Account Predefiniti: Default Accounts (T1078.001)

La tecnica T1078.001 - Default Accounts descrive l'abuso di credenziali predefinite di fabbrica o account built-in per ottenere accesso non autorizzato a sistemi, applicazioni e dispositivi. Si tratta di account come Administrator e Guest su Windows, root su Linux ed ESXi, l'utente root di AWS, il service account di default di Kubernetes, oppure coppie username/password preconfigurate su apparati di rete, telecamere IP e software commerciali.

MITRE ATT&CK mappa questa sotto-tecnica su ben quattro tattiche: TA0001 (Initial Access) quando l'attaccante entra da un pannello esposto con credenziali di fabbrica; TA0003 (Persistence) perché un account nativo del sistema resiste a reboot e rotazioni; TA0004 (Privilege Escalation) poiché molti default sono privilegiati per progettazione; TA0005 (Defense Evasion) in quanto l'uso di un account legittimo genera meno rumore rispetto a malware custom.

I numeri raccontano un problema strutturale: 4 gruppi APT documentati (tra cui Magic Hound, Ember Bear, FIN13 e UNC3886), 2 famiglie malware che sfruttano credenziali hardcoded (Stuxnet e HyperStack), e una campagna disruptiva su scala nazionale come HomeLand Justice contro il governo albanese. Il vettore è talmente banale da essere spesso sottovalutato, ma consente compromissioni che restano dormienti per mesi — nel caso albanese, quattordici — prima di manifestarsi in ransomware e wiper.

L'abuso di default account è uno dei primi controlli in ogni penetration test infrastrutturale. La fase di ricognizione parte dalla superficie esposta: Shodan (freemium) e Censys (freemium) permettono di individuare pannelli di gestione con banner riconoscibili — telecamere Hikvision/Dahua, iLO, iDRAC, switch Cisco, firewall Fortinet, vCenter — che spesso mantengono credenziali di fabbrica.

Per il brute force mirato su credenziali note si usano wordlist come SecLists (open source), in particolare la directory Passwords/Default-Credentials, insieme a tool come Hydra (open source) e Medusa (open source). Un esempio operativo contro un servizio SSH:

hydra -L users.txt -P defaults.txt ssh://target -t 4

Per interfacce web di apparati, hydra supporta il modulo http-post-form, mentre Nuclei (open source) di ProjectDiscovery include template dedicati con il tag default-login che coprono centinaia di prodotti:

nuclei -u https://target -t http/default-logins/

Nel contesto Windows Active Directory, dopo aver ottenuto un foothold, si verifica lo stato dell'account DefaultAccount — proprio quello sfruttato da Magic Hound — con net user DefaultAccount e, se disabilitato, l'attivazione avviene tramite net user DefaultAccount /active:yes eseguito da un contesto privilegiato. CrackMapExec e il suo successore NetExec (open source) automatizzano lo spray di credenziali comuni su SMB, WinRM e RDP:

nxc smb 10.0.0.0/24 -u administrator -p 'Password123'

Su ambienti VMware, la simulazione dello scenario UNC3886 richiede di enumerare account di servizio vCenter e testare la presenza di vpxuser sugli host ESXi tramite SSH abilitato o API vSphere. Il tool govc (open source) della VMware ecosystem consente query dirette all'inventario.

Per cloud, Pacu (open source) e ScoutSuite (open source) identificano account root AWS attivi con access key ancora presenti, mentre kube-hunter (open source) sonda cluster Kubernetes esposti alla ricerca di service account di default con permessi eccessivi.

In laboratorio è utile riprodurre lo scenario Stuxnet/WinCC: una macchina con installazione Siemens WinCC di prova espone la password hardcoded del database SQL, permettendo di dimostrare come credenziali embedded nel software vendor rappresentino un rischio persistente indipendente dalle policy aziendali. Documentare ogni tentativo con screenshot dei banner e degli hash catturati è essenziale per il report finale.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

La detection di T1078.001 poggia su un principio semplice ma difficile da operativizzare: qualunque login a un account di default dovrebbe essere un evento eccezionale, non rumore di fondo. La detection AN1283 su Windows si basa su WinEventLog:Security, in particolare EventCode 4624 (logon riuscito) e 4625 (fallito) filtrati sui nomi utente Administrator, Guest, DefaultAccount e krbtgt. Una query Splunk tipica isola logon interattivi (Type 2), RemoteInteractive (Type 10) o Network (Type 3) verso questi account fuori dalle finestre di manutenzione.

