Furto Credenziali Keychain: macOS Keychain Credential Dumping (T1555.001)

In un esercizio red team su endpoint macOS, la procedura canonica per validare l'esposizione del Keychain parte dall'utility nativa security, disponibile su ogni sistema senza necessità di installazione. Il comando storicamente più noto è:

security dump-keychain -d ~/Library/Keychains/login.keychain-db

Il flag -d richiede il dump anche dei dati sensibili (password in chiaro) e produce un prompt grafico di autorizzazione per ogni item, salvo che l'operatore fornisca la password del Keychain. In scenario post-exploitation con password nota, si può automatizzare l'operazione. Per elencare gli item senza secret: security dump-keychain ~/Library/Keychains/login.keychain-db. Per estrarre una singola password Internet: security find-internet-password -s -w.

Sul fronte offensive tooling, LaZagne (open source, repository GitHub AlessandroZ/LaZagne) include il modulo mac che itera i Keychain e tenta il recupero automatico delle credenziali dei browser, mail client e client VPN. Il comando tipico in lab è sudo python2 laZagne.py all. Il framework post-exploitation Empire (open source, fork mantenuti da BC-Security) implementa il modulo che invoca /usr/bin/security dump-keychain -d come modalità operativa documentata nei dati MITRE.

Un approccio più stealth, adottato da malware come Green Lambert e LightSpy, consiste nell'invocare direttamente le Keychain Services API — funzioni come SecKeychainFindInternetPassword, SecKeychainItemCopyAttributesAndData e SecItemCopyMatching — evitando lo spawn del binario /usr/bin/security che è facilmente monitorabile. In un lab, questo si simula compilando un piccolo eseguibile Objective-C o Swift che linka il framework Security.framework e itera gli item.

Catene d'attacco realistiche prevedono:

• Initial access via phishing (LinkedIn recruiting nel caso Contagious Interview) o falso installer .pkg/.dmg
• Privilege escalation o social engineering per ottenere la password di login (fake prompt osascript -e 'display dialog...')
• Copia offline dei file login.keychain-db verso infrastruttura attacker per cracking con chainbreaker (open source, n0fate/chainbreaker) o hashcat (open source, modalità 23100)
• Esfiltrazione dei secret decifrati come JSON, pattern osservato in LightSpy

Per red team maturo, è utile verificare anche l'accesso al iCloud Keychain e alle credenziali sincronizzate, che ampliano il blast radius verso device iOS della vittima.

La detection di T1555.001 su macOS ruota attorno al monitoraggio dell'Unified Logging System (log source macos:unifiedlog), coerentemente con quanto indicato dalla detection DET0396. L'obiettivo è intercettare accessi anomali ai file Keychain e invocazioni sospette del binario /usr/bin/security.

La query base sfrutta l'utility nativa log:

log stream --predicate 'process == "security" AND eventMessage CONTAINS "dump-keychain"' --style syslog

Per raccolta storica: log show --predicate 'process == "security"' --last 24h. Le soluzioni EDR macOS mature (Jamf Protect, CrowdStrike Falcon, SentinelOne, tutte a pagamento) espongono telemetria basata sul framework Endpoint Security di Apple, che consente di osservare eventi ES_EVENT_TYPE_NOTIFY_OPEN sui path ~/Library/Keychains/login.keychain-db e le chiamate alle API SecKeychain*.

Per chi costruisce detection in-house, l'agent open source osquery (open source, Linux Foundation) espone la tabella keychain_items e permette di correlare processi che invocano security tramite la tabella process_events. Un pacchetto di query può segnalare qualunque processo diverso da Keychain Access, Safari o Mail che apre i file login.keychain.

