Certificati Digitali Malevoli: Digital Certificates (T1588.004)
La tecnica T1588.004 - Digital Certificates descrive l'acquisizione, l'acquisto o il furto di certificati SSL/TLS da parte di attori ostili per sostenere le proprie operazioni. Rientra nella tattica TA0042 (Resource Development), la fase preparatoria in cui l'avversario costruisce l'infrastruttura che userà successivamente per initial access, command and control o defense evasion.
Un certificato valido conferisce fiducia: cifra il traffico verso l'infrastruttura di controllo, riduce gli alert dei proxy TLS, permette phishing su HTTPS con lucchetto verde e, se abusato come root, abilita scenari di Adversary-in-the-Middle. Le modalità di ottenimento variano dall'emissione gratuita tramite Let's Encrypt, all'acquisto presso CA commerciali usando organizzazioni di facciata, fino al furto di materiale crittografico da terze parti compromesse — incluse le stesse Certificate Authority.
I dati MITRE documentano 7 gruppi APT che hanno operativizzato questa tecnica, 3 campagne rilevanti e 1 mitigazione ufficiale. Il volume è probabilmente sottostimato: qualsiasi operazione moderna che usa HTTPS per C2 richiede almeno un certificato, quindi la tecnica è di fatto pervasiva. L'impatto è duplice: sul piano tecnico, indebolisce la detection basata su ispezione TLS; sul piano di trust, sfrutta la catena di fiducia PKI progettata per proteggere l'utente finale, trasformandola in vettore di legittimazione dell'attaccante.
In un esercizio red team, la simulazione di T1588.004 si concentra sul ricreare in laboratorio l'intera catena di acquisizione e deployment di certificati, evitando ovviamente il furto reale da terze parti.
Per il ramo dell'emissione gratuita, lo strumento di riferimento è Certbot (open source), il client ufficiale di Let's Encrypt. Dopo aver registrato un dominio operativo — tipicamente attraverso un provider che accetta pagamenti in criptovaluta e non richiede KYC stringente — l'emissione avviene con certbot certonly --standalone -d dominio-red.example. Per automazione più flessibile in scenari con più sottodomini di phishing, acme.sh (open source) è preferibile: supporta DNS-01 challenge, utile quando la porta 80 non è disponibile o si vuole emettere wildcard, con acme.sh --issue --dns dns_cf -d '.dominio-red.example'*.
Per scenari di domain fronting o typosquatting, il red teamer registra domini lookalike (omoglifi, TLD alternativi) e vi appoggia certificati DV. Strumenti come dnstwist (open source) generano candidati plausibili, mentre URLCrazy (open source) offre varianti aggiuntive. La verifica preventiva della reputation del dominio si fa con VirusTotal (freemium) e urlscan.io (freemium) per assicurarsi che il dominio scelto non sia già bruciato.
Per C2 su HTTPS, framework come Sliver (open source), Mythic (open source) e Havoc (open source) accettano certificati custom nella configurazione listener. In Sliver, ad esempio, l'importazione avviene con https --lhost c2.dominio-red.example --lport 443 --cert fullchain.pem --key privkey.pem. Cobalt Strike (a pagamento) supporta il proprio Malleable C2 profile con SSL certificate impostato tramite keystore Java generato con keytool.
Per simulare il ramo del furto, in ambiente lab si esporta un certificato con chiave privata da un Windows compromesso usando Mimikatz (open source) con crypto::capi seguito da crypto::certificates /export, oppure via PowerShell con Export-PfxCertificate. Su Linux, la ricerca di file .pem, .key e .pfx nei filesystem simulati completa lo scenario.
Infine, per replicare la tecnica di certificate impersonation attribuita a Sea Turtle, il team documenta la richiesta di un certificato DV a una CA diversa da quella legittima usata dall'organizzazione target, mostrando come la mancanza di CAA record renda l'operazione banale. La verifica dei CAA sul dominio bersaglio si esegue con dig CAA dominio-target.example.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.