Il tuning è cruciale: molte organizzazioni rinominano l'account Administrator (SID che termina con -500) e la logica di detection deve agganciarsi al SID più che al nome. Il caso Magic Hound insegna a monitorare anche l'evento 4722 (account abilitato) su DefaultAccount, che nella baseline non dovrebbe mai risultare attivo, insieme a 4738 (modifiche a account).

Su Linux, la detection AN1284 consuma auditd:USER_LOGIN e i log di sshd. La regola cardine cerca login SSH riusciti come root via password anziché chiave pubblica: in ambienti hardened PermitRootLogin dovrebbe essere prohibit-password o no, quindi qualunque autenticazione password root è per definizione anomala. Auditbeat (open source) e Wazuh (open source) forniscono moduli pronti per correlare questi eventi.

Per identity provider (AN1285), CloudTrail su AWS deve alertare su qualunque evento con userIdentity.type = Root, così come Azure AD registra l'uso di Global Administrator di break-glass. La regola dovrebbe essere binaria: un uso, un alert, senza soglie. Anomalie geografiche (login da ASN o paesi non usuali) rafforzano il segnale.

Su ESXi (AN1286) i log hostd.log e vpxa.log tracciano autenticazioni di root e vpxuser. Il caso UNC3886 dimostra che login di vpxuser da IP diversi dal vCenter censito è un indicatore ad alta confidenza — un semplice whitelist degli IP legittimi vCenter riduce il rumore a zero.

Per apparati di rete (AN1287), networkdevice:syslog con parsing di username admin, cisco, root su Telnet/HTTP dovrebbe generare alert critici, dato che protocolli in chiaro non dovrebbero nemmeno essere abilitati. Sul fronte preventivo, l'integrazione con LAPS (gratuito Microsoft) per la rotazione degli admin locali e MFA obbligatorio via Conditional Access neutralizzano gran parte dei tentativi. I falsi positivi più frequenti derivano da script di installazione, backup agent e scanner di vulnerabilità che usano account privilegiati: vanno mappati e whitelistati esplicitamente per asset e finestra oraria.

Vuoi diventare SOC Specialist ma non sai da dove iniziare?

Accedi al corso e scopri come si monitorano e bloccano gli attacchi informatici

L'analisi forense di un compromesso via default account parte dalla ricostruzione della timeline di autenticazione. Su Windows, l'artefatto primario è %SystemRoot%\System32\winevt\Logs\Security.evtx, dove gli eventi 4624, 4625, 4672 (assegnazione di privilegi speciali) e 4648 (logon con credenziali esplicite) permettono di distinguere accessi legittimi da abusi. Nel caso Magic Hound, l'evento 4722 su DefaultAccount seguito da 4624 Type 10 da IP esterno costituisce la firma completa: attivazione dell'account, poi login RDP.

La presenza di PowerShell come vettore — powershell.exe /c net user DefaultAccount /active:yes — lascia tracce in Microsoft-Windows-PowerShell/Operational.evtx (EventID 4104 per script block logging) e in ConsoleHost_history.txt nel profilo dell'utente. Il PowerShell transcript, se abilitato via policy, cattura il comando completo con timestamp. AmCache (C:\Windows\AppCompat\Programs\Amcache.hve) e le Prefetch confermano l'esecuzione di net.exe e powershell.exe.

Su Linux, auth.log (Debian/Ubuntu) o secure (RHEL) registra tentativi SSH e sudo. La correlazione con wtmp, btmp e lastlog — leggibili con last, lastb e lastlog — ricostruisce sessioni interattive. La presenza di .bash_history con timestamp abilitati (HISTTIMEFORMAT) aggiunge contesto al post-exploitation.

Per ambienti ESXi compromessi da UNC3886, gli artefatti chiave sono /var/log/hostd.log, /var/log/vpxa.log, /var/log/auth.log e /var/log/shell.log. Quest'ultimo registra i comandi digitati in ESXi Shell, spesso l'unica traccia di attività manuale dell'attaccante. La compromissione di vpxuser si manifesta con autenticazioni da IP diversi dal vCenter registrato in /etc/vmware/vpxa/vpxa.cfg.

