Scoperta Condivisioni di Rete: Network Share Discovery (T1135)
La ricerca di cartelle condivise rappresenta una tecnica fondamentale nell'arsenale di ogni attaccante che voglia mappare l'infrastruttura target. Questa attività permette di identificare repository di documenti sensibili e sistemi critici per movimenti laterali successivi.
La tecnica si posiziona strategicamente nella tattica TA0007 (Discovery), manifestandosi tipicamente nella fase di post-compromissione quando l'attaccante ha già stabilito un foothold iniziale. 16 gruppi APT hanno documentato l'utilizzo di questa tecnica, supportata da 57 famiglie di malware e osservata in 4 campagne di cyber spionaggio su larga scala.
L'impatto è significativo: dalle violazioni di APT1 che elencavano metodicamente tutte le condivisioni di rete, fino alle operazioni ransomware moderne come LockBit 3.0 che automatizzano la scoperta per massimizzare la cifratura dei dati aziendali.
Il protocollo SMB rimane il vettore principale per questa tecnica su Windows. L'approccio classico utilizza i comandi nativi del sistema operativo, esattamente come fanno i threat actor reali.
Su Windows, il comando net view \\target-host enumera le condivisioni remote disponibili. Per un assessment completo, combinalo con net view /domain per identificare tutti i controller di dominio. Il comando net share invece mostra le condivisioni locali, utile per capire cosa espone il sistema compromesso.
PowerShell offre capacità più avanzate. Il cmdlet Get-SmbShare fornisce dettagli granulari sulle condivisioni locali, mentre (Get-WmiObject Win32_Share -ComputerName target).Name permette l'enumerazione remota via WMI. Per automatizzare la scoperta su multipli host:
1..254 | ForEach-Object {Get-WmiObject Win32_Share -ComputerName "192.168.1.$" -ErrorAction SilentlyContinue}_
Gli strumenti specializzati amplificano le capacità. CrackMapExec eccelle nell'enumerazione massiva: crackmapexec smb 192.168.1.0/24 --shares. Per Linux, smbclient -L //target-host -N elenca le condivisioni senza autenticazione, mentre enum4linux -S target-host fornisce un'enumerazione completa.
Su macOS, il comando nativo sharing -l mostra tutti i punti di condivisione SMB locali. Per l'enumerazione remota: smbutil view //guest@target-host.
La simulazione in laboratorio dovrebbe replicare il comportamento di Wizard Spider, che combina net view con successive operazioni di file listing. Crea uno script che enumera, filtra le condivisioni amministrative (C$, ADMIN$) e tenta l'accesso per identificare dati sensibili.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo