Backdoor Identità Ibrida: Hybrid Identity (T1556.007)
La tecnica T1556.007 - Hybrid Identity descrive la manipolazione dei processi di autenticazione che uniscono directory on-premises e ambienti cloud, con l'obiettivo di ottenere accesso persistente e credenziali valide senza scatenare gli allarmi tipici di un login anomalo. Nella maggior parte dei casi il bersaglio è Microsoft Entra ID integrato con Active Directory attraverso Password Hash Synchronization, Pass Through Authentication o Active Directory Federation Services, ma lo stesso schema si applica a federazioni SAML verso AWS, GCP o piattaforme SaaS.
La tecnica copre tre tattiche MITRE contemporaneamente: TA0003 Persistence, perché consente rientri silenziosi anche dopo il reset delle password; TA0005 Defense Evasion, perché il traffico di autenticazione risulta legittimo agli occhi del provider cloud; TA0006 Credential Access, perché DLL come PTASpy registrano in chiaro le credenziali di ogni utente che si autentica.
L'impatto è sistemico. Un singolo server AD FS compromesso o un agente PTA modificato permette all'attaccante di generare token validi per qualunque utente, aggirando MFA e Conditional Access. I dati MITRE censiscono 1 gruppo APT (APT29), 1 tool offensivo (AADInternals) e 3 mitigazioni dedicate. La difficoltà di detection è amplificata dal fatto che l'attività malevola avviene su componenti considerati parte dell'infrastruttura fidata di identità.
In un esercizio red team autorizzato la simulazione parte dall'assunto di aver già ottenuto privilegi amministrativi su un server AD FS o su un host che ospita l'agente Azure AD Connect / PTA. Da qui si aprono tre catene principali.
La prima catena passa per AADInternals (open source), il framework PowerShell di Nestori Syynimaa che rappresenta lo standard de facto per il tooling offensivo su Entra ID. Dopo l'importazione del modulo con Import-Module AADInternals, la funzione Install-AADIntPTASpy inietta la DLL PTASpy.dll nel processo AzureADConnectAuthenticationAgentService, permettendo di intercettare le credenziali in chiaro di ogni tentativo di autenticazione ricevuto dall'agente e di autorizzare qualunque login. La lettura delle credenziali raccolte avviene con Get-AADIntPTASpyLog -DecryptPasswords.
La seconda catena riguarda AD FS ed è quella documentata contro APT29. L'attaccante modifica il file di configurazione Microsoft.IdentityServer.Servicehost.exe.config per caricare una DLL non firmata dal processo del servizio, oppure estrae la token-signing key di AD FS (con AADInternals la funzione dedicata è Export-AADIntADFSSigningCertificate) per forgiare offline token SAML validi per qualunque utente e claim, tecnica nota come Golden SAML. Il token forgiato viene poi presentato a Entra ID o a qualsiasi service provider federato.
La terza catena è cloud-native: con un account Global Administrator compromesso l'operatore registra un nuovo agente PTA da lui controllato tramite il portale Entra, ottenendo un canale di autenticazione parallelo. Lo stesso risultato si può ottenere aggiungendo un dominio federato malevolo, tecnica descritta in letteratura come any-domain federation trust abuse.
Per la fase di ricognizione preliminare è utile enumerare la configurazione ibrida del tenant: Get-AADIntTenantDetails mostra domini federati e metodi di sync, mentre Get-AADIntPTAAgents elenca gli agenti registrati. In ambiente di laboratorio conviene ricostruire una topologia realistica con un domain controller Windows Server, un host Azure AD Connect e un tenant Entra ID di test (freemium): senza questa fedeltà l'esercizio non produce artefatti confrontabili con la produzione. Tutte le attività vanno eseguite in tenant dedicati al red teaming per evitare compromissioni collaterali su identità reali.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.