Cattura Input: Input Capture (T1056)
La tecnica T1056 - Input Capture raggruppa le metodologie con cui un attaccante intercetta l'interazione dell'utente con il sistema per sottrarre credenziali o raccogliere informazioni sensibili. L'intercettazione può avvenire in modo trasparente, attraverso hooking delle API di input o driver che leggono direttamente i dispositivi, oppure attraverso l'inganno, presentando all'utente form di autenticazione fasulli che imitano portali legittimi.
MITRE ATT&CK colloca la tecnica su due tattiche complementari: TA0006 Credential Access, dove l'obiettivo è ottenere username, password e codici MFA sfruttabili per accessi legittimi, e TA0009 Collection, dove l'input catturato (mouse, tastiera, contenuti dei form) diventa materia prima per la successiva esfiltrazione o per l'espansione laterale. La posizione nella kill chain è tipicamente post-exploitation ma precede lateral movement e privilege escalation.
L'impatto operativo è significativo: 3 gruppi APT documentati, 7 famiglie malware con capacità dedicate di cattura input e 2 campagne di rilievo. L'assenza di mitigazioni specifiche nel catalogo MITRE riflette la natura pervasiva della tecnica, che sfrutta funzionalità legittime del sistema operativo. La detection si basa su quattro analitiche comportamentali (AN0282-AN0285) distribuite su Windows, Linux, macOS e dispositivi di rete, con focus su chiamate API sospette, accesso a device file di input e traffico verso portali di phishing.
Un esercizio red team che simula T1056 parte tipicamente dalla scelta tra approccio API-based (hooking) e approccio hardware-level (lettura diretta dei device). Su Windows la funzione SetWindowsHookEx con parametro WH_KEYBOARD_LL è il vettore classico per un keylogger user-mode; l'implementazione di riferimento è disponibile in PowerSploit (open source, archiviato ma funzionante) con il modulo Get-Keystrokes, che sfrutta hook a basso livello e scrive l'output cifrato su disco. Un comando tipico in sessione PowerShell autorizzata:
Import-Module .\Get-Keystrokes.ps1; Get-Keystrokes -LogPath C:\Temp\kl.log
Per scenari più moderni, Mimikatz (open source) include il modulo misc::keylogger per attività di validazione controllata. Su macchine di laboratorio, KeeThief (open source) dimostra invece la cattura di master password KeePass tramite hook al processo utente.
Su Linux l'approccio cambia radicalmente. La lettura diretta di /dev/input/eventX con un binario custom richiede privilegi (gruppo input o CAP_DAC_READ_SEARCH). Il tool logkeys (open source, GitHub) è il riferimento accademico e si installa con apt install logkeys, avviandosi con logkeys --start --output /tmp/kl.log. Per il caso di SSH client compromesso, riprodotto dal malware Kobalos, il red teamer può patchare una build di OpenSSH per intercettare le credenziali in transito — esercizio da eseguire esclusivamente in ambiente isolato.
Su macOS la strada moderna passa per la richiesta di permessi Accessibility o Input Monitoring nel pannello TCC. Un PoC didattico usa Swift con l'API CGEventTapCreate; il progetto swift-keylogger (open source) mostra la catena completa, inclusa la richiesta di autorizzazione all'utente.
La variante Web Portal Capture, utilizzata dal gruppo APT42 e dalla campagna C0039 Versa Director Zero Day Exploitation attraverso il web shell VersaMem, si simula con Evilginx2 (open source), reverse proxy che intercetta credenziali e cookie di sessione anche in presenza di MFA. Il setup richiede un dominio di test, certificati Let's Encrypt e un phishlet configurato per il portale target:
evilginx2 -p ./phishlets
Per la componente di credential prompt fake su Windows, replicando la tecnica di Storm-1811, un semplice script PowerShell con Get-Credential mostra un dialog nativo che l'utente riconosce come legittimo. L'esercizio va accompagnato da user awareness testing misurabile.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.