Registrazione Dispositivo Malevolo: Device Registration (T1098.005)
La tecnica T1098.005 - Device Registration descrive l'abuso, da parte di un attaccante, dei meccanismi di enrollment dei dispositivi in sistemi di autenticazione multifattore (MFA) o di device management, con l'obiettivo di consolidare un accesso persistente e aggirare i controlli di sicurezza. È mappata alle tattiche TA0003 (Persistence) e TA0004 (Privilege Escalation) del framework MITRE ATT&CK, e si colloca tipicamente nelle fasi post-compromise della kill chain, dopo l'ottenimento di credenziali valide tramite password spraying, phishing o credential stuffing.
L'attaccante che dispone di un set credenziale (username + password) di un utente vittima può sfruttare il processo di self-enrollment MFA — offerto da piattaforme come Duo, Okta o Microsoft Entra ID — per associare un proprio dispositivo all'account, ottenendo così un secondo fattore controllato. In scenari con account dormienti o con enrollment mai completato, questa operazione richiede spesso soltanto una coppia di credenziali valide.
Un dispositivo registrato in Entra ID, inoltre, può aggirare policy di Conditional Access basate sulla compliance del device, condurre campagne di Internal Spearphishing con maggior credibilità, o essere replicato in massa per attacchi di service exhaustion contro il tenant. L'impatto è severo: 1 gruppo APT documentato (APT29), 1 tool dedicato (AADInternals) e 2 campagne tra cui la nota SolarWinds Compromise.
In un ingaggio red team autorizzato, la simulazione di T1098.005 parte sempre dal possesso di credenziali valide dell'utente target — tipicamente ottenute via password spraying con strumenti come MSOLSpray (open source) o TrevorSpray (open source) contro endpoint Entra ID. Una volta validata la coppia credenziale, l'obiettivo è verificare se l'account consente self-enrollment MFA o se il tenant permette la registrazione device senza restrizioni ulteriori.
Il tool di riferimento è AADInternals (open source), un modulo PowerShell che espone funzioni specifiche per interagire con le API interne di Entra ID. La registrazione di un device avviene tramite la funzione dedicata Join-AADIntDeviceToAzureAD, che genera un certificato client e ottiene un Primary Refresh Token (PRT) utilizzabile per autenticazioni successive. Il flusso operativo tipico è:
- Ottenimento token di accesso con Get-AADIntAccessTokenForAADJoin usando le credenziali compromesse
- Registrazione dispositivo con Join-AADIntDeviceToAzureAD -DeviceName "corp-laptop-42" -DeviceType "Windows" -OSVersion "10.0.19041.0"
- Richiesta PRT tramite Get-AADIntUserPRTToken
Il PRT ottenuto è la chiave del regno: consente accesso Single Sign-On a tutte le risorse cloud del tenant senza ulteriori challenge MFA, poiché il dispositivo è ora considerato "trusted".
Per scenari MFA self-enrollment su piattaforme come Duo o Okta, il red teamer verifica se il portale di enrollment richiede solamente username+password oppure un token di conferma via email/SMS. Nel primo caso, la procedura consiste nell'accedere al portale self-service, richiedere l'enrollment di un nuovo device (tipicamente un telefono virtuale con app come FreeOTP — open source — o Google Authenticator), e completare l'associazione. In laboratorio è consigliato riprodurre lo scenario con un tenant Entra ID di test (Microsoft 365 Developer Program, gratuito) e simulare account dormienti.
Una seconda catena d'attacco riguarda l'enrollment in Microsoft Intune: dopo il join Entra ID, il device può essere marcato compliant automaticamente se il tenant applica policy permissive, aprendo la strada a bypass di Conditional Access che richiedono "compliant device". Il tool ROADtools (open source) di Dirk-jan Mollema permette di enumerare le policy di Conditional Access con roadrecon plugin policies, così da mappare preventivamente quali gate si aggirano con la registrazione. La documentazione delle azioni (device ID, timestamp, IP sorgente) è essenziale per il report finale al cliente.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.