Sfruttamento Vulnerabilità per Furto Credenziali: Exploitation for Credential Access (T1212)
La tecnica T1212 - Exploitation for Credential Access rientra nella tattica TA0006 (Credential Access) e descrive lo sfruttamento di vulnerabilità software nei meccanismi di autenticazione o nei processi che gestiscono credenziali. A differenza del credential dumping tradizionale, qui l'avversario non estrae segreti dalla memoria di un processo già compromesso ma abusa di un difetto di programmazione — nel kernel, in un servizio di autenticazione o in un'infrastruttura cloud — per ottenere token, ticket o password senza superare i normali controlli.
L'esempio storico più citato è MS14-068, che consentiva la forgiatura di ticket Kerberos con privilegi arbitrari partendo da un account utente di dominio. Le repliche di pacchetti autenticativi verso servizi che non validano correttamente timestamp o nonce rappresentano un secondo filone, mentre nel cloud sono emerse vulnerabilità che permettevano la creazione o il rinnovo non autorizzato di token di autenticazione. Il gruppo UNC3886, ad esempio, ha sfruttato CVE-2022-22948 su VMware vCenter per accedere alle credenziali cifrate nel database postgres del vCenter.
L'impatto va oltre il furto delle credenziali: quando la vulnerabilità colpisce un componente privilegiato, la tecnica sfocia direttamente in Privilege Escalation e in movimento laterale su larga scala, con 1 gruppo APT e 1 campagna documentati nei dati MITRE analizzati.
Simulare T1212 in un ambiente di laboratorio richiede la ricostruzione controllata di scenari vulnerabili, evitando l'uso di exploit su sistemi in produzione. Il primo scenario didattico riguarda Kerberos e la classica MS14-068: in un dominio Active Directory di test non aggiornato, è possibile riprodurre l'attacco con Impacket (open source), in particolare goldenPac.py che incapsula la logica di forgiatura del PAC.
Un comando tipico in laboratorio è:
impacket-goldenPac -dc-ip 10.0.0.10 lab.local/utente:password@dc01.lab.local
La procedura richiede un utente di dominio a bassi privilegi e produce una shell SYSTEM sul DC bersaglio, dimostrando come una singola CVE possa collassare l'intera foresta. Per verificare la superficie Kerberos in modo non intrusivo, Rubeus (open source) permette di enumerare ticket e testare comportamenti di validazione con comandi come Rubeus.exe klist e Rubeus.exe tgtdeleg.
Sul fronte replay attack, un lab utile si costruisce con Responder (open source) e ntlmrelayx di Impacket per catturare e ritrasmettere handshake NTLMv1/v2 verso servizi che non applicano SMB signing. Il flusso operativo prevede:
- avvio di responder -I eth0 -wrf per intercettare broadcast LLMNR/NBT-NS;
- rilancio delle credenziali con impacket-ntlmrelayx -tf targets.txt -smb2support;
- verifica delle sessioni SMB autenticate sul target.
Per lo scenario cloud/virtualizzazione citato nei dati (UNC3886 su vCenter), un red team può ricreare un vCenter vulnerabile in un segmento isolato e testare l'accesso al database postgres interno, dove sono conservate credenziali cifrate delle macchine gestite. Strumenti come PowerCLI di VMware (gratuito) permettono di enumerare oggetti vCenter in modo legittimo per confrontarli con l'accesso ottenuto via exploit.
Per la fase di ricognizione delle vulnerabilità di autenticazione, Nuclei (open source) con template dedicati a CVE Kerberos, SAML e OAuth consente di identificare rapidamente endpoint esposti, mentre BloodHound (open source) aiuta a mappare le relazioni di trust che un ticket forgiato potrebbe attraversare. Ogni test deve essere eseguito su snapshot ripristinabili, con logging attivo su tutti i sistemi coinvolti per confrontare a posteriori le evidenze prodotte con quelle attese dal SOC.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.