Gli indicatori comportamentali prioritari sono:

• Esecuzione di /usr/bin/security con argomenti dump-keychain, find-generic-password -w, find-internet-password -w
• Processi con parent lineage anomalo (es. shell scripts, interpreti Python/Node, binari non firmati) che aprono file in ~/Library/Keychains/
• Multipli prompt di autorizzazione Keychain in breve finestra temporale, sintomo di enumerazione automatizzata
• Copia dei file login.keychain-db verso directory temporanee o mount esterni, precursore di esfiltrazione per cracking offline

La DET0396 raccomanda tre parametri di tuning fondamentali: AllowedApplications (whitelist di processi legittimi come Safari, Mail, browser terze parti approvate), AlertThreshold (soglia di tentativi di unlock falliti prima dell'alert) e ParentProcessContext (relazioni parent-child attese per invocazioni legittime di security).

Sul fronte hardening allineato a M1027 (Password Policies), la mitigazione più efficace è disaccoppiare la password del Login Keychain dalla password di login dell'utente, operazione eseguibile via Keychain Access → Edit → Change Password for Keychain "login". Questa singola azione neutralizza gran parte degli attacchi opportunistici perché l'attaccante che ha compromesso la sessione utente non dispone automaticamente della chiave del Keychain.

I falsi positivi più frequenti derivano da: password manager legittimi (1Password, Bitwarden) che leggono item per import, tool di backup e migrazione (Time Machine, Migration Assistant), script IT interni che ruotano certificati o credenziali VPN. Una baseline di 2-4 settimane per host è generalmente sufficiente a stabilire il profilo di normalità.

L'analisi forense di un incidente T1555.001 su macOS parte dall'acquisizione dei file Keychain stessi come evidenza primaria. I path da preservare sono ~/Library/Keychains/login.keychain-db (SQLite dal 2016 in poi, formato legacy binario in versioni precedenti), /Library/Keychains/System.keychain e la directory /Library/Keychains/ contenente i Keychain di sistema. L'acquisizione va effettuata preferibilmente da immagine disco montata read-only o via macOS Forensic Toolkit (a pagamento) o strumenti open come osxpmem dal progetto Rekall (open source, in stato di manutenzione ridotta ma ancora funzionante).

L'artefatto centrale della timeline è l'Unified Log di macOS, persistito in /var/db/diagnostics/ e /var/db/uuidtext/. L'estrazione offline avviene con log collect --output evidence.logarchive su sistema live, oppure copiando le directory su una macchina di analisi ed eseguendo log show --archive evidence.logarchive --predicate 'process == "security"'. Le entry rivelano esecuzioni del binario security, timestamp precisi, UID del chiamante e argomenti.

Una timeline forense completa include:

• FSEvents (/System/Volumes/Data/.fseventsd/): tracce di accesso e modifica ai file Keychain, ricostruibili con FSEventsParser (open source, dlcowen/FSEventsParser)
• Quarantine database (~/Library/Preferences/com.apple.LaunchServices.QuarantineEventsV2): correlazione con installer sospetti che hanno introdotto il malware
• TCC database (~/Library/Application Support/com.apple.TCC/TCC.db): permessi Full Disk Access concessi ad applicazioni non standard, spesso prerequisito per accesso silente al Keychain
• Bash/Zsh history (~/.bash_history, ~/.zsh_history): comandi security dump-keychain eseguiti manualmente
• Spotlight metadata: file login.keychain-db copiati in path anomali (/tmp/, ~/Downloads/)

Per i casi documentati nei dati MITRE, gli artefatti specifici includono: file JSON esfiltrati (pattern LightSpy), archivi con estensione arbitraria contenenti secret dumpati (pattern Calisto e Proton), file raccolti dalla directory Keychain (Cuckoo Stealer, BeaverTail che raccoglie specificatamente /Library/Keychains/login.keychain). Per Green Lambert, l'uso delle API SecKeychainFindInternetPassword e SecKeychainItemCopyAttributesAndData non lascia tracce nel binario /usr/bin/security ma emerge in Endpoint Security telemetry se disponibile.

Se il Keychain è stato esfiltrato ma non decifrato in loco, il forensic analyst può tentare la ricostruzione offline con chainbreaker (open source, n0fate/chainbreaker), che estrae metadati e — se la password è nota o crackata — i secret in chiaro. Per attacchi di dizionario contro la password del Keychain, hashcat (open source) supporta la modalità 23100 per Apple Keychain2 (formato .keychain-db) e 8200 per il formato legacy.

La correlazione con account cloud compromessi (iCloud, Apple ID) è essenziale per stimare l'impatto reale, dato che il Local Items Keychain sincronizza credenziali su tutti i device dell'utente.

Il panorama degli attori che sfruttano T1555.001 riflette la crescente rilevanza di macOS negli ambienti enterprise, in particolare presso aziende tech, sviluppatori e organizzazioni con forte presenza creativa. I dati MITRE documentano un ecosistema di malware macOS-specifico particolarmente maturo attorno a questa tecnica.

Contagious Interview (G1052) è l'unico cluster APT esplicitamente censito, attribuito da fonti pubbliche alla galassia nordcoreana. La campagna si distingue per un vettore di ingresso altamente mirato: false offerte di lavoro veicolate via LinkedIn e piattaforme di recruiting verso sviluppatori — specialmente in ambito Web3, cryptocurrency e AI. La vittima viene indotta a eseguire un finto "assessment tecnico" che installa varianti malware macOS configurate per il dump del Keychain. L'obiettivo strategico è ottenere credenziali di wallet crypto, chiavi SSH aziendali e token di accesso a repository di codice sorgente. BeaverTail (S1246), malware associato alla stessa attività, raccoglie specificatamente il file login.keychain da /Library/Keychains/.

Sul fronte malware families, si distinguono cluster tematici distinti:

• Cluster commodity stealer: Calisto (S0274) e Cuckoo Stealer (S1153) rappresentano l'evoluzione di infostealer generici verso il target macOS, spesso distribuiti tramite installer trojanizzati di software popolare (utility di sistema, crack di app commerciali)
• Cluster APT sofisticato: Green Lambert (S0690), attribuito storicamente a operazioni di intelligence occidentali per il ramo Windows, presenta una variante macOS che invoca direttamente le API SecKeychain* evitando il binario security. Approccio identico in LightSpy (S1185), framework di sorveglianza mobile-first estesosi a macOS, che usa SecItemCopyMatching() e formatta i risultati come JSON per esfiltrazione strutturata
• Cluster targeted espionage: MacMa (S1016), noto anche come CDDS, è stato osservato in operazioni di watering hole contro comunità politiche specifiche e implementa dump completo del Keychain come step post-compromise
• Cluster legacy still-active: Proton (S0279) e iKitten (S0278) rimangono nel radar per campagne opportunistiche

Sul fronte tool overlap, Empire (S0363) e LaZagne (S0349) sono strumenti dual-use ampiamente adottati sia da red team legittimi sia da attori criminali, il che complica l'attribuzione basata sul solo indicator di tool usage.

Il trend consolidato è duplice: da un lato la transizione verso API-based access (Green Lambert, LightSpy) che evade la detection basata sul binario security; dall'altro l'ingegneria sociale mirata a figure tecniche con accesso a credenziali ad alto valore — sviluppatori con chiavi cloud, DevOps con accesso a CI/CD, ricercatori security. Per organizzazioni che gestiscono flotte macOS significative, la threat intel prioritaria include monitoraggio di nuove famiglie stealer distribuite via installer illegittimi e tracking delle TTP di Contagious Interview, che continua a rifinire il proprio playbook di recruiting-based intrusion.

MITRE ATT&CK: tecnica T1555.001, tattica TA0006, gruppo G1052, software S0274, S0278, S0279, S0349, S0363, S0690, S1016, S1153, S1185, S1246, mitigazione M1027, detection DET0396. MITRE D3FEND per mapping tecniche difensive Keychain access. Documentazione Apple Endpoint Security Framework e Keychain Services API. Sono state integrate conoscenze professionali di cybersecurity per tool operativi (chainbreaker, hashcat, osquery, Jamf Protect) e sintassi comandi security e log, tutte verificabili nei rispettivi progetti open source e documentazione ufficiale.