Utenti Nascosti: Hidden Users (T1564.002)
La tecnica T1564.002 — Hidden Users appartiene alla tattica TA0005 (Defense Evasion) e descrive la capacità di un attaccante di occultare account utente creati o modificati sul sistema compromesso. L'obiettivo è mantenere persistenza operativa senza che amministratori legittimi o utenti finali notino la presenza di identità aggiuntive nelle schermate di login o nei pannelli di gestione.
Su Windows l'occultamento passa per la chiave di Registro HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList, dove impostando il valore di un utente a 0 si rimuove la visualizzazione dalla logon screen. Su macOS il meccanismo sfrutta il plist com.apple.loginwindow con la chiave Hide500Users, oppure l'attributo IsHidden impostato tramite dscl, spesso combinato con chflags hidden sulla home directory. Su Linux il vettore dipende dal Display Manager: su GDM basta gsettings set org.gnome.login-screen disable-user-list true per sopprimere l'elenco.
La tecnica non fornisce accesso di per sé, ma amplifica l'efficacia di altre azioni post-exploitation come Account Manipulation e Create Account. Nei dati MITRE risultano coinvolti 2 gruppi APT e 1 famiglia malware (SMOKEDHAM), a conferma di un pattern adottato sia da attori state-sponsored sia da toolkit criminali per prolungare la dwell time.
In un ingaggio red team, l'occultamento di account è tipicamente un passaggio post-privilege escalation utile a consolidare persistenza senza attirare l'attenzione di un amministratore che apra lusrmgr.msc o la schermata di login.
Su Windows, dopo aver creato l'utente con net user backdoor P@ssw0rd! /add e averlo aggiunto al gruppo Administrators con net localgroup Administrators backdoor /add, la sparizione dalla logon screen si ottiene con:
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v backdoor /t REG_DWORD /d 0 /f
È la stessa sintassi documentata per Kimsuky (G0094) e per il malware SMOKEDHAM (S0649). L'utente rimane pienamente funzionante via RDP, WinRM o runas, ma non compare nel selector di logonui.exe. Per validare l'operazione basta interrogare la chiave con reg query e confrontare con l'output di net user.
Su macOS, la sequenza classica sfrutta dscl con privilegi root:
sudo dscl . -create /Users/svc_backup sudo dscl . -create /Users/svc_backup UniqueID 401 sudo dscl . -create /Users/svc_backup IsHidden 1 sudo dscl . -create /Users/svc_backup UserShell /bin/bash
Con UID inferiore a 500 e la chiave Hide500Users attivata nel plist com.apple.loginwindow tramite defaults write, l'account sparisce sia dalla login window sia da System Settings. La home viene ulteriormente mimetizzata con sudo chflags hidden /Users/svc_backup.
Su Linux con GDM, il comando sudo -u gdm gsettings set org.gnome.login-screen disable-user-list true nasconde tutti gli utenti dal greeter; per LightDM si edita invece /etc/lightdm/users.conf aggiungendo l'utente a hidden-users. In entrambi i casi l'accesso via SSH resta trasparente.
Per la fase di simulazione end-to-end, framework come Atomic Red Team (open source) includono test dedicati alla T1564.002 con payload pronti per Windows e macOS, mentre Caldera (open source) di MITRE consente di orchestrare la catena create-account + hide in scenari di adversary emulation. Su Windows, chi preferisce operare in-memory può gestire la modifica di Registro tramite i cmdlet Set-ItemProperty di PowerShell, riducendo la superficie di logging rispetto a reg.exe. In ambienti Active Directory è importante ricordare che la tecnica agisce solo su account locali: gli utenti di dominio non sono influenzati dalla chiave SpecialAccounts\UserList.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.