Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Dump dei Segreti LSA: LSA Secrets (T1003.004)
Quando un attaccante ottiene privilegi SYSTEM su un host Windows, una delle operazioni più redditizie che può compiere è l'estrazione dei cosiddetti LSA Secrets — un deposito di materiale crittografico conservato nel registro di sistema, sotto il percorso HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets. Qui il sistema operativo archivia credenziali di account di servizio, password di connessione automatica, chiavi di cifratura e token di autenticazione che possono aprire le porte a movimenti laterali e privilege escalation su scala enterprise.
La tecnica ricade nella tattica Credential Access (TA0006), la fase della kill chain in cui l'avversario raccoglie nomi utente e password per muoversi nell'ambiente compromesso senza generare anomalie evidenti. Due sono i vettori principali: l'estrazione diretta dalle chiavi di registro tramite il comando nativo reg save, e il dump dalla memoria del processo lsass.exe mediante tool specializzati come Mimikatz.
I numeri del catalogo parlano chiaro: 10 gruppi APT documentati, 9 software associati e 3 mitigazioni raccomandate. Un panorama che conferma come questa tecnica resti uno dei pilastri operativi del credential harvesting, adottata tanto da gruppi sponsorizzati da stati nazionali quanto da operatori ransomware. La comprensione profonda dei meccanismi di estrazione, detection e risposta è imprescindibile per chi difende ambienti Active Directory.
Per simulare questa tecnica in laboratorio servono privilegi SYSTEM o almeno Administrator con token elevato. Il punto di partenza più diretto è il comando nativo Windows reg save, lo stesso utilizzato da APT29 nelle proprie operazioni:
reg save HKLM\SECURITY C:\temp\security.save reg save HKLM\SYSTEM C:\temp\system.save
L'hive SYSTEM è necessario perché contiene la chiave di boot (SYSKEY) indispensabile per decifrare i segreti LSA offline. Una volta esportati entrambi i file, si trasferiscono sulla macchina dell'attaccante e si processano con secretsdump.py del framework Impacket (open source):
secretsdump.py -security security.save -system system.save LOCAL
Questo comando decodifica i segreti LSA, gli hash delle password locali e i cached domain credentials in un'unica passata, senza necessità di interazione con il sistema target.
Per l'estrazione diretta in memoria, Mimikatz (open source) offre il modulo dedicato:
mimikatz # privilege::debug mimikatz # token::elevate mimikatz # lsadump::secrets
La sequenza eleva i privilegi al contesto SYSTEM e poi enumera i segreti LSA dalla memoria del processo lsass.exe. Un approccio alternativo, particolarmente utile in contesti di post-exploitation remota, è CrackMapExec (open source — ora rinominato NetExec) che automatizza il dump LSA su target multipli:
nxc smb
In un engagement red team strutturato, vale la pena concatenare le fasi: si parte dall'accesso iniziale, si scala a SYSTEM, si estraggono i segreti LSA e si utilizzano le credenziali dei service account per muoversi lateralmente verso i domain controller. LaZagne (open source) è un'altra opzione valida che automatizza la raccolta da molteplici sorgenti di credenziali, inclusi i segreti LSA, con un singolo eseguibile:
laZagne.exe all
Per chi lavora con Pupy (open source), il framework integra nativamente il modulo LaZagne, consentendo il credential harvesting direttamente dalla sessione C2 senza drop di file su disco. Infine, gsecdump rappresenta l'opzione legacy — un binario leggero che effettua il dump LSA ma che alcuni EDR rilevano con facilità, rendendolo utile come test di baseline per le capacità di detection del Blue Team.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo