Account di Dominio come Arma: Valid Accounts – Domain Accounts (T1078.002)

L'abuso di credenziali di dominio rappresenta una delle tecniche più trasversali nell'arsenale offensivo: un singolo account Active Directory compromesso può aprire contemporaneamente quattro porte nella kill chain. La tecnica si inserisce infatti in Initial Access (TA0001), dove l'attaccante sfrutta credenziali valide per entrare nella rete; in Persistence (TA0003), perché un account di dominio sopravvive a riavvii e patch; in Privilege Escalation (TA0004), quando l'account compromesso possiede privilegi elevati come Domain Admin; e in Defense Evasion (TA0005), poiché le attività autenticate con credenziali legittime si confondono nel rumore di fondo del traffico AD.

I numeri confermano la popolarità della tecnica: 18 gruppi APT, 5 famiglie malware, 9 campagne documentate e 5 mitigazioni specifiche nel catalogo. Il principio è semplice ma devastante — perché forzare una porta quando puoi usare la chiave giusta? Gli attaccanti ottengono credenziali di dominio tramite credential dumping (LSASS, NTDS.dit), password spraying, phishing o riutilizzo di password, e le impiegano per muoversi lateralmente senza generare gli artefatti rumorosi tipici degli exploit. Dagli impianti petroliferi colpiti in Night Dragon ai supply chain attack di SolarWinds, questa tecnica è il tessuto connettivo che lega la compromissione iniziale all'esfiltrazione finale.

La simulazione dell'abuso di account di dominio è un pilastro di qualsiasi assessment Active Directory. L'obiettivo non è solo ottenere credenziali, ma dimostrare l'intera catena: dall'acquisizione alla movimentazione laterale con account legittimi.

Fase 1 — Enumerazione degli account privilegiati. Il primo passo è mappare chi conta nel dominio. BloodHound (open source) resta lo standard per visualizzare i percorsi di attacco AD. Dopo aver raccolto i dati con SharpHound, cerca i percorsi più brevi verso Domain Admin e gli account con sessioni attive su macchine raggiungibili. Su Linux, con NetExec (open source, successore di CrackMapExec), puoi enumerare rapidamente gli utenti di dominio:

netexec smb -u -p --users

Per identificare gli account con privilegi Domain Admin:

netexec smb -u -p --groups "Domain Admins"

Fase 2 — Acquisizione delle credenziali. In un contesto dove hai già un primo foothold, il dump di LSASS tramite Mimikatz (open source) è il percorso classico:

sekurlsa::logonpasswords

Per un approccio meno rumoroso, puoi usare il task manager nativo di Windows per creare un dump del processo LSASS e analizzarlo offline. Su sistemi dove hai accesso a un Domain Controller, l'estrazione di NTDS.dit con la funzionalità Volume Shadow Copy integrata nel sistema operativo consente il recupero massivo degli hash:

ntdsutil "activate instance ntds" "ifm" "create full C:\temp\ntds_dump" quit quit

Il file risultante si analizza poi con secretsdump.py dalla suite Impacket (open source):

secretsdump.py -ntds ntds.dit -system SYSTEM LOCAL

Fase 3 — Uso delle credenziali per movimento laterale. Qui si dimostra l'impatto reale. Con Impacket puoi eseguire comandi remoti autenticandoti con hash NTLM (pass-the-hash) o con credenziali in chiaro:

psexec.py /@ -hashes LM:NT

Con NetExec puoi verificare la validità delle credenziali su più host simultaneamente e, se l'account è amministratore locale, eseguire comandi:

netexec smb /24 -u -p --exec-method smbexec -x "whoami"

Nota lab-safe: in ambiente di test, isola il dominio e usa credenziali create ad hoc. Documenta ogni hash e credenziale raccolta per il report, dimostrando quanti sistemi erano raggiungibili con un singolo account Domain Admin.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo