Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Intercettazione MFA: Multi-Factor Authentication Interception (T1111)
L'autenticazione multi-fattore rappresenta uno dei pilastri della sicurezza moderna, eppure non è inviolabile. La tecnica Multi-Factor Authentication Interception descrive l'insieme di metodi con cui un avversario intercetta i meccanismi MFA — smart card, token hardware, codici OTP via SMS o e-mail — per ottenere credenziali valide e accedere a sistemi e risorse di rete protette.
Questa tecnica si colloca nella fase di Credential Access (TA0006), il momento della kill chain in cui l'attaccante lavora per sottrarre nomi utente, password e, in questo caso, i secondi fattori di autenticazione che dovrebbero rendere il furto di credenziali insufficiente. Il concetto chiave è che l'MFA non viene aggirato: viene intercettato. Un keylogger cattura il PIN della smart card mentre è inserita, un proxy malevolo replica il token hardware, un servizio SMS compromesso dirotta i codici OTP prima che raggiungano l'utente legittimo.
I numeri del framework confermano l'interesse operativo: 4 gruppi APT documentati, 2 software dedicati, 2 campagne su scala internazionale e 1 mitigazione centrata sul fattore umano. L'ampiezza degli attori — dal cyberspionaggio statale all'estorsione digitale — dimostra che l'intercettazione MFA non è una nicchia da laboratorio ma una capacità offensiva consolidata, applicata tanto a VPN enterprise quanto a portali cloud con autenticazione a due fattori via SMS.
L'intercettazione MFA in un esercizio red team si articola lungo tre vettori principali: il keylogging per smart card e token hardware, il proxying delle sessioni autenticate e l'intercettazione dei codici OTP out-of-band. Vediamoli in modo pratico.
Keylogging del PIN smart card. Quando un utente inserisce la smart card e digita il PIN, quel PIN transita dalla tastiera al sistema operativo. Su Windows, il tool Evilginx2 (open source) è pensato per scenari di phishing con cattura di sessione MFA, ma per il keylogging puro è più diretto lavorare con un payload Meterpreter. In una sessione Meterpreter già ottenuta:
keyscan_start keyscan_dump
Questi comandi avviano e scaricano il buffer del keylogger integrato in Meterpreter (Metasploit Framework, open source). In ambiente lab, l'operatore attende che l'utente simulato inserisca la smart card e digiti il PIN. Il dump restituirà la sequenza di tasti, incluso il codice numerico.
Proxy di autenticazione smart card. Una volta ottenuto il PIN e con la smart card fisicamente inserita nel sistema compromesso, l'attaccante può instradare l'autenticazione verso risorse di rete remote. Con Impacket (open source), lo script smbclient.py consente di autenticarsi verso share SMB utilizzando le credenziali della sessione corrente, ma il vero valore operativo sta nel creare un tunnel SOCKS attraverso il sistema vittima per fare proxy dell'intera sessione autenticata. In Meterpreter:
run autoroute -s
Questo replica esattamente ciò che il malware Sykipot fa in produzione: sfruttare il token hardware inserito per raggiungere risorse di rete altrimenti inaccessibili.
Intercettazione token OTP e sessioni MFA. Per simulare l'intercettazione di codici one-time, Evilginx2 (open source) è lo strumento di riferimento. Funziona come reverse proxy tra la vittima e il sito legittimo, catturando sia le credenziali sia i cookie di sessione post-MFA. La configurazione base richiede un dominio di phishing e un phishlet adeguato al target:
evilginx2 -p
All'interno della console, si configura il dominio e il phishlet desiderato. Quando la vittima completa il login MFA sul sito clonato, Evilginx2 cattura il session token — esattamente il vettore utilizzato da LAPSUS$ e APT42 nelle loro operazioni documentate.
Per simulare l'MFA fatigue (bombardamento di prompt di approvazione), in un lab con Azure AD/Entra ID si può usare uno script Python che chiama ripetutamente l'endpoint di autenticazione con credenziali valide, generando notifiche push successive sul dispositivo della vittima. Questo replica la tattica di LAPSUS$.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo