Enumerazione Account Locali: Local Account Discovery (T1087.001)

In un'operazione red team l'enumerazione degli account locali è tra le prime azioni post-exploitation. Su Windows la baseline resta il modulo Net del sistema operativo: net user elenca gli account locali, net localgroup administrators mostra i membri del gruppo amministrativo, net user restituisce dettagli su ultimo logon, appartenenze di gruppo e stato dell'account. Il comando quser completa il quadro elencando le sessioni interattive attive, replicando l'approccio osservato in Volt Typhoon.

Per restare vicino al comportamento dei threat actor documentati, la sequenza tipica ricalca quella di OilRig e admin@338:

• net user
• net user /domain
• net localgroup administrators
• net group "Domain Admins" /domain

In ambienti dove PowerShell è disponibile, i cmdlet Get-LocalUser e Get-LocalGroupMember -Group Administrators offrono output strutturato più facile da parsare. Framework come PowerSploit (open source) espongono Get-ProcessTokenGroup del modulo Privesc-PowerUp per enumerare i SID associati al token corrente, mentre PowerView (open source, parte di PowerSploit) e Pywerview (open source) coprono anche la parte di dominio.

Per la fase di analisi delle relazioni tra utenti, gruppi e sessioni, BloodHound (open source) è lo standard de facto: il collector SharpHound raccoglie i dati con SharpHound.exe -c LocalGroup,Session,LoggedOn e la GUI evidenzia percorsi di attacco verso account privilegiati. Empire (open source) e PoshC2 (open source) integrano moduli equivalenti nei rispettivi agent.

Su Linux la strada più silenziosa è la lettura diretta di /etc/passwd con cat o less, seguita da getent passwd per includere anche le fonti NSS come LDAP. I comandi id, groups e w completano l'enumerazione delle sessioni. La webshell P.A.S. utilizza esattamente questo approccio.

Su macOS il comando canonico è dscl . list /Users, filtrabile con dscl . list /Users | grep -v '^_' per escludere gli account di sistema. In alternativa dscacheutil -q user interroga la cache del Directory Service.

Sugli hypervisor ESXi, spesso trascurati nei playbook offensivi ma sempre più bersagliati dai gruppi ransomware, il comando esxcli system account list elenca gli account locali con relativi ruoli. In lab, per evitare rumore inutile, è buona pratica raccogliere l'output in un file locale (come fa Kwampirs o admin@338 con net user >> %temp%\download) ed esfiltrarlo in un secondo momento tramite il canale C2 già stabilito.

La detection di T1087.001 si basa quasi interamente sul monitoraggio della command line, poiché gli eseguibili coinvolti sono legittimi e presenti su qualsiasi endpoint. Su Windows la fonte primaria è Sysmon Event ID 1 (process creation), integrato con l'abilitazione dell'audit di process creation nativo (Event ID 4688) e la registrazione della command line via GPO. Le regole di correlazione devono intercettare le varianti di net user, net localgroup, net group, net users, net.exe user, così come i cmdlet PowerShell Get-LocalUser e Get-LocalGroupMember tracciati tramite ScriptBlock Logging (Event ID 4104).

Il vero segnale non è il singolo comando — legittimo in molti contesti amministrativi — ma il pattern comportamentale. La detection AN0846 suggerisce di concentrarsi su tre dimensioni: burst di comandi di enumerazione in finestre temporali brevi (tipicamente meno di 60 secondi tra un comando e l'altro), esecuzione da parte di utenti a basso privilegio o account di servizio che normalmente non compiono discovery, e catene parent-child sospette come w3wp.exe → cmd.exe → net.exe oppure winword.exe → powershell.exe → net.exe.

Per ridurre i falsi positivi va costruita una baseline degli host amministrativi (jump server, workstation IT) dove queste attività sono attese. L'esecuzione di net user da un endpoint utente marketing alle 3 del mattino, seguita da net localgroup administrators e net group "Domain Admins" /domain, è un segnale ad alta confidenza.

Su Linux i controlli D3FEND puntano sul monitoraggio degli accessi ai file sensibili tramite auditd. Una regola efficace è:

-w /etc/passwd -p r -k passwd_read

affiancata da regole analoghe su /etc/group e /etc/shadow. L'audit dei syscall execve per id, groups, getent completa la copertura. Sysmon for Linux (open source) offre un'alternativa con output più uniforme rispetto alle piattaforme Windows.

Su macOS l'Unified Log cattura l'esecuzione di dscl e dscacheutil; una query con log show --predicate 'process == "dscl"' --last 1h permette hunting mirato. Su ESXi il file shell.log traccia i comandi eseguiti via SSH o ESXi Shell, mentre vpxd.log sul vCenter registra le chiamate API: pattern come esxcli system account list da sessioni non riconducibili a job di automazione o manutenzione pianificata devono generare alert immediati.

La mitigazione M1028 consiglia di disabilitare l'enumerazione degli amministratori durante i prompt UAC agendo sulla chiave HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\CredUI\EnumerateAdministrators, riducendo la superficie di discovery sfruttabile senza privilegi elevati.

L'analisi forense di T1087.001 parte dalla ricostruzione temporale dell'esecuzione dei binari nativi. Su Windows gli artefatti primari sono le Prefetch (C:\Windows\Prefetch\NET.EXE-.pf* e NET1.EXE-.pf*), che confermano l'esecuzione e forniscono ultimo run time e numero di esecuzioni. Il parsing con PECmd di Eric Zimmerman (open source) restituisce il timeline in formato CSV facilmente correlabile.

