Skeleton Key sui Domain Controller: Domain Controller Authentication (T1556.001)
La tecnica T1556.001 descrive una delle manipolazioni più insidiose contro l'infrastruttura di autenticazione Windows: il patching in-memory del processo LSASS su un Domain Controller per introdurre una password universale, nota storicamente come Skeleton Key. L'attaccante non ruba credenziali, non altera oggetti in Active Directory, non modifica hash sul disco: sostituisce dinamicamente le routine di verifica crittografica caricate in memoria, così qualsiasi account di dominio può essere autenticato usando la password iniettata, mentre le credenziali legittime continuano a funzionare regolarmente.
Dal punto di vista strategico la tecnica copre tre tattiche MITRE ATT&CK contemporaneamente: TA0003 (Persistence), perché finché il DC non viene riavviato l'accesso rimane garantito; TA0005 (Defense Evasion), perché non genera failed logon né alert su account bloccati; e TA0006 (Credential Access), perché fornisce di fatto una master key su tutto il dominio.
L'impatto è massimo negli ambienti a single-factor authentication: un solo DC compromesso equivale al controllo completo dell'identità aziendale. I dati MITRE censiscono 1 gruppo APT documentato (Chimera), 1 software dedicato (Skeleton Key S0007) e 4 mitigazioni ufficiali. La volatilità della modifica — che risiede solo in RAM — rende la detection un problema di monitoraggio real-time e la forensics un esercizio di memory analysis prima di qualsiasi reboot.
In un esercizio red team autorizzato la simulazione di Skeleton Key richiede un laboratorio isolato con almeno un Domain Controller Windows Server e privilegi di Domain Admin o SYSTEM sul DC bersaglio, prerequisito senza il quale la tecnica non è realizzabile. Il vettore classico è l'uso del comando misc::skeleton all'interno di Mimikatz (open source), che effettua il patch di cryptdll.dll e samsrv.dll caricate da LSASS iniettando la password universale hardcoded mimikatz.
La catena tipica prevede prima l'ottenimento di credenziali privilegiate — via Kerberoasting, DCSync o furto di token — poi il movimento laterale sul DC tramite PsExec (open source, Sysinternals) o WinRM, e infine l'esecuzione locale di Mimikatz con privilegi elevati. Il comando operativo è semplice:
privilege::debug
misc::skeleton
Da quel momento qualunque account del dominio, incluso un utente standard non privilegiato, può autenticarsi indicando la propria username reale e la password mimikatz. Per validare l'effetto il red team può testare da una workstation joinata al dominio con runas /user:DOMINIO\utente cmd usando la password iniettata, oppure eseguire una connessione SMB con Impacket (open source) tramite smbclient.py o psexec.py verso una risorsa condivisa.
Un approccio più moderno e stealth adottato in alcuni engagement usa PowerShell Empire (open source, non più mantenuto ma ancora disponibile su GitHub) o Cobalt Strike (a pagamento) come framework di post-exploitation, invocando Mimikatz via reflective loading in modo da evitare la scrittura su disco del binario. In ambiente moderno con LSASS protetto da PPL (Protected Process Light) o con Credential Guard attivo l'operazione fallisce: il red team deve prima disabilitare o bypassare queste protezioni, ad esempio tramite driver vulnerabili firmati caricati con tecniche BYOVD.
Durante l'esercizio è fondamentale documentare l'orario esatto dell'iniezione, mantenere un log delle sessioni aperte con la master password e coordinarsi con il blue team per un reboot pianificato del DC alla fine del test, poiché la modifica persiste in memoria fino allo spegnimento. Va inoltre prevista una fase di verifica post-esercizio per confermare che nessun artefatto residuo o modifica di configurazione sopravviva al riavvio, elemento che distingue Skeleton Key da altre backdoor più persistenti.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.