Estrazione Segreti LSA: LSA Secrets (T1003.004)

L'approccio classico in un red team engagement passa per due strade: estrazione offline dal registro oppure dumping in-memory da lsass. Entrambe richiedono privilegi SYSTEM, tipicamente ottenuti tramite abuso di token, PsExec o task pianificati.

La via offline è la più silenziosa. Con privilegi elevati si esportano i tre hive necessari:

reg save HKLM\SYSTEM %TEMP%\sys.hiv

reg save HKLM\SECURITY %TEMP%\sec.hiv

reg save HKLM\SAM %TEMP%\sam.hiv

Questa è la tecnica documentata per APT29. I file vengono poi esfiltrati e processati offline con secretsdump.py di Impacket (open source), riducendo drasticamente la superficie di detection sull'endpoint:

secretsdump.py -sam sam.hiv -security sec.hiv -system sys.hiv LOCAL

L'output include hash NTLM del SAM locale, cached domain credentials (MSCache v2) e le LSA Secrets in chiaro, incluse le password dei service account.

Per un'operazione live su target singolo, Mimikatz (open source) resta il riferimento. Il modulo dedicato si invoca con:

privilege::debug

token::elevate

lsadump::secrets

Il comando lsadump::secrets legge direttamente dai chiavi di registro protette sfruttando l'elevazione a SYSTEM. Per operazioni multi-host in un lab interno, CrackMapExec (open source, ora sostituito dal fork NetExec) automatizza il processo su interi range:

crackmapexec smb -u admin -p 'Pass' --lsa

Alternative valide viste in campagne reali includono LaZagne (open source), utilizzato da OilRig, APT33, MuddyWater e Leafminer per il recupero credenziali multi-applicazione, e gsecdump (tool storico, non più mantenuto ma ancora funzionante) impiegato da Ke3chang e Threat Group-3390. Per scenari cloud-integrated, AADInternals (open source, modulo PowerShell) offre funzionalità di dump LSA integrate con enumerazione Azure AD.

Durante un'esercitazione lab-safe, è buona pratica lavorare su snapshot di VM isolate, evitare l'esecuzione su domain controller di produzione e documentare l'orario esatto di ogni comando per correlare con la telemetria SOC durante la fase di purple teaming. Nel report finale, è utile evidenziare quali service account sono emersi con password statiche, poiché rappresentano il vero valore attaccabile in ottica lateral movement verso SQL Server, backup infrastructure o account di join dominio.

La detection di T1003.004 richiede correlazione tra eventi di registro, accessi a processo e uso di strumenti a riga di comando. La detection DET0437 del framework MITRE indica come sorgenti primarie WinEventLog:Security e WinEventLog:Sysmon, con un focus su tre segnali comportamentali distinti.

Il primo segnale è l'accesso alla chiave di registro sensibile. Sysmon con configurazione adeguata (event ID 12, 13 e 14) traccia operazioni su HKLM\SECURITY\Policy\Secrets, HKLM\SECURITY\Policy\PolEKList\default e le varianti CurrVal/OldVal citate esplicitamente nel modulo Credential Dumper di IceApple. Un accesso a questo path da un processo diverso da lsass.exe o services.exe è quasi sempre malevolo.

Il secondo segnale è l'esportazione di hive. L'evento Windows Security 4688 con command line contenente reg save, reg export seguiti dai target HKLM\SECURITY, HKLM\SAM o HKLM\SYSTEM è un indicatore ad alta confidenza, particolarmente perché replica esattamente il pattern di APT29. Una regola SIEM efficace correla la comparsa dei tre file hive nella stessa directory entro una finestra temporale ristretta (30-60 secondi).

Il terzo segnale riguarda l'accesso a lsass.exe. L'evento Sysmon 10 (ProcessAccess) con TargetImage pari a lsass.exe e GrantedAccess contenente valori come 0x1010, 0x1410 o 0x1438 indica lettura di memoria compatibile con dumping credenziali. Il tuning suggerito dal framework MITRE include filtri su AccessMask specifiche (0x2, 0x4) e whitelisting di processi legittimi come antivirus e agent EDR.

