Furto e Forgiatura di Certificati: Steal or Forge Authentication Certificates (T1649)

L'ecosistema di offensive tooling per AD CS ruota attorno a due strumenti di riferimento. Certipy (open source) è il framework Python più maturo per l'enumerazione e l'abuso da Linux, mentre Certify e Rubeus (entrambi open source) coprono lo stesso terreno da endpoint Windows. La fase iniziale consiste nell'enumerazione dei template vulnerabili:

certipy find -u user@domain.local -p Password123 -dc-ip 10.0.0.1 -vulnerable

Il comando restituisce i template affetti dalle misconfigurazioni note come ESC1-ESC15. Il caso ESC1 — template che permette all'enrollee di specificare arbitrariamente il SAN e ha EKU di Client Authentication — consente di richiedere un certificato per l'amministratore di dominio:

certipy req -u lowpriv@domain.local -p Password -ca DOMAIN-CA -template VulnTemplate -upn administrator@domain.local

Il certificato PFX ottenuto viene poi convertito in TGT tramite PKINIT, restituendo l'NT hash dell'account impersonato. La stessa operazione è replicabile con Rubeus tramite l'azione asktgt passando il PFX in Base64.

Per il furto di certificati già presenti sull'endpoint, Mimikatz (S0002, open source) espone il modulo crypto::capi e crypto::certificates /export che estrae certificati e chiavi private dallo store utente e macchina, aggirando le protezioni non-exportable tramite patching in memoria delle Crypto API. Il flag /systemstore:local_machine permette di dumpare lo store di sistema quando si opera con privilegi SYSTEM.

In scenari cloud, AADInternals (S0677, open source) rappresenta il coltellino svizzero per Entra ID. Il cmdlet PowerShell Export-AADIntPRTCertificate estrae il Primary Refresh Token certificate da un dispositivo joined, mentre New-AADIntUserPRTToken genera token PRT arbitrari se si possiede la chiave di sessione. Per la forgiatura di SAML token si usa Open-AADIntOffice365Portal con il certificato di token-signing federato.

Lo scenario più impattante resta il golden certificate: con accesso alla chiave privata della CA (estraibile da HSM mal configurato o dal file .pfx del CA server) si emettono offline certificati arbitrari senza toccare la CA di produzione. Certipy implementa questo attacco tramite il comando forge passando il PFX della CA compromessa.

In laboratorio, GOAD e il progetto Ludus (open source) forniscono ambienti AD CS pre-configurati con tutte le misconfigurazioni ESC per esercitazioni sicure.

La detection di T1649 richiede un'orchestrazione tra log Windows, telemetria di processo e monitoraggio delle CA. Il fulcro è il log Security dei Certificate Authority server, che va inoltrato al SIEM con audit policy avanzata abilitata su Object Access → Certification Services.

Gli EventID chiave sono 4886 (richiesta certificato ricevuta), 4887 (certificato emesso), 4899 (template modificato) e 4900 (security su template modificata). Correlare 4886 e 4887 con un intervallo temporale ristretto tra enrollee e subject atteso permette di intercettare abusi ESC1: se il campo Subject Alternative Name contiene uno UPN diverso dall'account richiedente, l'alert deve avere severity critica. Il tuning suggerito da AN0671 prevede soglie sugli EKU considerati sensibili (Client Authentication, Smart Card Logon, Any Purpose) e finestre temporali per correlare enrollment multipli dallo stesso principal.

Sul lato endpoint, gli EventID 5058 e 5061 (Key file operation, Cryptographic operation) del canale Security segnalano l'accesso alle chiavi private CAPI/CNG. Un pattern sospetto è l'apertura del provider Microsoft Enhanced Cryptographic Provider da parte di processi non firmati o da binari LOLBAS come rundll32.exe o powershell.exe. Sysmon (open source) con EventID 10 (ProcessAccess) verso lsass.exe con GrantedAccess 0x1010 o 0x1410 intercetta i tentativi di Mimikatz di estrarre materiale crittografico dal Local Security Authority.

Su Linux (AN0672), auditd con regole sui path /etc/ssl/private, /etc/pki e sulle syscall open/openat verso file .pem, .key, .p12 rileva accessi anomali. L'esecuzione di openssl pkcs12 -export o -in con file di sistema da utenti non-root è un indicatore forte. Su macOS (AN0673), il Unified Log con subsystem com.apple.securityd traccia accessi al Keychain: cercare invocazioni del binario security con sottocomandi export, find-certificate o find-identity da processi non tipici.

Nell'ambiente Identity Provider (AN0674), i Microsoft Entra sign-in logs e l'Unified Audit Log M365 devono essere monitorati per eventi di tipo Set federation settings on domain, Update application certificates e autenticazioni con authenticationMethod: X509Certificate provenienti da IP o geografie anomale. Un'autenticazione certificate-based verso un tenant che storicamente usa solo password/MFA è un red flag.

I falsi positivi principali derivano da rinnovi automatici (autoenrollment via GPO), backup di certificati orchestrati da soluzioni PKI enterprise e scanner di vulnerabilità che enumerano template. Whitelisting per service account noti e workstation di amministrazione riduce il rumore.

L'analisi forense post-compromissione di T1649 si sviluppa su tre livelli: CA server, endpoint della vittima e Domain Controller. Sul CA server il database %SystemRoot%\System32\CertLog<CAName>.edb conserva la storia completa delle emissioni. L'estrazione avviene con:

certutil.exe -view -restrict "NotBefore>=01/01/2024" -out "RequestId,RequesterName,CertificateTemplate,SubjectAltNamesExtension"

Correlare RequesterName (l'account che ha richiesto) con SubjectAltNamesExtension (l'identità nel certificato) evidenzia disallineamenti sospetti tipici di ESC1. Il log Application → Microsoft-Windows-CertificationAuthority fornisce timestamp precisi delle emissioni.

