Dump del SAM: Security Account Manager (T1003.002)

Il database Security Account Manager (SAM) è il cuore dell'autenticazione locale di ogni sistema Windows: contiene gli hash NTLM di tutti gli account locali, dal built-in Administrator (RID 500) fino agli utenti creati manualmente (RID 1000+). La tecnica T1003.002 descrive l'estrazione di questo materiale crittografico, sia attraverso lettura in memoria sia tramite il salvataggio dei rami di registro corrispondenti.

L'operazione rientra nella tattica TA0006 — Credential Access, la fase della kill chain in cui l'avversario trasforma un accesso iniziale in credenziali riutilizzabili. Il SAM dumping è particolarmente insidioso perché sfrutta strumenti nativi del sistema operativo — il comando reg save è un binario legittimo firmato Microsoft — rendendo la distinzione tra attività amministrativa e azione offensiva una sfida non banale per i team difensivi.

I numeri restituiscono la portata della minaccia: 13 gruppi APT documentati, 15 software (tra tool offensivi e malware proprietari), 5 campagne tracciate e 4 mitigazioni raccomandate. Dal cyber-espionage statale al cybercrime finanziario, il dump del SAM è una costante trasversale. Richiede privilegi SYSTEM, ma una volta ottenuto l'accesso elevato il passaggio è rapido, silenzioso e spesso condotto con un singolo comando da riga di comando.

La simulazione del SAM dumping in laboratorio è un esercizio fondamentale per validare i controlli di detection. L'intero flusso si articola in due fasi: acquisizione degli hive di registro e successivo cracking offline degli hash.

Metodo 1 — reg save (Living off the Land)

Da un prompt con privilegi SYSTEM o Administrator elevato, i comandi sono i più semplici immaginabili:

reg save HKLM\SAM C:\temp\sam.save reg save HKLM\SYSTEM C:\temp\system.save reg save HKLM\SECURITY C:\temp\security.save

Questi tre file sono tutto ciò che serve. Il file SYSTEM contiene la chiave di boot necessaria per decifrare gli hash conservati nel SAM. Senza entrambi, gli hash restano illeggibili. È esattamente il pattern usato da APT29, FIN13, APT41, Ember Bear e nella campagna APT28 Nearest Neighbor Campaign (C0051).

Metodo 2 — Volume Shadow Copy

Un approccio alternativo, utile quando il registro è bloccato da handle esclusivi, sfrutta le shadow copy:

vssadmin create shadow /for=C:

Dall'ombra creata si copiano i file direttamente dal percorso *\Windows\System32\config*. APT41 ha documentato l'uso di questa tecnica durante la campagna C0017.

Metodo 3 — Impacket secretsdump.py (remoto)

Impacket (open source) consente il dump remoto senza toccare disco sulla vittima. Lo script secretsdump.py opera tramite il protocollo DCE/RPC:

secretsdump.py /:@<ip_target>

Questo metodo è stato impiegato da Dragonfly e da menuPass con versioni personalizzate dello script.

Metodo 4 — Mimikatz

Mimikatz (open source) offre il modulo dedicato:

mimikatz # lsadump::sam /system:system.save /sam:sam.save

Oppure, direttamente in memoria su un sistema compromesso con privilegi SYSTEM:

mimikatz # lsadump::sam

Metodo 5 — CrackMapExec

CrackMapExec (open source, ora rinominato NetExec) automatizza il dump remoto su intere subnet:

nxc smb <ip_target> -u -p --sam

Per il cracking offline degli hash estratti, hashcat (open source) con la modalità NTLM è lo standard:

hashcat -m 1000 hash_sam.txt

In un assessment reale, l'ethical hacker dovrebbe eseguire tutti i metodi in sequenza per verificare che ciascuno generi alert distinti nel SIEM del cliente. Se anche uno solo passa inosservato, il gap va documentato nel report.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo