Account Locali Compromessi: Local Accounts (T1078.003)
La tecnica T1078.003 - Local Accounts descrive l'abuso di credenziali di account configurati localmente su singoli sistemi o servizi, tipicamente utilizzati per amministrazione, supporto remoto o esecuzione di servizi. A differenza degli account di dominio, questi account vivono nel SAM di Windows, in /etc/shadow su Linux o nei database locali di apparati di rete, e spesso sfuggono ai controlli centralizzati di identity governance.
L'attaccante che ottiene una credenziale locale valida può attraversare quattro tattiche distinte lungo la kill chain: TA0001 (Initial Access) quando la credenziale è la porta d'ingresso iniziale, TA0003 (Persistence) perché un account legittimo rappresenta un backdoor che sopravvive a reboot e aggiornamenti, TA0004 (Privilege Escalation) quando l'account ha diritti amministrativi o SYSTEM, e TA0005 (Defense Evasion) perché l'attività appare come traffico autenticato lecito, indistinguibile a occhio nudo dall'operatività ordinaria.
Il vero moltiplicatore di rischio è il riuso delle password: quando la stessa credenziale amministrativa locale è replicata su decine o centinaia di endpoint, la compromissione di un singolo host consente movimenti laterali estesi senza mai toccare il domain controller. I dati MITRE documentano 12 gruppi APT, 5 famiglie malware (tra cui Cobalt Strike, Emotet, NotPetya e LockBit 3.0) e 3 campagne che hanno impiegato questa tecnica, dalla campagna Wocao al SolarWinds Compromise.
In un ingaggio red team la fase preliminare consiste nell'enumerare gli account locali presenti sul target. Su Windows il comando net user elenca gli utenti locali, mentre net localgroup Administrators mostra i membri del gruppo amministratori. Con accesso PowerShell equivalente si usa Get-LocalUser e Get-LocalGroupMember -Group Administrators.
La fase successiva è l'estrazione delle credenziali. Mimikatz (open source) resta lo strumento di riferimento con il modulo lsadump::sam per dumpare gli hash NTLM dal registro SAM, previo accesso SYSTEM. In alternativa secretsdump.py dalla suite Impacket (open source) permette il dump remoto passando le chiavi SYSTEM e SAM. Su Linux la lettura di /etc/shadow con privilegi root fornisce gli hash da sottoporre a hashcat (open source) o John the Ripper (open source) per il cracking offline.
Ottenuto l'hash o la password in chiaro, il movimento laterale segue due strade classiche. Il Pass-the-Hash con impacket-psexec o impacket-wmiexec consente di autenticarsi su altri host che condividono la stessa credenziale amministrativa locale, tecnica emulata dalla catena osservata in NotPetya che combinava credenziali valide con wmic e PsExec. Cobalt Strike (a pagamento) offre il comando jump psexec_psh per lo stesso scopo con integrazione beacon.
Per simulare la creazione di account persistenti — pattern usato da PROMETHIUM e Kimsuky — il comando net user pentest P@ssw0rd! /add seguito da net localgroup Administrators pentest /add replica esattamente l'attività. Su Linux l'equivalente è useradd -m -s /bin/bash -G sudo pentest più passwd pentest. È utile testare anche la creazione di account nascosti aggiungendo il suffisso $ al nome utente Windows, trucco che nasconde l'utente da net user pur mantenendolo funzionante.
Per il brute-force di account locali esposti via SMB o RDP si può usare CrackMapExec (open source, ora NetExec) con la sintassi nxc smb
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo