Scoperta delle Relazioni di Fiducia di Dominio: Domain Trust Discovery (T1482)
La tecnica T1482 - Domain Trust Discovery descrive l'attività con cui un attaccante enumera le relazioni di fiducia tra domini e foreste Active Directory per identificare percorsi di movimento laterale in ambienti Windows multi-dominio. I trust permettono agli utenti di un dominio fidato di accedere a risorse di un dominio che concede la fiducia, e la loro mappatura consente all'avversario di pianificare attacchi come SID-History Injection, Pass the Ticket e Kerberoasting su target inter-dominio.
Dal punto di vista tattico, T1482 appartiene a TA0007 (Discovery) e viene tipicamente eseguita nella fase post-compromise, dopo che l'attaccante ha ottenuto un foothold su un host di dominio e prima delle fasi di Privilege Escalation e Lateral Movement. L'enumerazione avviene tramite chiamate all'API Win32 DSEnumerateDomainTrusts(), metodi .NET, query LDAP verso i Domain Controller o l'utility nativa nltest.exe.
I numeri del framework MITRE ATT&CK sono significativi: 9 gruppi APT documentati, 19 famiglie di malware e tool che integrano moduli specifici, 3 campagne rilevanti (tra cui la SolarWinds Compromise di APT29 e l'intrusione C0015 con Bazar/Conti) e solo 2 mitigazioni ufficiali. La quasi ubiquità della tecnica nei ransomware moderni (Akira, BlackByte, QakBot, IcedID) la rende un indicatore precoce fondamentale per anticipare escalation devastanti.
In un ingaggio red team, l'enumerazione dei trust è uno dei primi passi dopo aver ottenuto una shell utente su un host joinato al dominio. Il vantaggio operativo è che molte primitive sono LOLBAS (Living Off the Land Binaries and Scripts): non richiedono privilegi amministrativi né deployment di binari esterni.
La via più diretta resta nltest.exe, presente nativamente su Windows. Il comando classico per elencare i domini fidati è:
nltest /domain_trusts
Per una vista estesa che include trust transitivi tra foreste si usa nltest /domain_trusts /all_trusts, mentre nltest /dclist:
Quando serve maggiore profondità, PowerSploit (open source) offre i moduli Get-NetDomainTrust e Get-NetForestTrust del pacchetto PowerView, che dietro le quinte eseguono query LDAP verso objectClass=trustedDomain. Equivalente per operatori .NET è Rubeus (open source), utile anche per la successiva fase di Kerberoasting sui trust identificati.
Per un red team più silenzioso, BloodHound (open source) con l'ingestor SharpHound costruisce grafi di attacco visualizzando i trust bidirezionali, transitivi ed esterni, evidenziando shortcut verso Domain Admin cross-forest. La query Cypher MATCH p=(n:Domain)-[r:TrustedBy]->(m:Domain) RETURN p mostra tutti i trust importati.
Un'alternativa da command line è AdFind (gratuito, closed source), sfruttato da Lotus Blossom, Akira e APT29 durante la SolarWinds Compromise. La sintassi AdFind.exe -f "objectcategory=trusteddomain" restituisce lo stesso output di dsquery ma con formattazione più leggibile. Per contesto, dsquery (open source, incluso in RSAT) esegue:
*dsquery * -filter "(objectClass=trustedDomain)" -attr **
Framework C2 come Empire (open source), PoshC2 (open source) e Brute Ratel C4 (a pagamento) integrano moduli dedicati che eseguono le stesse query in memoria, evitando la creazione di processi child sospetti come nltest.
In lab, catena tipica: ottieni una shell utente non-privilegiata → esegui nltest /domain_trusts per baseline → passa a SharpHound per enumerazione completa via LDAP → esporta il grafo in BloodHound → identifica trust esterni verso foreste con relazioni transitive → prepara SID History Injection o Kerberoast cross-domain.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.