Account di Dominio: Domain Accounts (T1078.002)
La tecnica T1078.002 descrive l'abuso di credenziali appartenenti ad account gestiti da Active Directory Domain Services, un vettore che attraversa trasversalmente quattro tattiche fondamentali del framework: TA0001 (Initial Access), TA0003 (Persistence), TA0004 (Privilege Escalation) e TA0005 (Defense Evasion). La particolarità di questi account risiede nel loro perimetro d'azione: permessi e privilegi sono distribuiti su tutti i sistemi e servizi che aderiscono al dominio, trasformando una singola credenziale compromessa in una chiave universale.
Gli avversari acquisiscono queste credenziali attraverso dumping della memoria LSASS, riutilizzo di password, phishing e sfruttamento di configurazioni deboli. Una volta ottenute, in particolare quelle appartenenti a Domain Admins, l'attaccante si muove lateralmente indistinguibile da un amministratore legittimo, aggirando molte forme di detection basate su firme.
I numeri raccontano la portata del problema: 18 gruppi APT documentati, tra cui attori state-sponsored come Sandworm Team, Volt Typhoon e APT29, insieme a 5 famiglie di malware (compresi Cobalt Strike e Ryuk) e 9 campagne storiche che spaziano da Night Dragon fino al recente Cutting Edge. L'uso è trasversale a threat actor cinesi, russi, iraniani e criminali finanziari, segno che l'abuso di credenziali di dominio rappresenta una costante metodologica dell'offensive security moderna.
In un ingaggio red team autorizzato, la compromissione di account di dominio segue una progressione tipica che parte dall'enumerazione. Strumenti come BloodHound (open source) mappano relazioni AD e percorsi di attacco verso Domain Admin, mentre SharpHound raccoglie i dati di sessione. Un comando tipico di raccolta è SharpHound.exe --CollectionMethods All --Domain target.local, che produce l'archivio JSON da importare nell'interfaccia Neo4j.
Per l'acquisizione credenziali, Mimikatz (open source) resta lo standard de facto per il dump LSASS con sekurlsa::logonpasswords, mentre in scenari più OPSEC-conscious si preferisce nanodump (open source) che produce un mini-dump del processo LSASS senza toccare API sospette. La lettura offline avviene con pypykatz lsa minidump lsass.dmp (open source). Per attacchi Kerberos, Rubeus (open source) offre Rubeus.exe kerberoast per estrarre ticket di service account con SPN, poi crackabili offline con hashcat (open source) usando la mode 13100.
Una volta ottenuto un hash NTLM di un account di dominio, il pass-the-hash con impacket-psexec (open source) permette movimento laterale: impacket-psexec -hashes :NTLMHASH domain/user@target-host. Alternative più discrete includono impacket-wmiexec e impacket-smbexec. Per operazioni cross-platform, CrackMapExec e il suo successore NetExec (open source) automatizzano l'enumerazione e l'esecuzione di comandi su interi range: nxc smb 10.0.0.0/24 -u admin -H NTLMHASH --local-auth.
Su Linux integrati in dominio via SSSD o Winbind, l'ethical hacker può testare l'accesso con kinit user@DOMAIN.LOCAL seguito da klist per verificare i ticket Kerberos ottenuti, poi utilizzare ssh -K per l'autenticazione GSSAPI verso altri host del realm.
Su ESXi joinato a dominio, l'accesso via vCenter con credenziali AD si testa via API con govc (open source): govc about -u 'DOMAIN\admin:pass@vcenter.local'. La simulazione va sempre condotta in ambiente segmentato, con snapshot pre-esecuzione e comunicazione preventiva al blue team per validare le detection senza contaminare le indagini reali. Documentare ogni comando in un playbook cronologico è essenziale per il report finale e per il purple teaming successivo.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.