Manipolazione GPO: Group Policy Modification (T1484.001)
La Group Policy Modification rappresenta uno dei vettori più insidiosi di compromissione di un dominio Active Directory. Gli attaccanti che riescono a ottenere permessi di scrittura su un Group Policy Object possono propagare configurazioni malevole a migliaia di endpoint in modo silenzioso, sfruttando un meccanismo legittimo e centralizzato di gestione.
MITRE ATT&CK classifica la tecnica sotto le tattiche TA0004 (Privilege Escalation) e TA0005 (Defense Evasion), perché la modifica di una GPO consente sia di elevare privilegi (ad esempio delegando SeEnableDelegationPrivilege a un account controllato) sia di disattivare controlli di sicurezza in modo coerente con le operazioni amministrative attese. La kill chain tipica vede la manipolazione GPO nella fase post-compromissione, dopo l'ottenimento di credenziali con diritti sui contenitori di policy o su specifiche OU.
I dati MITRE documentano 4 gruppi APT, 8 famiglie di software, 2 campagne e 2 mitigazioni collegate. L'impatto è significativo: attori come APT41, Indrik Spider, Cinnamon Tempest e Storm-0501 hanno usato GPO per distribuire ransomware, disabilitare antivirus e installare scheduled task. Campagne come il 2022 Ukraine Electric Power Attack e SharePoint ToolShell Exploitation confermano che la tecnica è stabilmente parte del playbook sia di attori state-sponsored sia di operatori criminali orientati al ransomware.
Un esercizio red team su T1484.001 parte sempre dalla mappatura delle deleghe sulle GPO del dominio. Lo strumento di riferimento è BloodHound (open source), che con la sua ingestione tramite SharpHound identifica i percorsi di attacco verso i GPO tramite le edge GenericAll, GenericWrite, WriteDacl e WriteOwner. La query Cypher classica cerca principal non privilegiati che detengono controllo su oggetti di classe groupPolicyContainer.
Una volta individuata una GPO scrivibile applicata a una OU interessante (tipicamente contenente server o workstation di amministratori), la catena tipica passa per PowerView (open source, parte di PowerSploit) e GPOddity (open source) oppure per il modulo powergpoabuse di PowerSploit. Un esempio operativo con PowerView per elencare GPO e loro OU applicative:
Get-NetGPO | select displayname, name, gpcfilesyspath
Get-NetOU -GUID
Il payload più documentato è la creazione di uno scheduled task immediato tramite New-GPOImmediateTask (open source, incluso in PowerView/Empire). Il cmdlet scrive un file ScheduledTasks.xml sotto *\
Un'alternativa più subdola è la modifica di GptTmpl.inf in *\
Per simulare l'abuso in modo integrato, il framework Empire (open source, versione BC-Security) offre il modulo powershell/lateral_movement/new_gpo_immediate_task, mentre Impacket (open source) permette manipolazioni LDAP dirette utili quando si vuole evitare l'esecuzione di PowerShell sull'endpoint. Anche PowerShell Empire e le famiglie di offensive security Nemesis (open source) supportano il flusso.
Lab-safe: eseguire sempre gli esperimenti in un dominio di test isolato, applicare le GPO a una OU dedicata con una sola VM target, documentare displayName e GUID delle policy create per garantire rollback pulito con Remove-GPO. Evitare di toccare la Default Domain Policy o la Default Domain Controllers Policy, il cui ripristino richiede dcgpofix e può lasciare configurazioni residue.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.