Sull'endpoint compromesso i certificati risiedono in due gerarchie del registro: HKLM\SOFTWARE\Microsoft\SystemCertificates per lo store macchina e HKCU\Software\Microsoft\SystemCertificates per quello utente, con le chiavi private in %APPDATA%\Microsoft\Crypto\RSA e \Keys (per CNG). Timestamp MAC di questi file, insieme all'evento 4663 con ObjectName corrispondente, ricostruiscono chi ha acceduto al materiale crittografico. Il Prefetch (C:\Windows\Prefetch) evidenzia esecuzioni di certutil.exe, certreq.exe, mimikatz.exe o binari rinominati; l'analisi con PECmd (open source) di Eric Zimmerman restituisce timestamp di first/last run e file caricati.

Amcache.hve e ShimCache confermano l'esecuzione anche dopo eliminazione del binario. Le PowerShell ScriptBlock logs (Microsoft-Windows-PowerShell/Operational, EventID 4104) intercettano l'uso di cmdlet come Get-ChildItem Cert:*, Export-PfxCertificate o moduli come PSPKI utilizzati per l'enumerazione. Anche i moduli offensivi di AADInternals lasciano tracce ScriptBlock inconfondibili con firme dei cmdlet Get-AADInt e Export-AADInt*.

Sul Domain Controller, l'evento 4768 (Kerberos TGT request) con PreAuthType 16 indica autenticazione PKINIT basata su certificato: un TGT emesso per un account privilegiato via PKINIT da un endpoint non tipico è un pivot investigativo cruciale. Correlare con l'evento 4624 LogonType 3 successivo permette di mappare il lateral movement.

Su Linux la timeline si costruisce da auditd e dagli inode dei file .pem/.key sotto /etc/ssl e /etc/pki, integrando l'output di The Sleuth Kit (open source) per recuperare file cancellati. Su macOS, il database login.keychain-db in ~/Library/Keychains può essere analizzato con chainbreaker (open source) per estrarre metadata degli elementi acceduti; il FSEvents log in /.fseventsd fornisce timeline degli accessi a livello filesystem.

La validity window dei certificati forgiati (spesso pluriennale) richiede di verificare CRL e liste di revoca emesse durante l'incident response per invalidare tutti i certificati compromessi.

Il panorama degli attori che abusano di T1649 è dominato da gruppi ad alta maturità con obiettivi di intelligence a lungo termine, coerenti con la natura persistente e stealth dell'abuso di certificati.

APT29 (G0016), attribuito al servizio di intelligence estera russo SVR e noto anche come Cozy Bear o Midnight Blizzard, rappresenta l'esempio documentato più significativo. Il gruppo ha sfruttato template AD CS mal configurati per impersonare utenti amministrativi ed emettere certificati di autenticazione aggiuntivi, stabilendo una persistenza che sopravvive ai reset password. Questo pattern è coerente con il modus operandi di APT29 di privilegiare tecniche living-off-the-land e abusi di trust relationship native, evitando malware custom facilmente attribuibile. L'abuso di AD CS integra perfettamente le operazioni di lungo respiro tipiche del gruppo, focalizzate su target governativi, diplomatici e think tank in area NATO.

Dal punto di vista del tooling, l'ecosistema condiviso tra attori state-sponsored e commodity gravita attorno a due strumenti chiave. Mimikatz (S0002) resta la baseline universale per l'estrazione di materiale crittografico da endpoint Windows: il modulo crypto è documentato come parte dell'arsenale di praticamente ogni APT russo, cinese e nordcoreano, oltre che di gruppi ransomware come Conti e LockBit affiliates. La sua diffusione rende difficile l'attribuzione basata sul solo tool.

AADInternals (S0677) segna invece uno spostamento dell'interesse degli attori verso il cloud. Sviluppato originariamente come framework di ricerca da Nestori Syynimaa, è stato weaponizzato in diverse campagne contro tenant Microsoft 365. La sua capacità di esportare certificati associati a dispositivi Azure AD joined/registered e di forgiare token SAML lo rende centrale nelle operazioni di Golden SAML, tecnica che ha guadagnato visibilità dopo l'attacco a SolarWinds del 2020, dove APT29 stesso ne fece uso.

A livello di trend, l'abuso di certificati sta convergendo con la crescente adozione di passwordless authentication e FIDO2. Paradossalmente, l'eliminazione delle password nelle enterprise moderne aumenta il valore dei certificati come unico factor di autenticazione, elevando la superficie di attacco PKI. La ricerca di SpecterOps sui pattern ESC1-ESC15 (2021-2024) ha democratizzato l'exploitation di AD CS, portando in due anni queste tecniche dai red team di élite alle playbook di ransomware affiliates.

Gli attori cinesi mostrano interesse crescente verso i golden certificate in scenari di supply chain compromise, dove la compromissione di una CA subordinata di un MSP consente accesso persistente a decine di tenant clienti. La geografia degli incidenti riflette la distribuzione tipica delle operazioni state-sponsored: infrastrutture critiche in Europa occidentale, Nord America, Giappone e Australia.

MITRE ATT&CK T1649 (Steal or Forge Authentication Certificates), tattica TA0006. Gruppo G0016 (APT29). Software S0002 (Mimikatz), S0677 (AADInternals). Mitigazioni M1015, M1041, M1042, M1047. Detection Strategy DET0240 con analytics AN0671-AN0674. MITRE D3FEND per mappature difensive su Certificate Analysis e Credential Hardening. Contenuti operativi (comandi Certipy, Rubeus, certutil, riferimenti ESC1-ESC15) integrati con conoscenza professionale di cybersecurity verificata su documentazione ufficiale dei tool citati.