Sul fronte preventivo, è essenziale attivare Credential Guard su Windows 10/11 e Server 2016+, che isola i segreti LSA in un container virtualizzato basato su Hyper-V rendendo inefficaci i dump da memoria. Protected Process Light (PPL) su lsass, configurato via chiave RunAsPPL, blocca l'apertura del processo anche da SYSTEM.

I falsi positivi più comuni derivano da: backup di stato del sistema (Windows Server Backup accede legittimamente agli hive), attività di software di inventario che enumera il registro, e alcuni agent di gestione configurazione. La tuning list dovrebbe includere firme dei processi legittimi verificate via Sigcheck (Sysinternals, gratuito).

Un detection package maturo combina la regola di registro, la regola di command line reg.exe e la regola di ProcessAccess su lsass in una singola alert correlata a scoring, aumentando la severità quando due o più segnali si presentano dallo stesso host in una finestra di 5 minuti. L'aggancio a un playbook di isolamento host automatico è raccomandato per gli endpoint tier-0.

L'analisi forense di un incidente T1003.004 si sviluppa lungo tre assi: artefatti di registro, tracce di esecuzione dei tool e residui di file esportati. Il vantaggio dell'analista è che il dumping LSA lascia impronte relativamente stabili su Windows moderni.

Sul registro di sistema, l'analisi post-mortem richiede l'estrazione degli hive SYSTEM, SECURITY e NTUSER.DAT dell'utente che ha operato. Con RegRipper (open source) o Registry Explorer (gratuito, Eric Zimmerman) è possibile ispezionare le chiavi HKLM\SECURITY\Policy\Secrets e verificare i timestamp LastWrite — un timestamp recente su queste chiavi in assenza di modifiche legittime di sistema è indicativo di accesso. Le chiavi PolEKList contengono il materiale crittografico usato per decifrare i segreti e sono target esplicito di IceApple.

Sul fronte execution artifacts, l'analista deve cercare tracce di reg.exe, mimikatz, secretsdump.py (via python.exe), lazagne.exe e gsecdump.exe. Le fonti primarie sono:

• Prefetch (C:\Windows\Prefetch*.pf) parsabile con PECmd (gratuito), che rivela nome eseguibile, primo/ultimo esecuzione e path completo
• Amcache.hve con hash SHA1 dei binari eseguiti, utile per identificare Mimikatz anche se rinominato
• ShimCache (AppCompatCache) per esecuzioni storiche fino a 1024 entry
• UserAssist nell'hive utente per esecuzioni interattive
• SRUM (C:\Windows\System32\sru\SRUDB.dat) per attività di rete correlate all'esfiltrazione

Gli event log rilevanti includono Security.evtx per gli eventi 4688 (Process Creation, se abilitato con command line), 4656/4663 (SACL su chiavi registro sensibili, richiede audit configurato), e Microsoft-Windows-Sysmon/Operational.evtx per la telemetria dettagliata. La correlazione temporale tra evento 4688 di reg.exe save e la comparsa dei file hive in una directory temporanea costruisce una timeline solida.

Per la timeline reconstruction, Plaso/log2timeline (open source) aggrega prefetch, registro, event log, MFT e journal $UsnJrnl in un supertimeline analizzabile con Timeline Explorer (gratuito). Il journal NTFS è particolarmente utile per identificare la creazione e cancellazione dei file sam.hiv, sec.hiv, sys.hiv anche quando l'attaccante ha effettuato pulizia.

