Creazione Account di Dominio: Domain Account (T1136.002)
La creazione di account di dominio rappresenta una delle tecniche di persistenza più insidiose in ambienti Active Directory, catalogata da MITRE ATT&CK come T1136.002 all'interno della tattica TA0003 (Persistence). L'avversario, disponendo di privilegi sufficienti, genera nuovi account utente, amministrativi o di servizio direttamente nel dominio, ottenendo così un canale di accesso credenziato che sopravvive a riavvii, rotazioni di password degli account compromessi e rimozione di impianti malware.
A differenza degli account locali, quelli di dominio propagano privilegi e permessi attraverso l'intera foresta AD, moltiplicando la superficie di controllo dell'attaccante. Il comando classico net user /add /domain, eseguito da un host già compromesso con delega adeguata, è sufficiente a stabilire un secondo canale d'accesso che non richiede il deployment di RAT o backdoor sui sistemi target.
La telemetria MITRE censisce 5 gruppi APT che utilizzano attivamente questa tecnica (tra cui GALLIUM, Wizard Spider, HAFNIUM, BlackByte e Medusa Group), 4 tool noti (PsExec, Net, Pupy, Empire), e 2 campagne documentate contro il settore energetico ucraino nel 2015 e 2016 attribuite a Sandworm Team. L'impatto operativo è particolarmente severo negli scenari ransomware e nelle intrusioni ICS, dove la persistenza domain-wide precede fasi distruttive o di esfiltrazione massiva.
In un ingaggio red team autorizzato, la creazione di un account di dominio è tipicamente uno degli obiettivi tattici raggiunti dopo aver ottenuto credenziali di un membro di Domain Admins, Account Operators o gruppi con delega scritta sull'OU utenti. Il presupposto è quindi sempre un pivot post-exploitation, non un attacco iniziale.
Il comando canonico da un host Windows domain-joined è:
net user pentest_svc P@ssw0rd_R3d! /add /domain
seguito da:
net group "Domain Admins" pentest_svc /add /domain
Se il traffico verso il DC deve essere minimizzato, PowerShell con il modulo ActiveDirectory (open source, incluso in RSAT) offre alternative più stealth:
New-ADUser -Name "svc_backup" -AccountPassword (ConvertTo-SecureString "P@ss" -AsPlainText -Force) -Enabled $true
Add-ADGroupMember -Identity "Domain Admins" -Members "svc_backup"
Per scenari offensivi realistici in laboratorio, i framework più utilizzati includono Impacket (open source), che permette la creazione remota via addcomputer.py o net.py sfruttando SMB/RPC senza toccare l'host locale, e PowerView all'interno di PowerSploit (open source), che con New-DomainUser e Add-DomainGroupMember replica la funzionalità di Net evitando in parte i binari LOLBAS più monitorati.
Empire (open source, fork mantenuto da BC-Security) integra moduli dedicati che eseguono le operazioni in memoria via agent, mentre Pupy (open source) sfrutta PowerView per operare cross-platform. Tool commerciali come Cobalt Strike (a pagamento) e Brute Ratel (a pagamento) automatizzano l'operazione tramite comandi BOF che comunicano direttamente con LSASS/RPC.
Una catena d'attacco realistica in lab prevede: (1) compromissione iniziale di una workstation, (2) escalation locale e dump credenziali con Mimikatz (open source) o Rubeus (open source) per ottenere ticket Kerberos di un amministratore, (3) lateral movement verso un host con RSAT installato o direttamente contro il DC via PsExec (gratuito, Sysinternals), (4) creazione dell'account con delega, (5) inserimento in gruppo privilegiato o assegnazione di DCSync rights per persistenza a lungo termine.
Per evitare rilevamento immediato, l'operatore red team consapevole nomina l'account con convenzioni coerenti a quelle aziendali (es. svc_sccm_02), imposta PasswordNeverExpires solo se già comune nel tenant e documenta ogni azione per il purple team.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.