Exploit per Privilege Escalation: Exploitation for Privilege Escalation (T1068)
Exploitation for Privilege Escalation rappresenta una delle tecniche più impattanti nell'arsenale offensivo moderno, mappata sotto la tattica TA0004 (Privilege Escalation) del framework MITRE ATT&CK. L'attaccante sfrutta vulnerabilità in componenti del sistema operativo, driver, servizi o applicazioni per elevare i propri privilegi da utente standard a SYSTEM, root o addirittura a livello kernel.
Lo scenario tipico vede un adversary che ha ottenuto un foothold iniziale con privilegi limitati e necessita di superare i confini imposti dai controlli di sicurezza. In questa fase entra in gioco l'exploitation di CVE note o zero-day che colpiscono binari privilegiati, driver firmati o meccanismi di isolamento come container e macchine virtuali. Una variante particolarmente diffusa è la tecnica BYOVD (Bring Your Own Vulnerable Driver), dove l'attaccante trasporta sul sistema compromesso un driver legittimo ma vulnerabile per ottenere esecuzione in kernel mode e bypassare protezioni come Driver Signature Enforcement.
I numeri raccontano la portata del problema: 22 gruppi APT documentati, 19 famiglie di malware, 2 campagne tracciate e 5 mitigazioni consolidate. La tecnica attraversa trasversalmente le kill chain di ransomware operator, gruppi state-sponsored e crimeware, con impatti che spaziano dal container escape (Siloscape) all'exploitation di ipervisori (UNC3886 contro vCenter) fino al bypass di autenticazione su VMware ESXi (BlackByte con CVE-2024-37085).
L'approccio operativo a T1068 richiede una mappatura precisa della superficie d'attacco locale. Su Windows, il punto di partenza è l'enumerazione del kernel e delle patch mancanti con winPEAS (open source) o PowerUp integrato in PowerSploit (open source), che identificano servizi mal configurati, DLL hijacking opportunities e binari eseguibili con privilegi elevati. Un tool complementare è Watson (open source), che confronta la build di Windows con un database di CVE note per suggerire exploit applicabili.
Per BYOVD, il framework di riferimento in ambiente controllato è KDMapper (open source), che sfrutta il driver vulnerabile iqvw64.sys — lo stesso abusato da Scattered Spider via CVE-2015-2291 — per mappare driver arbitrari non firmati. La verifica dello stato dei driver caricati passa da driverquery /v o dal comando PowerShell Get-WmiObject Win32_SystemDriver. Il progetto LOLDrivers (open source) mantiene un catalogo aggiornato di driver vulnerabili verificabili in laboratorio.
Su Linux, l'enumerazione parte da LinPEAS (open source) e linux-exploit-suggester (open source), che analizzano kernel version e configurazioni. Le tecniche classiche includono l'abuso di binari SUID malconfigurati (find / -perm -4000 -type f 2>/dev/null) e l'exploitation di CVE kernel come DirtyPipe (CVE-2022-0847), per cui esistono PoC pubblici. Per il container escape, il tool BOtB (open source) — impiegato da Hildegard — sfrutta CVE-2019-5736 su runC.
In ambiente macOS, la ricerca di entitlement pericolosi e binari SUID richiede strumenti come KnockKnock (gratuito) di Objective-See e ispezione manuale con codesign -dv --entitlements :-
Per ESXi, la vulnerabilità CVE-2024-37085 sfruttata da BlackByte permette bypass di autenticazione tramite manipolazione del gruppo AD ESX Admins. La riproduzione in lab richiede un cluster vSphere non patchato e la creazione del gruppo omonimo in Active Directory.
Framework di post-exploitation come Cobalt Strike (a pagamento), Empire (open source) e PoshC2 (open source) integrano moduli per MS16-032, MS16-135 e altre CVE storiche. Ogni test deve avvenire su range isolati e con autorizzazione scritta: l'esecuzione di exploit kernel può causare BSOD e corruzione dati.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.