Furto da Password Manager: Password Managers (T1555.005)

In un red team engagement, la ricerca di password manager sull'endpoint è una tappa quasi obbligata dopo aver ottenuto esecuzione codice. Su Windows la prima ricognizione punta a individuare la presenza di KeePass, 1Password, Bitwarden desktop e LastPass, cercando sia i binari sia i file del database utente.

Un semplice enum via PowerShell su percorsi tipici funziona bene per la fase discovery:

Get-ChildItem -Path C:\Users\ -Recurse -Include .kdbx,.kdb,.opvault -ErrorAction SilentlyContinue*

Per KeePass, lo script pubblico Find-KeePassConfig.ps1 (open source, parte del modulo PoshKeePass su GitHub) è utilizzato dal gruppo Storm-0501 e permette di localizzare configurazioni e trigger di esportazione. Un vettore documentato consiste nell'iniettare un trigger malevolo nel file KeePass.config.xml che esporta il database in chiaro al successivo sblocco dell'utente, senza bisogno della master password.

Sul fronte estrazione offline, il tool KeeThief (open source) di HarmJ0y consente di estrarre la master key dalla memoria del processo KeePass quando il vault è sbloccato. La catena tipica è:

Import-Module .\KeeThief.ps1; Get-KeePassDatabaseKey -KeePassProcess KeePass

Per il cracking offline dei .kdbx, hashcat (open source) con modalità -m 13400 processa gli hash estratti tramite lo script keepass2john.py incluso in John the Ripper (open source). Se il target usa 1Password, il malware Proton dei dati MITRE raccoglie i file 1password dalla home utente; in laboratorio equivalente è enumerare ~/Library/Application Support/1Password/ su macOS.

Su Linux i vault comuni sono KeePassXC (~/.local/share/keepassxc/), il tool pass (~/.password-store/) e gnome-keyring. L'attacco memory-scraping via gcore o gdb sul processo permette il dump di regioni memoria per ricerca pattern di credenziali decifrate.

In ambienti enterprise che centralizzano segreti su HashiCorp Vault (open source, con enterprise a pagamento), il gruppo Scattered Spider ha dimostrato la ricerca di token e credenziali PAM. Sul lab, dopo aver ottenuto un token utente, la CLI vault kv list secret/ enumera i path accessibili e vault kv get secret/path estrae i valori. La regola d'oro rimane operare con account di test dedicati e mai su vault di produzione condivisi.

Il rilevamento di questa tecnica ruota attorno a un principio semplice: chi accede legittimamente al password manager è quasi sempre l'utente proprietario dal suo processo desktop atteso. Ogni deviazione da questo pattern merita indagine.

Su Windows la baseline detection combina Sysmon Event ID 1 (process creation), Event ID 10 (ProcessAccess) e Event ID 11 (FileCreate) sui percorsi dei database vault. La detection AN1641 raccomanda di correlare la creazione di processi con chiamate API verso i binari di KeePass, 1Password, Bitwarden e LastPass, e con letture di file .kdbx, .opvault, .ldb. Un alert ad alta confidenza scatta quando un processo diverso da quello ufficiale del password manager apre in lettura un file vault, oppure quando PowerShell, cmd.exe o wmic accedono a KeePass.exe con maschere PROCESS_VM_READ (0x0010) o PROCESS_QUERY_INFORMATION.

Un caso specifico riguarda Find-KeePassConfig.ps1: monitorare la creazione di processi PowerShell con questo nome nella command line, o modifiche al file KeePass.config.xml con aggiunta di elementi <Trigger> che chiamano azioni di export. Il logging PowerShell Event ID 4104 (Script Block Logging) è indispensabile per catturare le varianti offuscate.

Su Linux la telemetria si basa su auditd con regole SYSCALL mirate ai path dei vault. Una regola tipo:

auditctl -w /home//.local/share/keepassxc/ -p rwa -k vault_access*

intercetta letture non autorizzate. La detection AN1642 evidenzia in particolare l'uso di gdb o strace in attach a processi password manager: questi tool raramente sono usati da utenti normali contro applicazioni desktop, e il loro utilizzo su keepassxc o gnome-keyring-daemon è un segnale forte di memory scraping.

Su macOS la detection AN1643 sfrutta unified log e osquery (open source) per monitorare accessi ai file .opvault, .kdbx e .ldb fuori dai processi parent attesi. Una query osquery utile filtra le process_open_files incrociando estensione file e nome processo padre.

I falsi positivi principali derivano da backup software (Time Machine, Veeam), tool di sincronizzazione cloud (Dropbox, OneDrive) e strumenti di ricerca desktop che indicizzano i file. La whitelist per parent process attesi va aggiornata inventariando quali password manager sono effettivamente approvati in azienda. Per HashiCorp Vault, l'audit log nativo va inoltrato al SIEM e correlato con accessi anomali per orario, geolocalizzazione IP e volume di segreti letti nella stessa sessione.

L'analisi forense di un sospetto furto da password manager parte dalla triade file-processo-memoria e richiede acquisizioni tempestive, perché la master key in chiaro esiste in RAM solo durante la sessione sbloccata.

Su Windows, gli artefatti chiave sono i file database nei percorsi utente (%USERPROFILE%\Documents\, %APPDATA%\KeePass\, %LOCALAPPDATA%\1Password\) e il file KeePass.config.xml. Quest'ultimo va sempre confrontato con una baseline nota: la presenza di elementi <Trigger> con azioni di export verso path non standard è indicativa dell'attacco descritto nei dati di Storm-0501. Il timeline analysis con Plaso/log2timeline (open source) permette di correlare la creazione del trigger con la successiva esecuzione di script PowerShell.

