Relazioni di Fiducia Compromesse: Trusted Relationship (T1199)

In un esercizio red team che simula T1199, il punto di partenza è mappare la catena di fornitura del bersaglio: quali MSP gestiscono l'infrastruttura, quali partner Microsoft hanno delega amministrativa sul tenant, quali fornitori HVAC o di sicurezza fisica hanno VPN site-to-site. La ricognizione OSINT su LinkedIn, offerte di lavoro, case study pubblicati dai fornitori e certificati TLS emessi ai vendor fornisce indicatori solidi. Strumenti come Amass (open source) e theHarvester (open source) aiutano a correlare domini e sottodomini di terze parti.

Sul fronte Azure/M365, per enumerare relazioni di delega partner (DAP/GDAP) durante un assessment autorizzato, il modulo Microsoft.Graph PowerShell (open source) permette query mirate. Un comando tipico dopo autenticazione come partner è:

Get-MgContract | Select-Object DisplayName, CustomerId, DefaultDomainName

che elenca i tenant cliente accessibili tramite la relazione partner. Per enumerare ruoli assegnati:

Get-MgDirectoryRole | ForEach-Object { Get-MgDirectoryRoleMember -DirectoryRoleId $_.Id }

In scenari on-premise, dopo la compromissione di un jump host di un MSP con CrackMapExec (open source) o NetExec (open source, fork attivo di CME), il pivot verso le reti cliente segue le VPN già stabilite:

nxc smb -u vendor_admin -H --shares

Per AWS, l'abuso di ruoli cross-account tramite sts:AssumeRole è documentabile con Pacu (open source) e aws-cli (open source):

aws sts assume-role --role-arn arn:aws:iam:::role/VendorAccess --role-session-name pivot

La catena tipica in laboratorio prevede tre fasi. Prima, ottenere foothold sul fornitore attraverso spearphishing simulato o credential stuffing su portali VPN esposti — Evilginx2 (open source) è utile per simulare AiTM contro flussi MFA deboli. Seconda fase, enumerare le connessioni fiduciarie disponibili: relazioni DAP/GDAP in M365, chiavi API salvate su bastion, VPN configurate in ipsec.conf o ovpn profiles. Terza fase, il pivot con credenziali legittime del fornitore, che tipicamente non attiva alert perché proviene da IP whitelistati.

Per simulare la fase C0024-like, Stormspotter (open source, Microsoft) e ROADtools (open source) permettono di mappare relazioni tra tenant Azure AD e identificare percorsi di escalation attraverso principal service e application permissions concesse a terze parti.

La detection di T1199 ruota attorno a una catena comportamentale a tre stadi: autenticazione da contesto terzo, elevazione o accesso a risorse sensibili, movimento laterale o azioni privilegiate downstream. Il rilevamento efficace richiede l'arricchimento degli eventi di logon con contesto di terze parti, materializzato tipicamente come lookup tables SIEM.

Su Windows (rilevatore AN1344), le fonti primarie sono WinEventLog:Security e WinEventLog:Sysmon. Gli eventi chiave sono EventCode 4624 (logon riuscito, focus su Logon Type 3 e 10 da IP appartenenti a range MSP/contractor), EventCode 4672 (assegnazione privilegi speciali) e EventCode 4688 (process creation con parent riconducibile a sessioni remote). La correlazione da costruire lega un logon da CIDR terza parte a un 4672 entro 30-120 minuti seguito da accesso a HighValueResources (share sensibili, oggetti AD critici, controller di dominio). Le tuning list essenziali sono ThirdPartyCIDRs, ExpectedAdminHosts e HighValueResources.

Su Linux (AN1345), auditd e syslog catturano login sshd federati o da reti vendor, seguiti da rapida escalation sudo/su e SSH est-ovest. La regola comportamentale flagga account nella lista ThirdPartyUsers che si autenticano al di fuori dei AllowedJumpHosts o senza il flag MFAExpected presente in PAM.

