Account Locali Compromessi: Local Accounts (T1078.003)

In un ingaggio red team la fase preliminare consiste nell'enumerare gli account locali presenti sul target. Su Windows il comando net user elenca gli utenti locali, mentre net localgroup Administrators mostra i membri del gruppo amministratori. Con accesso PowerShell equivalente si usa Get-LocalUser e Get-LocalGroupMember -Group Administrators.

La fase successiva è l'estrazione delle credenziali. Mimikatz (open source) resta lo strumento di riferimento con il modulo lsadump::sam per dumpare gli hash NTLM dal registro SAM, previo accesso SYSTEM. In alternativa secretsdump.py dalla suite Impacket (open source) permette il dump remoto passando le chiavi SYSTEM e SAM. Su Linux la lettura di /etc/shadow con privilegi root fornisce gli hash da sottoporre a hashcat (open source) o John the Ripper (open source) per il cracking offline.

Ottenuto l'hash o la password in chiaro, il movimento laterale segue due strade classiche. Il Pass-the-Hash con impacket-psexec o impacket-wmiexec consente di autenticarsi su altri host che condividono la stessa credenziale amministrativa locale, tecnica emulata dalla catena osservata in NotPetya che combinava credenziali valide con wmic e PsExec. Cobalt Strike (a pagamento) offre il comando jump psexec_psh per lo stesso scopo con integrazione beacon.

Per simulare la creazione di account persistenti — pattern usato da PROMETHIUM e Kimsuky — il comando net user pentest P@ssw0rd! /add seguito da net localgroup Administrators pentest /add replica esattamente l'attività. Su Linux l'equivalente è useradd -m -s /bin/bash -G sudo pentest più passwd pentest. È utile testare anche la creazione di account nascosti aggiungendo il suffisso $ al nome utente Windows, trucco che nasconde l'utente da net user pur mantenendolo funzionante.

Per il brute-force di account locali esposti via SMB o RDP si può usare CrackMapExec (open source, ora NetExec) con la sintassi nxc smb -u users.txt -p passwords.txt --local-auth, che verifica anche il riuso della stessa credenziale su un range di host. Hydra (open source) copre SSH e altri protocolli. In ambito ESXi, dove account root locali sono la norma, gli attaccanti moderni sfruttano credenziali locali per attivare il modulo di cifratura del datastore: uno scenario emulabile in lab con appliance vulnerabili controllate.

La detection di T1078.003 si costruisce attorno all'osservazione comportamentale delle autenticazioni locali, poiché tecnicamente ogni login è "legittimo". La sorgente primaria è il Security Event Log di Windows, in particolare EventCode 4624 (logon riuscito) filtrando per LogonType 2 (interattivo), LogonType 3 (network) e LogonType 10 (RemoteInteractive/RDP) dove il campo TargetDomainName corrisponde all'hostname locale anziché al dominio.

Un primo alert efficace è la correlazione 4624 con account locale su host multipli in finestra temporale ristretta: se lo stesso username locale (es. Administrator, helpdesk) autentica con successo su cinque o più host in dieci minuti, il pattern è indistinguibile da NotPetya o LockBit in fase di propagazione. Aggiungere il filtro su LogonType 3 con AuthenticationPackageName = NTLM aumenta la specificità perché l'uso di NTLM tra host locali è oggi un'anomalia in molti ambienti.

Gli insight D3FEND suggeriscono di monitorare gli artefatti User Account e Authentication Event. Concretamente questo si traduce in tre regole di detection complementari. La prima intercetta EventCode 4720 (creazione account) e 4732 (aggiunta al gruppo Administrators) su workstation dove tale operazione non è mai attesa — pattern osservato in Kimsuky con il tool GREASE e in PROMETHIUM. La seconda monitora login riusciti su account dormienti: incrociare l'ultimo LastLogonTimestamp con l'evento corrente e allertare se la dormancy supera 90 giorni, tecnica specifica di APT29. La terza traccia EventCode 4625 (logon falliti) massivi seguiti da 4624, indicativo di brute-force come quello di Emotet.

Su Linux le sorgenti sono auditd:USER_LOGIN, i log /var/log/auth.log e /var/log/secure. Regole utili includono sessioni SSH con account locali da IP interni non whitelist, uso di su o sudo -i verso account non standard, e creazione di utenti tramite useradd fuori dai processi automatizzati di provisioning. Su macOS il unified log espone eventi di autenticazione tramite il subsystem com.apple.opendirectoryd.

Controlli preventivi (Harden) raccomandati: LAPS (gratuito, Microsoft) per randomizzare la password dell'account Administrator locale su ogni endpoint, eliminando alla radice il riuso; disabilitazione di NTLM verso destinazioni locali via GPO; abilitazione di UserAccountControl: Admin Approval Mode per account locali. La tuning richiede baseline per orario lavorativo e ruolo host: un login Administrator su un server di backup alle 3 di notte può essere lecito, sulla postazione HR quasi mai. Il rischio principale di falsi positivi arriva da script di manutenzione, agenti di deployment e vulnerability scanner che usano account locali dedicati — vanno censiti e whitelistati per source IP.

L'analisi forense di un abuso di account locale ruota attorno a quattro classi di artefatti: registro SAM, log di sicurezza, profili utente e tracce di movimento laterale. Su Windows il file C:\Windows\System32\config\SAM contiene la lista degli account locali e viene analizzato offline con RegRipper (open source) o Registry Explorer di Eric Zimmerman (gratuito). Il plugin samparse estrae utenti, SID, gruppi, data di creazione, ultimo login e conteggio dei login falliti — tutti dati chiave per identificare un account creato dall'attaccante o riattivato dopo lungo tempo.

