Accesso Diretto al Volume: Direct Volume Access (T1006)

Direct Volume Access identifica una classe di tecniche in cui l'attaccante interagisce con un volume logico bypassando l'API filesystem standard, leggendo o scrivendo direttamente strutture dati come MFT, cluster e settori. Windows espone questa capacità tramite handle su path come \.\C: o \.\PhysicalDrive0, permettendo a un processo con privilegi adeguati di aggirare ACL, lock esclusivi e strumenti di monitoraggio filesystem-based.

La tecnica è mappata sulla tattica TA0005 Defense Evasion ed è particolarmente pericolosa nella fase post-exploitation della kill chain, tipicamente dopo un'escalation a SYSTEM. L'obiettivo classico è l'esfiltrazione di file bloccati dal sistema operativo, primo fra tutti NTDS.dit — il database Active Directory contenente gli hash NTLM di tutti gli utenti di dominio — insieme agli hive di registro SYSTEM e SECURITY necessari per decifrarne il contenuto.

Gli avversari operano con due approcci principali: creazione di Volume Shadow Copies (VSS) tramite utility native come vssadmin, wbadmin o esentutl, oppure lettura diretta del disco tramite tool come NinjaCopy di PowerSploit. Il dato MITRE ATT&CK documenta 2 gruppi APT — Scattered Spider e Volt Typhoon — 1 tool (esentutl) e 1 campagna (APT28 Nearest Neighbor) che sfruttano attivamente questa tecnica, confermandone la rilevanza in scenari di credential access su domini Windows enterprise.

In un esercizio red team, l'obiettivo tipico di T1006 è l'estrazione di NTDS.dit da un Domain Controller compromesso. La catena richiede privilegi di SYSTEM o Domain Admin sul DC target e produce un dump utilizzabile offline con secretsdump.py di Impacket (open source) per estrarre gli hash NTLM dell'intero dominio.

Il metodo più documentato — replicato dalla campagna APT28 Nearest Neighbor e da Volt Typhoon — sfrutta le Volume Shadow Copies native. La sequenza operativa su Windows Server è:

vssadmin create shadow /for=C:

copy \?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\NTDS\NTDS.dit C:\Temp\ntds.dit

reg save HKLM\SYSTEM C:\Temp\SYSTEM.hive

vssadmin delete shadows /for=C: /oldest

Una variante più stealth — usata dal tool esentutl (S0404) — evita vssadmin sfruttando la modalità /vss nativa di esentutl, un binario Microsoft signed che genera meno alert:

esentutl.exe /y /vss C:\Windows\NTDS\NTDS.dit /d C:\Temp\ntds.dit

Questo approccio è particolarmente efficace per bypassare regole di detection che triggerano solo su vssadmin.exe. Per la fase post-exfiltration, l'estrazione degli hash avviene offline:

secretsdump.py -ntds ntds.dit -system SYSTEM.hive LOCAL

Alternative da laboratorio includono PowerSploit Invoke-NinjaCopy (open source, non più attivamente mantenuto ma funzionante su Windows non aggiornati), che legge direttamente cluster NTFS bypassando lock, e wbadmin per creare backup completi da cui estrarre file protetti:

wbadmin start backup -backupTarget:E: -include:C:\Windows\NTDS -quiet

Su ambienti moderni con Credential Guard attivo o EDR robusti, la tecnica va combinata con living-off-the-land: sfruttare processi già signed Microsoft e minimizzare l'uso di PowerShell verboso. Il tool DSInternals (open source, PowerShell Gallery) permette il parsing offline del file NTDS.dit estratto, utile per validare la riuscita dell'operazione senza necessità di rimontarlo su un domain controller di test.

In scenari cloud-hybrid, considera che i DC virtualizzati permettono snapshot a livello hypervisor (VMware, Hyper-V) che aggirano completamente le detection endpoint — un vettore che va documentato nel report di ingaggio ma richiede accesso alla console di gestione virtuale, tipicamente oggetto di un secondo pivot.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.