Intercettazione MFA: Multi-Factor Authentication Interception (T1111)

In un red team engagement la simulazione di T1111 richiede scenari controllati e concordati per via del rischio di intercettare credenziali reali. La catena tipica prevede tre fasi: impianto di un input capture module, posizionamento in prossimità del flusso MFA, esfiltrazione o replay del secondo fattore.

Su Windows il keylogging user-mode si appoggia storicamente a SetWindowsHookExW con hook WH_KEYBOARD_LL, oppure al polling di GetAsyncKeyState. Per esercitazioni lab, Mimikatz (open source) include il modulo misc::memssp che inietta un SSP in lsass per catturare le credenziali di logon interattivo, comprese quelle usate con smart card. Il comando è:

privilege::debug

misc::memssp

Dopo il logon, le credenziali finiscono in C:\Windows\System32\mimilsa.log. Per il proxying di smart card inserite, framework come Cobalt Strike (a pagamento) o Metasploit (open source) espongono funzionalità di pass-through tramite pivoting SMB/WinRM, sfruttando la sessione utente autenticata via scforceoption.

Su Linux la cattura di input avviene leggendo direttamente /dev/input/eventX: strumenti didattici come logkeys (open source) usano l'API evdev. Il caricamento di moduli kernel malevoli via insmod consente hooking a livello più profondo. Per intercettare TOTP generati da app desktop, l'analisi della memoria del processo con volatility3 (open source) o dump con gcore può esporre seed non protetti.

Su macOS l'accesso all'input richiede permessi TCC — categoria Input Monitoring o Accessibility. Un tool red team deve richiedere CGEventTapCreate con kCGHIDEventTap; l'utente vede il prompt TCC, quindi in scenari realistici si combina con social engineering.

Per la componente SMS e push bombing, evilginx2 (open source) opera come reverse proxy che intercetta cookie di sessione dopo autenticazione MFA completata, tecnica di adversary-in-the-middle particolarmente efficace contro portali che non implementano FIDO2/WebAuthn. La configurazione richiede un phishlet dedicato al target. Per il push fatigue, script custom ripetono richieste di login legittime finché l'utente non approva per sfinimento — pattern usato da LAPSUS$.

Per siti clonati con cattura MFA in tempo reale, Modlishka (open source) e Muraena (open source) sono i framework di riferimento nei lab. Documentare sempre nel rapporto quali fattori sono stati bypassati e quali resistono (chiavi hardware FIDO2 restano immuni al phishing proxy).

La detection di T1111 combina segnali di input capture, uso anomalo di sessioni smart card e pattern di autenticazione MFA sospetti. La strategia DET0246 in MITRE ATT&CK definisce tre analytic principali per Windows, Linux e macOS.

Su Windows (analytic AN0687) le fonti primarie sono Sysmon e il canale Security. Gli eventi rilevanti includono Sysmon EventID 10 (ProcessAccess verso lsass.exe con GrantedAccess contenente 0x10 o 0x1010), EventID 7 (ImageLoad di driver non firmati o inusuali), EventID 13 (modifiche registry a chiavi come HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages per SSP malevoli). Il tuning richiede l'esclusione di tool di accessibilità legittimi (Magnifier.exe, Narrator.exe) e la definizione di una finestra temporale entro cui correlare access a lsass, modifica registry e successivo uso di smart card. Per il logon con smart card monitorare EventID 4624 con LogonType 2 o 11 e AuthenticationPackageName Kerberos con LogonProcessName User32, incrociando con sessioni RDP o WinRM in uscita dalla stessa workstation entro pochi minuti.

Su Linux (analytic AN0688) i segnali provengono da syslog, auditd e — dove installato — Sysmon for Linux. Regole auditd sui path /dev/input/event* con -a always,exit -F path=/dev/input/event0 -F perm=r -k input_capture rilevano lettura del keyboard device. Il caricamento di moduli via insmod o modprobe fuori dai canali di package management va allertato, escludendo moduli in whitelist. Attenzione al contesto utente: sessioni root con shell interattiva possono generare falsi positivi.

Su macOS (analytic AN0689) l'unified log e query osquery sui processi con entitlement com.apple.security.input-monitoring o richieste CGEventTap rivelano tentativi di keylogging. Modifiche al database TCC (/Library/Application Support/com.apple.TCC/TCC.db) o tentativi di bypass tramite scrittura diretta sono ad alta priorità. Filtrare per binari non firmati o con firma di sviluppatori non enterprise.

Per i canali fuori-endpoint, correlare log del provider MFA (Duo, Okta, Azure AD Sign-in Logs) cercando: approvazioni push multiple ravvicinate seguite da approvazione (MFA fatigue), autenticazioni da paesi non abituali entro pochi minuti dal login da geografia consueta, registrazione di nuovi numeri di telefono o metodi MFA seguita immediatamente da login. In Azure AD l'evento Update user con modifica StrongAuthenticationUserDetails è il segnale chiave del pattern osservato in Chimera. Escludere self-service password reset legittimi verificando lo user agent e l'IP di origine.

L'indagine forense su T1111 attraversa più superfici: endpoint infetto dal keylogger, sistema di autenticazione MFA, canale di consegna del secondo fattore. La timeline tipica parte dal logon legittimo dell'utente, prosegue con l'attivazione del capture module e culmina con l'uso della credenziale intercettata da un secondo host.

Su Windows l'artefatto centrale è la memoria di lsass.exe. Un dump acquisito con procdump (gratuito, Sysinternals) procdump -ma lsass.exe lsass.dmp analizzato con Mimikatz offline o con pypykatz (open source) può rivelare SSP iniettati o handle anomali. Il file mimilsa.log in *C:\Windows\System32* è indicatore diretto della tecnica memssp. Nel registry, HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages e HKLM\SYSTEM\CurrentControlSet\Control\Lsa\OSConfig\Security Packages vanno confrontati con baseline. Gli eventi Security 4624/4625/4776 correlati con 4648 (explicit credential logon) mostrano se la workstation ha usato credenziali per autenticarsi verso host remoti in orari incompatibili con l'attività umana.

