine da botnet o proxy residenziali. La timeline consolidata deve rispondere a: quando è iniziato lo stuffing, quale account ha ceduto, quale IP ha effettuato il login riuscito, e quali azioni post-autenticazione sono seguite.

Il credential stuffing rappresenta una delle tecniche più democratizzate del panorama offensivo: la barriera d'ingresso è bassa, i combolist circolano liberamente su forum underground e canali Telegram, e l'efficacia rimane sorprendentemente alta contro organizzazioni prive di MFA universale. Nel dataset MITRE ATT&CK la tecnica è attribuita in modo esplicito al gruppo Chimera (G0114), mentre il malware TrickBot (S0266) implementa capacità di brute force RDP tramite il modulo rdpscanDll che, pur essendo tecnicamente brute force, viene spesso alimentato con combolist derivate da breach — sfumando il confine tra le due sottotecniche.

Chimera è un gruppo con presunta affiliazione cinese attivo dal 2018, storicamente focalizzato sul furto di proprietà intellettuale contro il settore semiconduttori taiwanese e successivamente contro compagnie aeree. Il gruppo ha utilizzato credential stuffing contro servizi remoti esposti come vettore iniziale, sfruttando la ricchezza di dump disponibili per identificare account aziendali riutilizzati su servizi personali compromessi. La pazienza operativa di Chimera — con permanenza nelle reti target che si misura in anni — dimostra come il credential stuffing sia particolarmente insidioso quando abbinato a persistenza silente: un account valido ottenuto in modo passivo non attira attenzione quanto un exploit.

TrickBot, originariamente banking trojan poi evoluto in piattaforma modulare, ha aggiunto il modulo rdpscanDll per estendere la propria capacità di movimento laterale e di monetizzazione tramite accesso RDP rivenduto ai gruppi ransomware. L'infrastruttura TrickBot è stata storicamente collegata al gruppo Wizard Spider ed è stata parzialmente disrupta nel 2020 da un'operazione congiunta Microsoft-US Cyber Command, sebbene attività residuali siano proseguite fino al 2022 quando gli operatori sono migrati verso famiglie come Bumblebee e IcedID.

Sul piano dei trend, tre osservazioni ricorrono nelle analisi di threat intelligence del settore: primo, il credential stuffing è diventato il vettore preferenziale per compromissioni cloud e M365, dove il perimetro tradizionale non esiste e l'unico controllo è l'autenticazione; secondo, l'uso di proxy residenziali (servizi come quelli offerti da broker legittimi ma abusati da attori malevoli) rende inefficaci molte detection basate su IP reputation, perché gli attempt provengono da ranges apparentemente legittimi; terzo, la crescita di combolist tematiche — filtrate per dominio aziendale o settore verticale — aumenta il tasso di successo rispetto a spray indiscriminati.

Sul piano geografico, l'attività è distribuita globalmente ma i target primari restano Nord America, Europa e mercati asiatici avanzati, con settori finanziario, sanitario e tecnologico in cima alla lista per densità di credenziali riutilizzate.

MITRE ATT&CK: T1110.004 Credential Stuffing, tattica TA0006. Gruppo G0114 (Chimera), software S0266 (TrickBot). Mitigazioni M1018, M1027, M1032, M1036. Detection DET0460 (AN1262-AN1270). MITRE D3FEND per mapping difensivo. Per approfondimenti operativi è stata integrata conoscenza professionale su tool di penetration testing (Hydra, NetExec, MSOLSpray), sorgenti di threat intelligence (Have I Been Pwned, AbuseIPDB) e artefatti forensi standard di Windows/Linux/Azure AD.