Raccolta Credenziali: Credentials (T1589.001)

Trattandosi di una tecnica pre-compromise, la simulazione in un esercizio red team deve concentrarsi sulla raccolta OSINT di credenziali esposte, mantenendo procedure lab-safe e nel perimetro autorizzato dalle regole di ingaggio.

Un punto di partenza è la ricerca di breach dump associati ai domini del cliente. Il tool h8mail (open source) automatizza il lookup di email e password esposte incrociando diverse fonti; un'esecuzione tipica è:

h8mail -t target@dominio.com

Per un target aziendale, la ricognizione parte spesso dall'enumerazione degli indirizzi email. theHarvester (open source) raccoglie email, sottodomini e host da fonti pubbliche:

theHarvester -d dominio.com -b all

Questi indirizzi diventano input per verificare quali compaiono in leak noti. Il servizio Have I Been Pwned (freemium) espone un'API che consente di controllare se un account risulta in un breach documentato, utile per quantificare l'esposizione senza toccare l'infrastruttura del cliente.

Per un approccio strutturato all'intelligence gathering, SpiderFoot (open source) e Recon-ng (open source) orchestrano moduli multipli, correlando domini, email e credenziali esposte in un unico grafo. In Recon-ng il flusso operativo è a moduli:

modules load recon/domains-contacts/whois_pocs

Seguito dall'impostazione del target e dall'esecuzione con run.

Una parte fondamentale della simulazione riguarda il password reuse: raccolte le credenziali esposte, il red team può validarle in modo controllato contro servizi esterni autorizzati (VPN, portali webmail, SSO), replicando esattamente il comportamento osservato in Chimera, che ha usato credenziali da breach precedenti per attacchi brute force. La validazione va sempre eseguita a basso rumore, con rate limiting rigoroso per evitare lockout massivi che comprometterebbero l'operatività del cliente.

Per emulare il canale infostealer, in laboratorio isolato si possono analizzare log sintetici formattati come quelli distribuiti sui canali Telegram (URL, username, password per host), dimostrando come un log stealer alimenti direttamente la fase di accesso iniziale.

Infine, la simulazione del vettore social engineering — come nel caso di Scattered Spider durante C0027 con phishing via SMS — richiede l'invio di messaggi di test verso numeri concordati, mai verso utenti reali non consenzienti. L'obiettivo è misurare quanto facilmente le credenziali possano essere elicitate, non ingannare il personale.

La consultazione della matrice difensiva conferma la natura elusiva di questa tecnica: la raccolta di credenziali avviene in gran parte al di fuori della visibilità dell'organizzazione, su marketplace, breach dump e canali Telegram che nessun log aziendale intercetta. La detection diretta è quindi difficile e, come annota l'analitica AN1945, caratterizzata da un elevato tasso di falsi positivi. Lo sforzo va spostato sulle fasi in cui le credenziali raccolte vengono effettivamente usate.

Il segnale più concreto emerge durante l'accesso iniziale. Quando credenziali provenienti da un leak vengono validate su servizi remoti esterni, il pattern osservabile è il classico password spraying o il tentativo di login con account validi da geolocalizzazioni anomale. Su ambienti Windows, l'EventCode 4625 (logon fallito) in sequenza su molti account distinti, seguito da un EventCode 4624 di successo, è il primo indicatore comportamentale. Per l'autenticazione cloud e federata, i log di sign-in di Azure AD e i registri dei provider SSO evidenziano tentativi di accesso da IP o ASN non riconducibili all'utente.

Un artefatto digitale centrale è il Domain Name e l'Account compromesso. Sul piano preventivo (harden), la matrice difensiva suggerisce il rafforzamento dell'autenticazione: l'adozione di MFA resistente al phishing e il monitoraggio di credenziali esposte riducono drasticamente il valore delle credenziali raccolte a monte. È utile integrare feed di intelligence che segnalino quando account del dominio compaiono in breach dump o log infostealer.

Sul fronte detection, correlare gli alert di autenticazione con l'esposizione nota degli account è la strategia più efficace. Un login riuscito su un account che risulta comparso in un leak recente merita priorità elevata. Attenzione al caso LAPSUS$, che ha aggirato l'MFA chiamando l'help desk per il reset delle credenziali: qui la detection non è tecnica ma procedurale, e richiede alert sulle richieste di reset password e sulle modifiche ai fattori MFA, tracciabili nei log di identity management.

I falsi positivi principali derivano da utenti in viaggio, VPN aziendali che alterano la geolocalizzazione e reset legittimi. La baseline comportamentale per utente — orari, dispositivi, ASN abituali — è indispensabile per distinguere l'uso malevolo di credenziali raccolte dal traffico legittimo.

L'analisi forense di questa tecnica presenta una peculiarità: l'attività di raccolta avviene su fonti esterne, quindi la timeline endpoint diventa rilevante solo dopo che le credenziali vengono impiegate. L'investigazione parte dunque da fonti esterne e converge sugli artefatti di autenticazione.