Sul piano identity (AN1347), azure:signinlogs e azure:audit sono critici per intercettare sessioni di delega amministrativa. Gli eventi da monitorare includono creazione di relazioni DAP/GDAP, consent grant applicativi con scope elevati, e sign-in da tenant partner non presenti in TrustedPartnerTenantIDs. L'evento Add delegated permission grant correlato entro breve tempo a Add member to role con ruoli oltre RoleScopeAllowList (es. Global Admin invece di Helpdesk Admin) è un indicatore forte.

Per IaaS (AN1348), AWS:CloudTrail segnala AssumeRole da principal esterni non in ExternalAccountAllowList, seguiti in rapida successione da chiamate API sensibili come iam:CreateUser, iam:AttachUserPolicy o s3:GetObject su bucket critici. La detection di impossible travel tra azioni partner e azioni tenant richiede GeoVelocityThreshold tarati sul contesto operativo.

Su SaaS (AN1349), le installazioni OAuth marketplace con scope elevati e successive azioni anomale — export massivi o modifiche admin — costituiscono la catena principale. Il catalogo ApprovedApps e le baseline ExportVolumeThreshold riducono i falsi positivi.

I falsi positivi principali derivano da attività manutentive schedulate dei vendor. La mitigazione richiede runbook che integrino calendari di change management del fornitore, riducendo il rumore senza cecare i canali legittimi.

L'analisi forense di un incidente T1199 richiede la ricostruzione della catena di fiducia abusata partendo da artefatti sia lato vittima che lato fornitore compromesso, quando quest'ultimo è accessibile all'analista.

Lato Windows vittima, il Security.evtx è la fonte primaria: gli eventi 4624 con Logon Type 10 (RemoteInteractive) o Type 3 (Network) provenienti da indirizzi IP del fornitore vanno estratti con EvtxECmd (open source, Eric Zimmerman) e correlati temporalmente a 4672 e 4688. Il WorkstationName e il SourceNetworkAddress nell'evento 4624 sono critici per attribuire la sessione al bastion o al laptop del vendor. Il registro NTUSER.DAT del profilo utente compromesso rivela in SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\RunMRU e nelle chiavi TypedPaths i pattern di esplorazione anomali. Le ShellBags e la UserAssist completano la timeline dell'attività interattiva.

Su Linux, /var/log/auth.log o /var/log/secure documentano le sessioni sshd, con particolare attenzione a chiavi pubbliche utilizzate (fingerprint in log recenti) e ai timestamp di pam_unix per elevazioni sudo. Il file ~/.bash_history del vendor account, se non ripulito, contiene la sequenza di comandi. Gli output di aureport -au e ausearch -k su regole auditd preconfigurate ricostruiscono syscall di interesse.

Per ambienti M365, l'Unified Audit Log (accessibile via Search-UnifiedAuditLog in Exchange Online PowerShell) è la fonte di verità. Le operazioni chiave da estrarre sono Add-MailboxPermission, Add member to role, Consent to application, e le operazioni partner DAPEnabled o GDAPRelationshipCreated. Ogni entry contiene ClientIP, UserAgent e ObjectId che permettono attribuzione al tenant partner sorgente.

Su AWS, CloudTrail archivia gli eventi AssumeRole, ConsoleLogin e le successive chiamate API. La cross-reference tra il campo sourceIPAddress, userIdentity.sessionContext.sessionIssuer e requestParameters permette di distinguere sessioni legittime del vendor da uso malevolo delle stesse credenziali.

La campagna C0024 (SolarWinds Compromise) ha stabilito un caso di studio forense fondamentale: APT29 ha ottenuto accesso attraverso cloud solution provider compromessi e ha utilizzato certificati Mimecast rubati per autenticarsi ai sistemi clienti. Gli artefatti pivotali furono i log SAML e Azure AD sign-in che mostravano token forgiati con claim anomali (Golden SAML) e l'assenza di corrispondenti eventi di autenticazione interattiva sull'IdP.