L'Amcache (C:\Windows\AppCompat\Programs\Amcache.hve) e le ShimCache conservano tracce dell'esecuzione anche dopo la rimozione dei Prefetch, utili nei casi in cui l'attaccante abbia tentato di ripulire l'endpoint. Per PowerShell, la chiave è il ScriptBlock Log in Microsoft-Windows-PowerShell/Operational (EventID 4104) e la history file ConsoleHost_history.txt nel profilo utente, che spesso conserva le sequenze Get-LocalUser e Get-LocalGroupMember eseguite dall'attore.

Gli eventi di sicurezza 4688 (process creation) con command line abilitata sono la fonte più ricca: filtrare per ProcessName contenente net.exe, quser.exe, whoami.exe e correlare con il SubjectUserName permette di identificare rapidamente l'account compromesso. Il registro HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU può conservare traccia di comandi lanciati via Win+R. Il caso Fox Kitten documenta l'accesso diretto a ntuser.dat e UserClass.dat: la loro analisi con RegRipper (open source) può rivelare artefatti di enumerazione precedenti l'incidente.

Su Linux la timeline si costruisce dai log auditd (/var/log/audit/audit.log), cercando eventi SYSCALL type=EXECVE per id, groups, cat /etc/passwd, e eventi PATH con name="/etc/passwd". Il file ~/.bash_history dell'utente compromesso è la prima fonte da acquisire, insieme a /var/log/wtmp e /var/log/btmp per correlare le sessioni. La webshell P.A.S., documentata per la lettura di /etc/passwd, lascia traccia anche nei log del web server (accessi POST verso lo script PHP).

Su macOS l'Unified Log è persistente per circa 30 giorni e va acquisito con log collect --output evidence.logarchive, poi analizzato con mac_apt (open source) o Aftermath (open source, sviluppato da Jamf). Le tracce di dscl e dscacheutil emergono con predicati mirati sul processImagePath.

Su ESXi la triage forense passa per shell.log, auth.log e hostd.log: la campagna Operation CuckooBees (C0012, attiva dal 2019 al 2022 contro settori tech e manifatturiero in Asia orientale, Europa occidentale e Nord America) documenta l'uso sistematico di net user da parte di attori affiliati a Winnti Group, APT41 e BARIUM, con esfiltrazione degli output verso file temporanei prima della trasmissione al C2 — un pattern che si ripresenta identico in admin@338 e Kwampirs.

L'adozione di T1087.001 attraversa tutto lo spettro degli attori documentati, con pattern operativi sorprendentemente uniformi. APT41 (G0096), gruppo cinese con doppia natura state-sponsored e cybercriminale, utilizza i comandi net nativi per enumerare i gruppi amministrativi locali; nella campagna Operation CuckooBees (C0012, 2019-2022) l'attività di discovery basata su net user è stata osservata in modo sistematico contro target tech e manifatturieri in Asia orientale, Europa occidentale e Nord America, con obiettivo il furto di proprietà intellettuale, codice sorgente e blueprint tecnologici. Gli attori coinvolti includevano affiliati a Winnti Group e BARIUM, confermando la fluidità dei confini nell'ecosistema cinese.

Volt Typhoon (G1017), attore state-sponsored cinese focalizzato su infrastrutture critiche statunitensi, ha reso famoso l'abbinamento net user + quser per profilare rapidamente gli endpoint compromessi. La combinazione è particolarmente indicativa perché quser aggiunge informazioni sulle sessioni attive, utili per pianificare movimenti laterali in orari a bassa visibilità operativa — un tratto tipico delle operazioni living-off-the-land del gruppo.

Turla (G0010) e Ke3chang (G0004), entrambi legati all'ecosistema russo e cinese rispettivamente, mantengono lo stesso approccio da anni: net user e net localgroup administrators come primo passo post-compromise. APT1 (G0006), storico gruppo attribuito alla PLA cinese, aveva già codificato questo pattern nei propri playbook operativi documentati oltre un decennio fa, dimostrando la persistenza della tecnica nel tempo.

Nel panorama iraniano, OilRig (G0049) e APT42 (G1044) mostrano un livello di sofisticazione crescente: mentre OilRig si affida a sequenze net classiche, APT42 ha sviluppato POWERPOST, uno script PowerShell dedicato alla raccolta dei nomi degli account locali. Fox Kitten (G0117), altro attore iraniano, adotta un approccio più forense accedendo direttamente a ntuser.dat e UserClass.dat, bypassando i comandi tracciabili.

Il fronte cybercriminale è altrettanto attivo: Medusa Group (G1051) e Moses Staff (G1009) integrano net user nei propri workflow di ransomware e wiper, mentre RedCurl (G1039), gruppo specializzato in spionaggio industriale, raccoglie sistematicamente informazioni sugli account locali. Sul fronte malware, la diffusione è capillare: TrickBot, Bazar, Valak, Kazuar, InvisiMole, Agent Tesla e Qilin implementano tutti routine di enumerazione locale, spesso via NetUserEnum (come Pony) o direttamente tramite invocazione di net.exe (come SoreFang e SMOKEDHAM).

Il trend consolidato è chiaro: T1087.001 è un requisito operativo universale, non un tratto distintivo. La sua rilevazione richiede quindi analisi comportamentale contestuale piuttosto che attribuzione basata sulla singola tecnica.

MITRE ATT&CK T1087.001 (Local Account) e tattica TA0007 (Discovery). Campagna C0012 (Operation CuckooBees). Mitigazione M1028 (Operating System Configuration). Detection analytics AN0846-AN0849. MITRE D3FEND per artefatti e controlli difensivi. Il documento integra conoscenza professionale su tool di detection e forensics (Sysmon, auditd, PECmd, RegRipper, BloodHound, PowerSploit, Empire, PoshC2, mac_apt, Aftermath) verificati come progetti open source attivi.