Cracking di Password: Password Cracking (T1110.002)
Il Password Cracking rappresenta la fase offline del più ampio spettro Brute Force catalogato in MITRE ATT&CK come T1110.002, inserita nella tattica TA0006 (Credential Access). L'attaccante, dopo aver ottenuto materiale credenziale in forma di hash tramite tecniche come OS Credential Dumping o accesso a repository di configurazione di apparati di rete, trasferisce il bottino su infrastruttura controllata e vi applica algoritmi di guessing sistematico o tabelle precomputate (rainbow table) per risalire alla password in chiaro.
La scelta di operare fuori dal perimetro della vittima è strategica: azzera il rischio di generare rumore rilevabile da SIEM ed EDR, consente di sfruttare cluster GPU dedicati e permette di riprovare indefinitamente senza incappare in policy di account lockout. Quando Pass-the-Hash non è praticabile — ad esempio verso servizi cloud, portali web, o dispositivi di rete che accettano solo password in chiaro — il cracking diventa l'unica via per monetizzare l'hash rubato.
L'impatto è significativo: la password ricostruita permette autenticazione legittima, movimento laterale silenzioso e spesso persistenza duratura, specialmente quando l'utente riutilizza le stesse credenziali su più sistemi. Nei dati MITRE risultano 4 gruppi APT documentati, 1 famiglia malware dedicata, 1 campagna significativa (Night Dragon) e 2 mitigazioni primarie (password policy robuste e MFA).
L'operatore red team tratta il cracking come attività post-exploitation offline, da eseguire su workstation dedicata con GPU adeguata. Il workflow tipico parte dall'estrazione degli hash e prosegue con selezione dell'algoritmo, wordlist e regole di mutazione.
Su Windows, dopo aver ottenuto accesso a un Domain Controller, l'estrazione avviene tipicamente con secretsdump.py di Impacket (open source):
impacket-secretsdump -just-dc-ntlm DOMAIN/user:password@dc.target.local
L'output contiene hash NTLM nel formato user:RID:LM:NT::: pronto per essere consumato da Hashcat (open source). Per NTLM il modulo è -m 1000:
hashcat -m 1000 -a 0 ntlm_hashes.txt rockyou.txt -r rules/best64.rule
Per Kerberoasting il flusso cambia: GetUserSPNs.py di Impacket estrae ticket TGS in formato crackabile con -m 13100. AS-REP roasting usa -m 18200. Su hash di apparati di rete Cisco IOS il modulo dipende dal tipo (-m 500 per type 5, -m 9200 per type 8, -m 9300 per type 9).
Su Linux il target primario è /etc/shadow, ottenibile con privilegi root. Il tool storico è John the Ripper (open source), disponibile nella versione community e nella build ottimizzata John the Ripper Jumbo:
unshadow /etc/passwd /etc/shadow > combined.txt john --wordlist=/usr/share/wordlists/rockyou.txt --rules=Jumbo combined.txt
Per hash SHA-512 crypt il modulo Hashcat è -m 1800, per bcrypt -m 3200 (quest'ultimo estremamente lento anche su GPU top).
Su macOS gli hash utente risiedono nei file plist sotto /var/db/dslocal/nodes/Default/users/; l'estrazione richiede parser dedicati come le utility di chpasswd di terze parti prima di dare in pasto gli hash SHA-512 salted a Hashcat.
Strumenti complementari citati nei dati MITRE includono Hydra (open source) per brute force online contro servizi di rete, CrackMapExec (open source, ora evoluto in NetExec) per spraying e validazione credenziali su reti Windows, e storicamente Cain & Abel (dismesso, non più mantenuto). Per wordlist mirate, CeWL (open source) genera dizionari a partire dai siti web target, mentre Hashcat rules come OneRuleToRuleThemAll massimizzano le mutazioni. In lab si consiglia sempre snapshot delle VM e isolamento della rete cracking dal resto del laboratorio.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.