Dal punto di vista campagne documentate, il pattern reg save è signature di APT29 e va cercato attivamente nei log storici. L'uso combinato di Impacket secretsdump è caratteristico di Ember Bear e menuPass (che utilizza una versione modificata). Per Ke3chang e Threat Group-3390 l'artefatto chiave è la presenza di gsecdump.exe — eseguibile con hash noti e size caratteristica facilmente identificabile con YARA o hash database. Per gruppi che usano LaZagne (OilRig, APT33, MuddyWater, Leafminer), è utile ricercare i file di output tipici come credentials.txt o lazagne.txt nelle directory di lavoro.

Il panorama degli attori che sfruttano T1003.004 mostra una convergenza operativa notevole nonostante la diversità di origini e motivazioni. Cinque profili emergono con particolare rilevanza dai dati MITRE ATT&CK.

APT29 rappresenta il modello di sofisticazione OPSEC. L'uso esclusivo del comando nativo reg save per estrarre gli hive e processarli offline riflette la filosofia "living off the land" del gruppo, che minimizza l'esecuzione di tool riconoscibili sull'endpoint. Questa scelta rende la detection significativamente più difficile e richiede baseline comportamentali accurate su chi normalmente esegue operazioni di registro elevate.

menuPass (noto anche come APT10) adotta un approccio pragmatico basato su tooling pubblico modificato: versioni customizzate di wmiexec.vbs e secretsdump.py riducono le firme statiche mantenendo funzionalità. Il pattern è coerente con la strategia del gruppo di operazioni prolungate contro managed service provider, dove la persistenza multi-tenant richiede credenziali di servizio a lungo termine.

Ember Bear, attore riconducibile al panorama delle minacce contro l'Ucraina, utilizza il framework Impacket direttamente per dump LSA. La scelta di Impacket riflette un modello di adozione rapida di tooling open source maturo, comune negli attori con cicli operativi accelerati.

Il cluster iraniano mostra forte omogeneità nella scelta strumentale: OilRig, APT33, MuddyWater e Leafminer condividono l'uso di LaZagne. Questo overlap tool suggerisce condivisione di tradecraft o formazione comune, e ha implicazioni pratiche per la threat intelligence: la sola presenza di LaZagne non è sufficiente per attribuzione, ma va contestualizzata con altri artefatti (infrastruttura C2, targeting geografico, TTP di initial access).

Ke3chang e Threat Group-3390, entrambi con nexus cinese, condividono l'uso di gsecdump — tool datato ma efficace, spesso ancora presente in playbook consolidati. La persistenza di strumenti "vintage" nei toolkit di gruppi maturi riflette il principio che tecniche funzionanti non vengono abbandonate se generano risultati.

Sul piano software, il tool overlap più significativo è tra Impacket e Mimikatz: Impacket integra moduli Mimikatz-like nel proprio codice, e IceApple, malware post-exploitation associato a operazioni cinesi, dimostra come il pattern di accesso alle chiavi PolEKList/default, Secrets*\CurrVal e Secrets*\OldVal sia diventato uno standard implementativo.

I trend prevedibili includono maggiore adozione di framework post-exploitation che eseguono l'estrazione senza droppare binari (in-memory .NET assemblies, moduli PowerShell come AADInternals), incrementando la pressione sulla telemetria EDR di qualità. Per il threat intelligence officer, il monitoraggio della diffusione di NetExec (fork attivo di CrackMapExec) è particolarmente rilevante, poiché sta ereditando la posizione dominante nel commodity tooling per dump LSA su scala di rete.

Dati primari: MITRE ATT&CK — tecnica T1003.004, gruppi G0004, G0016, G0027, G0035, G0045, G0049, G0064, G0069, G0077, G1003, software S0002, S0008, S0050, S0192, S0349, S0357, S0488, S0677, S1022, mitigazioni M1017, M1026, M1027, detection DET0437 (analytic AN1212). Framework difensivo: MITRE D3FEND per mapping controlli. Le sezioni operative integrano conoscenza professionale verificata su tool open source (Impacket, Mimikatz, LaZagne, CrackMapExec/NetExec, Sysinternals, Eric Zimmerman tools, Plaso).