Sulla campagna HomeLand Justice, la timeline forense ha ricostruito quattordici mesi tra initial access (maggio 2021) e l'esecuzione di ransomware e wiper (luglio 2022). L'uso dell'account built-in Administrator combinato con Impacket ha lasciato tracce distintive: named pipe \PIPE\svcctl per psexec.py, servizi transitori con nomi casuali di 8 caratteri in System.evtx EventID 7045, e artefatti ADMIN$ share negli eventi 5140.

Per apparati di rete, la forensica è più povera: molti device sovrascrivono log locali dopo poche ore. Il recovery si affida a syslog centralizzato, NetFlow archiviato e configurazioni backup. Strumenti come Velociraptor (open source) e KAPE (gratuito per uso non commerciale) automatizzano la raccolta degli artefatti Windows citati, mentre Volatility 3 (open source) recupera credenziali da dump di memoria evidenziando quali account erano attivi al momento dell'acquisizione.

Vuoi diventare Forensic Analyst ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto per analizzare incidenti e prove digitali

Il panorama degli attori che sfruttano default account attraversa geografie e motivazioni molto diverse, il che conferma la trasversalità del vettore.

Magic Hound (G0059), attribuito all'Iran e attivo nel settore governativo, energetico e delle telecomunicazioni, ha mostrato un pattern peculiare: invece di forzare account rinominati, ha attivato l'account nativo DefaultAccount — normalmente disabilitato ma sempre presente su Windows 10 e Server 2016+ — per costruire un canale RDP verso Exchange server compromessi. È un esempio di living off the land applicato agli account: nessuna creazione, solo abilitazione di ciò che il sistema fornisce di default.

Ember Bear (G1003), attore riconducibile all'intelligence militare russa e associato ad attività distruttive contro l'Ucraina, ha invece cercato l'accesso iniziale attraverso telecamere IP esposte con credenziali di fabbrica. Il pivot da un device IoT a segmenti IT interni è una tendenza consolidata: la telecamera non è l'obiettivo, è l'anello debole del perimetro.

FIN13 (G1016), cluster a movente finanziario focalizzato su istituzioni bancarie latinoamericane, ha sfruttato credenziali predefinite di myWebMethods (WMS) e delle interfacce di gestione QLogic. Il pattern è indicativo: gli attori financially motivated conoscono benissimo lo stack applicativo delle vittime e sanno quali componenti middleware raramente vengono hardenizzati dopo l'installazione.

UNC3886 (G1048), attore sospettato di legami con la Cina e specializzato in target virtualizzati (VMware, Fortinet), ha raccolto e riutilizzato service account vCenter, con particolare attenzione a vpxuser sugli host ESXi. Questo profilo dimostra quanto la hypervisor security sia diventata un fronte critico: compromettere un ESXi significa accedere trasversalmente a decine di VM senza toccarne i sistemi guest.

La campagna HomeLand Justice (C0038, 2021-2022) è il caso studio più maturo: attori iraniani hanno mantenuto persistenza sulle reti del governo albanese per quattordici mesi usando l'account Administrator built-in insieme a Impacket per movimento laterale, culminando in wiper e ransomware come strumenti di pressione geopolitica contro l'ospitalità albanese alla dissidenza iraniana MEK.

Sul fronte malware, Stuxnet (S0603) resta il caso paradigmatico di credenziali hardcoded: la password del database WinCC di Siemens era nota pubblicamente e non modificabile senza rompere il prodotto. HyperStack (S0537) usa credenziali di default per connettersi a share IPC$ remote, tecnica banale ma efficace in reti flat.

Il trend trasversale è chiaro: attori statali (Iran, Russia, Cina) e criminali finanziari convergono sullo stesso vettore perché offre il miglior rapporto rischio/rendimento — nessun exploit da bruciare, nessun malware da firmare, solo credenziali che il produttore ha lasciato in chiaro.

TEST GRATUITO

2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.

Account Predefiniti: Default Accounts (T1078.001)

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Vuoi diventare SOC Specialist ma non sai da dove iniziare?

Vuoi diventare Forensic Analyst ma non sai da dove iniziare?

CybersecurityUP

Contattaci

Privacy policy