Furto di Cookie di Sessione: Steal Web Session Cookie (T1539)

La tecnica T1539 – Steal Web Session Cookie consiste nell'appropriazione di token di sessione web memorizzati dai browser o da applicazioni che si autenticano a servizi cloud. Un cookie di sessione valido rappresenta di fatto un'identità già autenticata: chi lo possiede può impersonare la vittima senza conoscere la password e, in molti scenari, aggirare l'autenticazione multi-fattore poiché il fattore MFA è già stato validato al momento dell'emissione del token.

La tecnica ricade nella tattica TA0006 (Credential Access) e nella fase di post-exploitation della kill chain, sebbene il furto possa avvenire anche in-transit tramite proxy Adversary-in-the-Middle come Evilginx2 o Muraena durante campagne di phishing. I cookie risiedono su disco (tipicamente in database SQLite del browser), nella memoria del processo browser e nel traffico di rete verso i servizi remoti.

I numeri dell'ecosistema T1539 sono significativi: 8 gruppi APT documentati, 16 famiglie malware con capacità dedicate al furto cookie, 1 campagna di rilievo strategico (SolarWinds Compromise) e 6 mitigazioni MITRE. La superficie colpita include Chrome, Firefox, Edge, Safari, Opera, Internet Explorer e browser regionali come Naver Whale, a dimostrazione di quanto la tecnica sia trasversale a piattaforme e aree geografiche. Il risultato operativo per l'attaccante è l'accesso persistente e discreto ai servizi SaaS della vittima.

In un contesto red team autorizzato, la simulazione di T1539 si sviluppa lungo due filoni: estrazione locale dei cookie da un endpoint compromesso e intercettazione in-transit tramite reverse proxy.

Sul fronte locale, i cookie di Chromium su Windows risiedono in %LOCALAPPDATA%\Google\Chrome\User Data\Default\Network\Cookies, un database SQLite in cui il valore del cookie è cifrato con DPAPI e una chiave AES memorizzata in Local State. Estrarli richiede due passaggi: leggere il file (che è lockato se Chrome è in esecuzione, quindi va copiato con shadow copy o dopo aver terminato il processo) e decifrare i blob con la chiave utente. Tool come SharpChrome del progetto SharpDPAPI (open source) o HackBrowserData (open source) automatizzano l'intera catena su Chrome, Edge, Firefox e Opera.

Su Linux i cookie Firefox stanno in ~/.mozilla/firefox/*.default-release/cookies.sqlite e possono essere letti con una semplice query SQLite (sqlite3 cookies.sqlite "SELECT host, name, value FROM moz_cookies;") quando il browser è chiuso. Su macOS, Safari conserva i cookie nel formato binario ~/Library/Cookies/Cookies.binarycookies, come sfruttato dal malware XCSSET.

Il secondo filone, decisamente più realistico per bypassare MFA su target moderni, si basa su Evilginx2 (open source), reverse proxy HTTP che rilancia le richieste al sito legittimo, cattura le credenziali in chiaro e soprattutto raccoglie i cookie di sessione emessi dopo il completamento del secondo fattore. Il framework impiega file di configurazione detti phishlet per adattarsi al target (Microsoft 365, Google Workspace, Okta, GitHub). Il flusso operativo prevede la registrazione di un dominio look-alike, l'emissione di un certificato Let's Encrypt automatica, la pubblicazione del phishlet e l'invio del lure. Al login della vittima, Evilginx2 espone i cookie catturati in formato JSON, importabili con estensioni come Cookie-Editor (gratuita) per riprodurre la sessione.

Alternative degne di nota includono Muraena (open source) con il companion NecroBrowser per l'automazione post-cattura, e modlishka (open source). In lab, questi tool vanno confinati in ambienti isolati con domini sacrificali e utenti di test, mai su asset reali. Per la fase di validazione, il team può replicare il pattern di Star Blizzard e APT42: copia del cookie in un browser controllato, navigazione al servizio target e verifica dell'accesso autenticato.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.