La timeline degli eventi di autenticazione si ricostruisce dal Security.evtx, estraendo EventCode 4624/4625/4634 con EvtxECmd (gratuito) o Chainsaw (open source). L'incrocio tra LogonID di 4624 e successivi 4688 (process creation) permette di attribuire quali processi sono stati eseguiti sotto l'account compromesso. Nei casi documentati contro server Exchange — pattern di HAFNIUM che sfruttava NT AUTHORITY\SYSTEM e di FIN7 che usava credenziali compromesse come SYSTEM — la ricerca si concentra su processi w3wp.exe o UMWorkerProcess.exe che spawnano cmd.exe o powershell.exe.

Gli artefatti di profilo utente offrono conferma indipendente. La chiave HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList elenca i SID che hanno effettivamente caricato un profilo. La cartella C:\Users<username> con timestamp di creazione recente e contenuto minimale (solo NTUSER.DAT, AppData scarno) è tipica di account creati per persistenza rapida. Gli ShellBags e le UserAssist all'interno del NTUSER.DAT rivelano l'attività GUI effettiva dell'account.

Per il movimento laterale gli artefatti chiave sono i cache di credenziali e i log RDP. Microsoft-Windows-TerminalServices-LocalSessionManager/Operational con EventID 21, 22, 25 traccia sessioni RDP entranti; incrociarlo con EventCode 4624 LogonType 10 fornisce sorgente e account. Il BAM (Background Activity Moderator) in HKLM\SYSTEM\CurrentControlSet\Services\bam\State\UserSettings elenca eseguibili avviati per SID, utile per attribuire attività a un account locale specifico.

Su Linux la timeline si costruisce da /var/log/auth.log, /var/log/wtmp (parsato con last), /var/log/btmp (lastb per tentativi falliti) e /etc/shadow per verificare account aggiunti confrontando con snapshot precedenti. Il case study di Umbreon insegna a cercare account con UID coincidenti a quelli di sistema ma home directory anomale. La cronologia dei comandi in ~/.bash_history dell'account sospetto, quando non wiped, è spesso decisiva. Nel contesto della campagna Wocao e delle Leviathan Australian Intrusions, l'evidenza chiave è stata proprio la correlazione tra account di servizio locali compromessi e attività di esfiltrazione dati sostenuta nel tempo.

L'abuso di account locali attraversa trasversalmente tutto lo spettro degli attori, dall'espionaggio state-sponsored al cybercrime finanziariamente motivato, perché rappresenta la forma più naturale di living off the land nell'identity plane.

APT29 (attribuito al servizio d'intelligence estero russo SVR) rappresenta il caso d'uso più sofisticato: il gruppo prende di mira specificamente account dormienti o appartenenti a dipendenti non più in organico ma mai deprovisionati, sfruttando la finestra di visibilità ridotta su credenziali che nessuno monitora attivamente. Durante il SolarWinds Compromise (C0024, 2019-2021) questa tattica è stata combinata con supply chain injection, password spraying e furto di token, colpendo circa 18.000 clienti Orion con follow-on selettivo su un sottoinsieme di alto valore in Nord America, Europa, Asia e Medio Oriente.

Turla, altro attore riconducibile alla sfera russa, ha adottato un approccio più opportunistico basato sull'osservazione che le vittime spesso condividono la stessa password admin locale sull'intera rete — un punto debole strutturale che consente di trasformare un singolo hash rubato in accesso pervasivo. Sul fronte cinese, APT32 (OceanLotus) e Tropic Trooper hanno privilegiato l'uso di credenziali admin legittime per eseguire backdoor direttamente, riducendo l'esposizione a detection basata su malware signature.

L'attore nordcoreano Kimsuky merita menzione specifica per aver sviluppato un tool custom chiamato GREASE dedicato esclusivamente alla creazione di account admin Windows con configurazione RDP-ready, mostrando come la tecnica sia industrializzata all'interno di toolchain APT mature. Sul versante criminale, FIN7 ha usato credenziali compromesse per accessi SYSTEM su Exchange server, mentre FIN10 e Play hanno costruito interi playbook di lateral movement sull'account Local Administrator riusato.

La campagna Wocao (C0014, 2017-2019), con TTPs sovrapponibili a APT20 e attribuzione sospetta cinese, ha colpito organizzazioni governative, MSP e settori aviation, energy, healthcare, insurance in almeno dieci paesi tra Europa, Americhe e Asia, usando sistematicamente credenziali locali raccolte durante l'intrusione per privilege escalation. Le Leviathan Australian Intrusions (C0049, 2022) confermano l'evoluzione: intrusioni di lungo periodo focalizzate sull'esfiltrazione di credenziali valide come obiettivo primario, non solo come mezzo.

Sul fronte malware, il pattern è consolidato: Emotet integra brute-force di password admin locali nel proprio worming module, NotPetya ha usato PsExec e wmic con credenziali valide per la propagazione distruttiva del 2017, e LockBit 3.0 replica lo stesso schema per il ransomware moderno. Il trend prevalente è la convergenza tra APT e ransomware operator sull'identity-based intrusion, dove l'account locale rimane il vettore più economico e meno rilevato.

MITRE ATT&CK T1078.003 (Local Accounts), tattiche TA0001, TA0003, TA0004, TA0005. Campagne citate: C0014 (Operation Wocao), C0024 (SolarWinds Compromise), C0049 (Leviathan Australian Intrusions). Detection: DET0407 con analytics AN1137-AN1139. MITRE D3FEND per mappatura artefatti User Account e Authentication Event. Integrazione con conoscenza professionale per tool operativi (Mimikatz, Impacket, NetExec, LAPS, RegRipper, EvtxECmd, Chainsaw) e sintassi comandi Windows/Linux verificati su documentazione ufficiale dei rispettivi progetti.