Per smart card, l'evento 4634 (logoff) confrontato con 4624 LogonType 11 (CachedInteractive) o 2 con package Kerberos rivela sessioni proxy. L'artefatto Microsoft-Windows-CAPI2/Operational traccia operazioni crittografiche sulla smart card e può mostrare firme richieste da processi anomali. Prefetch (C:\Windows\Prefetch*.pf) e Amcache (C:\Windows\AppCompat\Programs\Amcache.hve) documentano l'esecuzione del tool malevolo. Per Sykipot e famiglie simili documentate storicamente su ambienti DoD, ricercare loader che invocano SCardConnect dalle API winscard.dll.

Su Linux l'analisi di /var/log/auth.log, audit.log e history delle shell utente ricostruisce l'accesso a /dev/input/*. lsmod comparato con snapshot pre-incidente evidenzia moduli kernel non attesi. File di output di keylogger sono spesso nascosti in /tmp, /var/tmp o directory home come dotfiles: find / -type f -newer /var/log/lastlog -size -1M 2>/dev/null aiuta a circoscrivere. Per SLOWPULSE su appliance Pulse Secure, gli artefatti sono modifiche al binario del daemon di autenticazione — verificare hash e timestamp contro immagini golden.

Su macOS il database TCC va estratto con sqlite3 /Library/Application Support/com.apple.TCC/TCC.db 'select * from access where service like "%Input%"' per identificare quali binari hanno ottenuto Input Monitoring. Unified log query log show --predicate 'subsystem == "com.apple.TCC"' --last 7d rivela grant recenti.

Nel dominio MFA, esportare i sign-in log del provider e ricostruire la sequenza registrazione-uso di nuovi metodi. Per la campagna Operation Wocao e Leviathan Australian Intrusions, la persistenza è caratterizzata da riuso prolungato di token catturati, quindi la ricerca retroattiva su finestre di 6-12 mesi è giustificata.

L'adozione di T1111 identifica avversari con capacità di sviluppo interne e comprensione approfondita delle catene di autenticazione target. I quattro gruppi documentati mostrano geografie e motivazioni distinte, ma convergono sulla stessa esigenza: neutralizzare l'MFA come ultimo baluardo prima dell'accesso persistente.

Kimsuky (G0094), attore nordcoreano attivo nello spionaggio contro think tank, ricercatori e settore diplomatico principalmente sudcoreano, ha sviluppato un tool proprietario dedicato all'intercettazione di OTP per 2FA. La scelta di costruire capacità custom anziché usare framework pubblici indica investimento sostenuto in questa capability, coerente con missioni di raccolta a lungo termine.

Chimera (G0114) opera contro il settore semiconduttori con focus su Taiwan e supply chain adiacenti. Il modus operandi documentato — registrazione di numeri di telefono alternativi sugli account compromessi per dirottare gli SMS con codici MFA — evidenzia una comprensione dei processi di account recovery e la disponibilità di infrastruttura telefonica utilizzabile. Il pattern è particolarmente insidioso perché non richiede compromissione dell'endpoint: si opera direttamente sulla directory di identità.

LAPSUS$ (G1004), gruppo di estorsione noto per intrusioni ad alto profilo contro aziende tech, ha usato il replay di token di sessione rubati combinato con MFA fatigue — invio ripetuto di prompt push finché l'utente non approva per esasperazione. È l'evoluzione low-tech ma efficace di T1111: nessun keylogger, solo pressione psicologica sull'utente. La tecnica ha successo contro implementazioni MFA senza number matching o verifica del contesto.

APT42 (G1044), gruppo iraniano legato a operazioni di raccolta contro dissidenti, giornalisti e obiettivi politici, ha dimostrato un ventaglio operativo ampio: intercettazione SMS OTP, siti clonati che catturano token MFA in tempo reale (adversary-in-the-middle), e persino la registrazione autonoma di 2FA sugli account compromessi per consolidare l'accesso. Questo ultimo elemento è particolarmente rilevante perché trasforma la vittima MFA in strumento di persistenza.

Sul fronte malware, Sykipot (S0018) rappresenta il paradigma del proxying di smart card contro obiettivi governativi/difesa, mentre SLOWPULSE (S1104) hooka la routine DSAuth::AceAuthServer::checkUsernamePassword nelle appliance Pulse Secure per catturare credenziali ACE-2FA — appartenente all'arsenale associato a intrusioni contro appliance edge.

Le campagne Operation Wocao (C0014, 2017-2019, sospetto overlap con APT20, target multi-settore in dieci paesi) e Leviathan Australian Intrusions (C0049, 2022, target australiani via appliance esterne) confermano una linea di condotta: dopo l'accesso iniziale via exploitation di servizi esposti, l'intercettazione MFA abilita movimenti prolungati con credenziali valide. Il trend generale spinge verso adozione di FIDO2/WebAuthn phishing-resistant come contromisura strutturale.

MITRE ATT&CK: tecnica T1111, tattica TA0006, gruppi G0094, G0114, G1004, G1044, software S0018 e S1104, campagne C0014 e C0049, mitigazione M1017, detection strategy DET0246 con analytic AN0687, AN0688, AN0689. Integrazione con MITRE D3FEND per artefatti Credential e Authentication Service. Contenuti su comandi, tool e artefatti forensi derivano da conoscenza professionale di cybersecurity verificata su documentazione ufficiale dei rispettivi progetti.