Le fonti OSINT rappresentano il primo pilastro. La verifica se gli account dell'organizzazione compaiano in breach dump pubblici, la ricerca su motori specializzati e la consultazione di feed che tracciano log infostealer permettono di ricostruire quando e dove le credenziali sono state esposte. Questo contestualizza l'origine dell'accesso: una credenziale comparsa in un log stealer settimane prima dell'intrusione spiega il vettore senza necessità di malware residente sull'endpoint aziendale.

Sul piano endpoint, l'artefatto digitale chiave è l'Account e il relativo evento di autenticazione. Su Windows la timeline si costruisce dagli eventi del Security log: EventCode 4624 per i logon riusciti, con particolare attenzione al Logon Type 3 (rete) e 10 (RemoteInteractive/RDP), correlati agli indirizzi sorgente. L'EventCode 4768 e 4769 nei domain controller documentano le richieste di ticket Kerberos, utili a ricostruire il movimento post-accesso. Sui sistemi Linux, i file auth.log o secure registrano i tentativi SSH e le sessioni instaurate con credenziali valide.

La correlazione tra la comparsa esterna della credenziale e il primo utilizzo interno definisce la finestra dell'intrusione. Nel contesto della SolarWinds Compromise (C0024), APT29 ha condotto operazioni di furto credenziali per ottenere accessi agli ambienti vittima, combinandole con password spraying e furto di token: l'analista deve quindi cercare non solo login anomali ma anche artefatti di manipolazione dei token di autenticazione.

Un caso forense specifico riguarda LAPSUS$, che ha ottenuto reset delle credenziali contattando l'help desk. Qui la traccia non è tecnica sull'endpoint ma nei log del sistema di ticketing e di identity management: una richiesta di reset seguita a breve da un login da dispositivo mai visto è l'anomalia da isolare nella timeline.

Infine, per ShinyHunters, che ha raccolto credenziali contenenti PII rivendute sul proprio data leak site, l'indagine si estende alla determinazione dello scope dei dati esfiltrati, incrociando i log di accesso ai database con i timestamp di esposizione pubblica.

I dati MITRE associano a questa tecnica sei gruppi con motivazioni e geografie diverse, offrendo una lettura ampia di come la raccolta di credenziali serva obiettivi eterogenei.

APT28, gruppo di matrice russa, ha raccolto le credenziali di login degli utenti come parte del proprio arsenale di ricognizione, coerente con operazioni di intelligence a lungo raggio.

Magic Hound mostra un approccio quantitativamente aggressivo: ha raccolto credenziali da due vittime tentando poi di validarle su 75 siti web distinti, sfruttando il riutilizzo delle password, e ha collezionato credenziali da oltre 900 server VPN Fortinet in Stati Uniti, Europa e Israele. Questo pattern geografico e il targeting di infrastrutture VPN indicano una preparazione sistematica all'accesso iniziale su larga scala.

Leviathan ha raccolto credenziali compromesse da impiegare negli sforzi di targeting, mentre Chimera ha attinto a credenziali provenienti da breach precedenti per alimentare attacchi brute force contro l'organizzazione bersaglio — un esempio didattico di come i dati di una vecchia fuga diventino munizioni per una nuova campagna.

Sul versante finanziario emergono due profili distinti. LAPSUS$ ha raccolto identità e credenziali per ottenere l'accesso iniziale, distinguendosi per la tecnica non convenzionale di chiamare l'help desk della vittima per forzare il reset delle credenziali del bersaglio. ShinyHunters rappresenta invece l'ecosistema del data brokering: ha raccolto credenziali contenenti PII, monetizzandole poi sul proprio data leak site.

Le campagne documentate confermano la versatilità della tecnica su spettri opposti di motivazione. La SolarWinds Compromise (C0024), attribuita ad APT29 e condotta tra il 2019 e il 2021, ha visto operazioni di furto credenziali integrate in una sofisticata compromissione della supply chain, con vittime governative, tecnologiche e di telecomunicazioni in Nord America, Europa, Asia e Medio Oriente. All'estremo finanziario, C0027 (2022), collegata a Scattered Spider, ha colpito telecomunicazioni e aziende BPO usando phishing via SMS per rubare credenziali, combinato con SIM swapping e social engineering.

Il trend trasversale è chiaro: la raccolta di credenziali funge da ponte tra ricognizione e accesso iniziale, alimentata sia da mercati underground come Russian Market e 2easy sia da canali Telegram che distribuiscono log infostealer. La convergenza tra APT statuali e gruppi finanziari sullo stesso vettore rende questa tecnica un indicatore prioritario per qualsiasi programma di threat intelligence.

MITRE ATT&CK: tecnica T1589.001, tattica TA0043; gruppi G0007, G0059, G0065, G0114, G1004, G1057; campagne C0024 (SolarWinds Compromise) e C0027; mitigazione M1056; detection DET0813/AN1945. Framework difensivo MITRE D3FEND per artefatti Account e Domain Name. I comandi e i tool operativi (h8mail, theHarvester, SpiderFoot, Recon-ng, Have I Been Pwned) derivano da conoscenza professionale di cybersecurity, non dai dati MITRE.