La costruzione della timeline deve integrare fusi orari coerenti (UTC), correlare eventi lato fornitore quando disponibili, e documentare la finestra di dwell time tra prima compromissione del vendor e prima attività sul cliente — metrica cruciale per la notifica breach.

L'abuso di relazioni fiduciarie rappresenta un moltiplicatore d'impatto strategico: un singolo compromise scala verso decine o migliaia di vittime. I dati MITRE mappano 11 gruppi APT su questa tecnica, con profili operativi diversificati che rivelano pattern geopolitici distinti.

APT29 (attribuito al servizio d'intelligence estero russo SVR) è l'esemplare più raffinato. Nella campagna C0024 (SolarWinds Compromise), tra agosto 2019 e gennaio 2021, ha compromesso IT provider, cloud service provider e managed service provider per accedere ampiamente a clienti downstream. L'operazione ha impattato circa 18.000 clienti del prodotto Orion, con follow-on selettivo su un numero molto inferiore di target governativi, tecnologici e telco in Nord America, Europa, Asia e Medio Oriente. Le tecniche complementari includevano password spraying, token theft, API abuse e uso di certificati Mimecast compromessi.

APT28 ha dimostrato un uso tattico più mirato: dopo aver ottenuto accesso alla rete DCCC, ha sfruttato quella posizione fiduciaria per compromettere il DNC — un esempio di trust relationship intra-organizzativa piuttosto che via MSP.

menuPass (attribuito a operatori cinesi) ha sistematicamente abusato dell'accesso legittimo concesso ai Managed Service Provider per raggiungere vittime di interesse, in quella che l'industria ha etichettato come Operation Cloud Hopper. Simile approccio è documentato per Threat Group-3390, che ha compromesso service provider terzi per accedere agli ambienti delle vittime finali.

HAFNIUM ha innovato spostando il vettore sulle chiavi API e credenziali associate a soluzioni di privileged access management, cloud app provider e piattaforme di cloud data management, per raggiungere clienti downstream — evoluzione verso l'abuso di identity federation piuttosto che di connessioni di rete.

GOLD SOUTHFIELD ha utilizzato il vettore MSP per distribuire ransomware ai clienti downstream, dimostrando l'estensione della tecnica al cybercrime finanziariamente motivato. LAPSUS$ ha attaccato identity provider internet-facing come Azure AD e Okta per targettizzare organizzazioni specifiche, evidenziando come l'ecosistema IdP sia diventato un moltiplicatore d'attacco.

Sandworm Team ha sfruttato connessioni di rete dedicate tra organizzazioni vittime e ha compromesso ISP e operatori mobile per accessi in cascata. Sea Turtle ha preso di mira DNS registrar, telco e ISP come proxy verso i target primari, con particolare focus su manipolazione DNS.

POLONIUM ha utilizzato credenziali compromesse di una società IT per raggiungere clienti downstream inclusi studi legali e aziende del settore aviazione. RedCurl ha ottenuto accesso a un contractor per pivotare verso l'infrastruttura della vittima finale.

Il pattern strategico convergente è chiaro: attori state-sponsored e criminali riconoscono che il perimetro difensivo tradizionale ignora i canali fiduciari, e questi rimangono il vettore con il rapporto costo/impatto più favorevole per operazioni su larga scala.

MITRE ATT&CK: tecnica T1199 (Trusted Relationship), tattica TA0001. Campagna citata: C0024 (SolarWinds Compromise). Rilevatori DET0488 (AN1344-AN1350). Mitigazioni M1018, M1030, M1032. MITRE D3FEND per mappatura difensiva. Per comandi operativi e nomi di tool (Amass, theHarvester, Microsoft Graph PowerShell, NetExec, Pacu, Evilginx2, Stormspotter, ROADtools, EvtxECmd) è stata utilizzata conoscenza professionale di cybersecurity verificabile presso i rispettivi repository ufficiali.