Nomi Account Camuffati: Masquerade Account Name (T1036.010)
La tecnica T1036.010 — Masquerade Account Name descrive la pratica avversaria di creare o rinominare utenze locali, di dominio o cloud utilizzando nomi che imitano account di servizio legittimi, amministratori o identità di sistema. L'obiettivo è mimetizzare la presenza dell'attaccante tra le migliaia di identità che popolano un ambiente enterprise, sfruttando la fiducia implicita che analisti e amministratori riservano a nomi come admin, help, backup, DefaultAccount o supportaccount.
La tecnica si colloca nella tattica TA0005 (Defense Evasion) e agisce come moltiplicatore di persistenza: un account con nome credibile sopravvive più a lungo alle revisioni periodiche, evita l'attenzione dei team IT e si confonde nei log di autenticazione. Spesso segue un'attività di Account Discovery, per calibrare il nome sulla convenzione già in uso, e talvolta si combina con Account Access Removal quando l'attaccante prima elimina un'utenza legittima per poi ricrearla con lo stesso nome ma credenziali proprie.
I dati MITRE registrano 4 gruppi APT, 2 famiglie malware e 1 campagna documentata, tra cui l'attacco del 2016 alla rete elettrica ucraina dove Sandworm Team creò utenze denominate admin e система. Le mitigazioni ruotano su convenzioni di naming rigorose (M1018) e audit continuativo degli account (M1047), mentre la detection si affida al confronto per similarità testuale tra nuovi account e baseline consolidata.
In un esercizio red team, la creazione di account mimetici va pianificata dopo una fase di ricognizione sulla convenzione di naming del target. Su Active Directory, un comando come net user helpdesk_svc P@ssw0rd! /add /domain seguito da net group "Domain Admins" helpdesk_svc /add /domain introduce un'utenza dal nome plausibile; la stessa logica in PowerShell si esprime con New-ADUser -Name "backup_svc" -SamAccountName backup_svc -Enabled $true -AccountPassword (ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force).
Prima di scegliere il nome, è essenziale enumerare le convenzioni esistenti. PowerView (open source, parte del progetto PowerSploit) consente con Get-NetUser | Select samaccountname, description di estrarre pattern ricorrenti. BloodHound (open source) mappa i gruppi privilegiati e permette di individuare nomi di service account riutilizzabili come modello. Su Linux, cat /etc/passwd | awk -F: '{print $1}' rivela le utenze di sistema da imitare, mentre useradd -r -s /bin/false backup-agent crea un account che appare come demone di servizio.
Su ambienti cloud, la creazione di identità camuffate in Azure AD avviene tramite il modulo AzureAD con New-AzureADUser -DisplayName "IT Support" -UserPrincipalName "itsupport@tenant.onmicrosoft.com" -PasswordProfile $pp -AccountEnabled $true. Il gruppo Storm-1811 ha dimostrato come account Microsoft Teams con nomi di helpdesk possano essere sfruttati per vishing e application phishing, quindi il red team può replicare lo scenario in laboratorio creando tenant di test con Microsoft 365 Developer Program (gratuito) e simulando chiamate Teams verso utenti bersaglio consenzienti.
Nei container, docker exec -it
Le catene d'attacco più efficaci combinano tre passaggi: prima enumerazione con ldapsearch (open source) o adPEAS (open source), poi creazione dell'account con nome coerente, infine assegnazione discreta a gruppi privilegiati evitando Domain Admins diretto e preferendo gruppi annidati. Strumenti come Impacket (open source), in particolare addcomputer.py e net.py, automatizzano la creazione remota via SMB o LDAP senza toccare direttamente il DC.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.