Le Prefetch (C:\Windows\Prefetch\) rivelano l'esecuzione di tool come KeeThief, KeePass.exe in orari anomali o utility come procdump.exe contro processi vault. L'analisi degli UserAssist e ShimCache completa la ricostruzione dell'esecuzione binaria. In parallelo, i log Sysmon archiviati in Microsoft-Windows-Sysmon/Operational consentono di ricostruire quale processo ha aperto il vault e con quale command line.

Quando è disponibile un memory dump acquisito con WinPmem o Magnet RAM Capture (entrambi gratuiti), Volatility 3 (open source) offre plugin come windows.pslist, windows.handles e windows.memmap per estrarre le regioni di memoria del processo KeePass. Un plugin community-driven, keepass, cerca pattern della master key in memoria; in alternativa, un dump del processo con procdump -ma KeePass.exe seguito da carving con bulk_extractor (open source) può recuperare credenziali in chiaro.

Su Linux i log auditd in /var/log/audit/audit.log registrano gli accessi ai vault se le regole sono attive prima dell'incidente. La cronologia della shell (~/.bash_history, ~/.zsh_history) può mostrare l'uso di gdb, gcore o cat contro file .kdbx. Le journal entries di systemd (journalctl _COMM=keepassxc) documentano le sessioni dell'applicazione.

Su macOS, l'Unified Log interrogato con log show --predicate 'process == "1Password"' --last 7d ricostruisce le sessioni. Gli artefatti FSEvents in /.fseventsd/ mostrano accessi ai file .opvault.

Nella campagna Operation Wocao (C0014), gli attori cinesi hanno estratto credenziali da password manager delle vittime dopo compromissione iniziale via webshell; l'analisi forense in quei casi ha correlato timestamp di accesso ai vault con sessioni di webshell attive, un pattern replicabile su qualsiasi incident. La chain of custody sui file vault esfiltrati richiede hashing SHA-256 immediato e confronto con eventuali copie backup per stabilire l'integrità.

Il quadro degli attori che sfruttano T1555.005 mostra una convergenza interessante tra APT state-sponsored, gruppi finanziariamente motivati e collettivi ibridi, con KeePass come denominatore comune quasi universale.

Threat Group-3390 (G0027), noto anche come APT27 o Emissary Panda e attribuito alla Cina, ha ottenuto database KeePass da host compromessi in operazioni di cyber-espionage contro settori difesa, aerospazio e tecnologia. La stessa area di interesse geopolitico emerge in Operation Wocao (C0014), campagna condotta tra dicembre 2017 e dicembre 2019 da attori sospetti cinesi contro organizzazioni governative e MSP in dieci paesi tra Europa, Americhe e Asia. I ricercatori hanno rilevato overlap TTP con APT20, suggerendo affiliazioni o strumentazione condivisa.

Fox Kitten (G0117), gruppo iraniano attivo contro settori infrastruttura critica e telecomunicazioni, utilizza script custom per estrarre informazioni dai database KeePass, indicando un livello di automazione che velocizza la fase di credential harvesting durante intrusioni prolungate. UNC3886 (G1048) ha analogamente colpito file di password database KeePass, in operazioni che nei report pubblici sono state associate a targeting di infrastruttura di rete e virtualizzazione.

Sul versante criminale, Indrik Spider (G0119), gruppo dietro Dridex e BitPaymer/WastedLocker, esporta password dai password manager come parte del playbook pre-ransomware: le credenziali servono per il lateral movement e per compromettere backup e piattaforme di virtualizzazione prima del detonation. LAPSUS$ (G1004), collettivo estorsivo salito alla ribalta con le intrusioni contro grandi tech company, ha fatto della ricerca di password manager locali una fase strutturata delle proprie intrusioni, spesso combinata con social engineering aggressivo per l'accesso iniziale.

Scattered Spider (G1015) rappresenta l'evoluzione più preoccupante: il gruppo cerca attivamente credenziali in vault aziendali e soluzioni PAM come HashiCorp Vault, spostando l'attacco dal singolo endpoint all'infrastruttura di gestione segreti dell'intera organizzazione. Storm-0501 (G1053), tracciato da Microsoft come attore ransomware ibrido on-premise/cloud, sfrutta specificamente lo script Find-KeePassConfig.ps1 per l'estrazione.

Sul piano malware, TrickBot (S0266) integra il furto da KeePass nei moduli di credential stealing; Proton (S0279) targetizza 1Password su macOS; MarkiRAT (S0652), attribuito a gruppi iraniani, raccoglie da KeePass; InvisibleFerret (S1245), associato ad attori nord-coreani in campagne di contagious interview contro sviluppatori, esfiltra dati da estensioni browser e password manager via Telegram e FTP. Il trend consolidato è la commoditizzazione del furto vault: sia APT statali sia criminali comuni lo considerano ormai una fase standard.

MITRE ATT&CK T1555.005 Password Managers (tattica TA0006). Gruppi G0027, G0117, G0119, G1004, G1015, G1048, G1053. Software S0266, S0279, S0652, S1245. Campagna C0014 Operation Wocao. Mitigazioni M1017, M1018, M1027, M1051, M1054. Detection analytics AN1641, AN1642, AN1643. MITRE D3FEND per artefatti Process, File e API monitoring. Il documento integra conoscenza professionale su tool di detection e analisi forense (Sysmon, auditd, Volatility, osquery, hashcat, KeeThief) verificati come pubblicamente disponibili.