Credenziali GPP: Group Policy Preferences (T1552.006)

L'attacco a T1552.006 richiede un solo prerequisito: credenziali valide di dominio, anche non privilegiate. Una volta ottenuto un accesso interattivo o remoto a una macchina joinata, l'enumerazione della share SYSVOL è il punto di partenza.

Da una shell su host Windows joinato, il comando base è:

dir /s /b \\dominio.local\SYSVOL\dominio.local\Policies\.xml*

Oppure con PowerShell in forma più filtrabile:

Get-ChildItem -Path \\dominio.local\SYSVOL -Recurse -Include Groups.xml,Services.xml,ScheduledTasks.xml,DataSources.xml,Printers.xml,Drives.xml

Lo strumento di elezione in un red team engagement è PowerSploit (open source), che include il modulo Get-GPPPassword nel namespace Exfiltration. Dopo aver importato il modulo con Import-Module PowerSploit si invoca semplicemente Get-GPPPassword, che localizza automaticamente i file XML in SYSVOL, estrae il campo cpassword e restituisce la password in chiaro insieme al contesto (nome utente, path del file, changed date).

Da piattaforma Linux, il flusso equivalente parte da un'autenticazione SMB con smbclient (open source, incluso in Samba) o impacket-smbclient (open source). Il modulo di Metasploit Framework (open source) post/windows/gather/credentials/gpp automatizza l'intera catena su una sessione Meterpreter esistente. Per l'operatore che preferisce controllo granulare, CrackMapExec e il suo successore NetExec (open source) offrono il modulo --gpp-password che esegue enumerazione e decifratura da remoto:

nxc smb dc.dominio.local -u utente -p password -M gpp_password

Lo script Python gpprefdecrypt.py (open source) accetta la stringa cpassword estratta manualmente e restituisce il plaintext, utile quando si ha accesso al solo XML senza connettività al DC.

In scenari post-exploitation più stealth, il framework SILENTTRINITY (open source) espone un modulo dedicato all'estrazione delle GPP cached in memoria e su disco, evitando l'accesso diretto a SYSVOL che genera eventi di file access. BloodHound (open source) può quindi consumare le credenziali recuperate per identificare percorsi di escalation verso Domain Admin.

In laboratorio, la validazione richiede un DC Server 2008/2012 con almeno una GPO che imposta la password di un account locale via GPP — configurazione oggi bloccata su sistemi patchati ma riproducibile per training in ambienti isolati.

La detection di T1552.006 poggia su una correlazione a due fasi: accesso anomalo a SYSVOL seguito da parsing o esecuzione di logica di decifratura. La regola di riferimento MITRE è DET0381, che combina eventi di file access con esecuzione di processi sospetti.

La prima fase si osserva tramite gli eventi WinEventLog:Security sui domain controller. L'evento chiave è EventCode 5145 (Detailed File Share access), che registra ogni accesso a oggetti nelle share di rete. Configurando l'audit su SYSVOL per rilevare accessi a file .xml provenienti da workstation non amministrative, si ottengono candidati ad alta fedeltà. La query base filtra per ObjectName contenente SYSVOL e Groups.xml o Services.xml, escludendo account computer legittimi che replicano policy.

La seconda fase richiede visibilità sui client. Sysmon (gratuito) con configurazione basata su template di SwiftOnSecurity o Olaf Hartong genera EventID 1 (process creation) e EventID 11 (file create) utili a intercettare l'invocazione di powershell.exe con command line contenente Get-GPPPassword, Find-GPOPassword, cpassword o riferimenti al namespace System.Security.Cryptography.AesCryptoServiceProvider usato per la decifratura.

Sul fronte PowerShell, l'abilitazione di Script Block Logging tramite policy (EventCode 4104 nel canale Microsoft-Windows-PowerShell/Operational) è indispensabile: consente di catturare il body degli script anche se lanciati in memoria via IEX o download cradle. Le firme testuali da monitorare includono [System.Convert]::FromBase64String combinato con AesCryptoServiceProvider e la costante 4e9906e8fcb66cc9faf49310620ffee8f496e806cc057990209b09a433b66c1b (la chiave AES pubblicata da Microsoft, spesso hardcoded nei tool).

Dalla prospettiva D3FEND, le tecniche difensive rilevanti sono Process Command Line Analysis e File Access Pattern Analysis: l'obiettivo è modellare il baseline di chi legittimamente legge SYSVOL (di norma solo il SYSTEM dei DC e amministratori GPO) e allertare su deviazioni.

I falsi positivi principali derivano da tool legittimi di audit come PingCastle (freemium) o Purple Knight (gratuito), che scansionano SYSVOL alla ricerca proprio di GPP vulnerabili come parte di assessment autorizzati. Il tuning suggerito da DET0381 include whitelist per utenti amministrativi noti, finestre temporali di correlazione tra file access ed esecuzione script (tipicamente 60 secondi), e distinzione tra host di origine (DC atteso vs workstation sospetta). Backup software e sistemi di replica DFS-R generano anch'essi traffico verso SYSVOL ma con account computer identificabili.

L'analisi forense di un compromesso via T1552.006 si struttura su tre piani: artefatti sul domain controller, artefatti sull'host attaccante e evidenze di riuso delle credenziali estratte.

Sul DC, il primo elemento da acquisire è il log Security con focus sugli eventi 5145 e 5140 (share access) filtrati per accessi a \SYSVOL<dominio>\Policies. La retention nativa è tipicamente insufficiente, quindi occorre verificare se esiste un forwarding verso SIEM. Gli eventi mostrano SubjectUserName, SubjectLogonId, IpAddress del client e ObjectName del file target, permettendo di ricostruire quale utente ha enumerato i file XML e da quale IP. La correlazione con EventID 4624 (logon) sullo stesso LogonId identifica la sessione originaria.

Sull'host di origine, se disponibile, l'analisi si concentra su artefatti PowerShell: il file ConsoleHost_history.txt in %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine* conserva la history dei comandi anche dopo logoff. Gli eventi 4104 dal canale Microsoft-Windows-PowerShell/Operational rivelano script block eseguiti, inclusi quelli offuscati dopo deoffuscamento automatico. Il Prefetch (C:\Windows\Prefetch\POWERSHELL.EXE-.pf) fornisce timestamp di esecuzione e path degli script caricati. Amcache.hve e ShimCache (in SYSTEM hive) tracciano l'esecuzione di eseguibili come nxc.exe o binari Metasploit droppati.

Per indagini SMB lato client, il registry key HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2 elenca share montate manualmente, mentre SRUM (System Resource Usage Monitor, in C:\Windows\System32\sru\SRUDB.dat) contabilizza traffico di rete per processo, utile a confermare volumi di dati ricevuti dal DC.

Secondo il modello D3FEND, gli artefatti digitali chiave sono File (i XML letti), Network Session (SMB verso DC), Process (powershell/python/metasploit) e User Account (l'account decifrato usato in fasi successive). La timeline forense deve ancorare l'accesso a SYSVOL con l'eventuale successivo utilizzo dell'account estratto: eventi 4624 logon type 3 (network) o type 10 (RDP) con l'username recuperato indicano lateral movement conseguente.

Sul DC è utile inventariare i file XML tuttora presenti in SYSVOL contenenti il tag cpassword: uno script PowerShell Select-String -Path \\dc\SYSVOL\.xml -Pattern "cpassword" -Recurse* fornisce l'elenco degli asset esposti al momento della compromissione, indispensabile per stimare l'ampiezza dell'incidente e pianificare la rotazione delle password identificate. KAPE (gratuito) con target module WindowsEventLogs e PowerShell automatizza la raccolta.

L'adozione di T1552.006 nel panorama APT è concentrata ma significativa, con due attori documentati da MITRE che rappresentano profili operativi molto diversi.

APT33 (G0064), gruppo attribuito a interessi iraniani e attivo dal 2013 con focus su settori aerospaziale, energia e petrolchimico in Arabia Saudita, Stati Uniti e Corea del Sud, ha impiegato lo strumento pubblico Gpppassword per la raccolta di credenziali durante campagne mirate. L'uso di tool open source riflette una filosofia operativa comune a diversi gruppi statuali che privilegiano living-off-the-land e strumentazione off-the-shelf per ridurre l'attribuzione tramite malware custom. La combinazione di T1552.006 con altre tecniche di Credential Access nel loro playbook suggerisce una fase di consolidamento del dominio successiva all'initial access, tipicamente ottenuto via spearphishing.

Wizard Spider (G0102), collettivo cybercriminale russofono responsabile di TrickBot, Ryuk e Conti, ha utilizzato i cmdlet PowerShell Get-GPPPassword e Find-GPOPassword durante intrusioni finalizzate a ransomware deployment. Il gruppo rappresenta il segmento e-crime di alto profilo dove T1552.006 serve a velocizzare la fase di lateral movement in reti aziendali estese: l'estrazione di credenziali di service account locali via GPP consente di pivotare rapidamente verso sistemi di produzione senza dipendere esclusivamente da Kerberoasting o Mimikatz, tecniche più rumorose.

Sul fronte tooling, MITRE registra due software rilevanti. PowerSploit (S0194) integra la funzionalità in modo modulare tramite il namespace Exfiltration, ed è largamente adottato sia da red team commerciali sia da threat actor per la sua natura firmata come progetto legittimo di sicurezza offensiva. SILENTTRINITY (S0692), framework post-exploitation basato su .NET e IronPython sviluppato da byt3bl33d3r, include moduli specifici per estrarre GPP password anche dalla cache locale, indicando come la tecnica sia stata industrializzata in strumentistica moderna.

Il pattern generale mostra come T1552.006, pur essendo tecnicamente mitigabile dal 2014, resti attraente per due ragioni: la persistenza di file legacy in molti SYSVOL e il costo praticamente nullo dell'operazione (bassa detection, alta resa). L'assenza di campagne recentemente attribuite in modo esclusivo a questa tecnica non deve trarre in inganno: T1552.006 è tipicamente un tassello silenzioso di kill chain più ampie, spesso non isolato nei report pubblici ma menzionato come componente di intrusion set complessi. Per un CTI analyst, il tracking di indicator legati a script Get-GPPPassword in threat report o samples caricati su piattaforme come VirusTotal (freemium) o MalwareBazaar (gratuito) resta un segnale utile di attività prep-attack.

MITRE ATT&CK T1552.006 (Group Policy Preferences), tattica TA0006. Gruppi G0064 (APT33), G0102 (Wizard Spider). Software S0194 (PowerSploit), S0692 (SILENTTRINITY). Mitigazioni M1015, M1047, M1051. Detection DET0381 con analytic AN1075. Microsoft Security Bulletin KB2962486. Framework MITRE D3FEND per tecniche difensive di Process Command Line Analysis e File Access Pattern Analysis. Il documento integra conoscenza professionale verificata su tool open source (PowerSploit, Metasploit, NetExec, SILENTTRINITY, Sysmon, KAPE) per comandi operativi e artefatti forensi.