Credenziali Esposte: Unsecured Credentials (T1552)

Durante un ingaggio di red team la ricerca di credenziali insicure inizia subito dopo aver ottenuto una shell non privilegiata. Su Windows il primo passo è quasi sempre l'enumerazione del registro con comandi come reg query HKLM /f password /t REG_SZ /s e reg query HKCU /f password /t REG_SZ /s, che scandagliano rispettivamente hive di macchina e utente alla ricerca di stringhe contenenti la parola "password". Complementare è la ricerca dei file Unattend.xml, sysprep.inf e GPP cPassword nella cartella SYSVOL, storicamente vulnerabili prima dell'applicazione della patch KB2962486.

Per l'enumerazione automatizzata WinPEAS e Seatbelt (entrambi open source, repository GitHub di carlospolop e GhostPack) coprono in un colpo solo credenziali nel registro, file di configurazione di IIS, PuTTY, WinSCP, FileZilla, credential manager e sessioni RDP salvate. La cronologia di PowerShell in %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt è un tesoro spesso dimenticato.

Su Linux la routine parte da cat ~/.bash_history, cat ~/.zsh_history e grep -rEi "password|passwd|secret|api[_-]?key" /etc /home /var/www 2>/dev/null. Le chiavi SSH private in ~/.ssh/id_rsa, i file .netrc, .pgpass e i profili AWS in ~/.aws/credentials sono target primari. LinPEAS (open source) automatizza l'intera catena e classifica i ritrovamenti per criticità.

Su macOS il keychain utente si interroga con security find-generic-password -a -w e security dump-keychain ~/Library/Keychains/login.keychain-db, mentre la cronologia della shell risiede negli stessi file di Linux.

In ambiente cloud lo strumento di riferimento è Pacu (S1091, open source), framework di post-exploitation AWS che include moduli per estrarre credenziali da variabili d'ambiente CodeBuild, user-data EC2 e template CloudFormation. Sulle piattaforme di CI/CD vale la pena ispezionare log Jenkins, pipeline GitLab e secret esposti come variabili non mascherate.

Su hypervisor ESXi il file /etc/vmware/hostd/authorization.xml e i vpxuser hash su vCenter meritano attenzione. Sui network appliance — target di predilezione di Volt Typhoon — la ricerca si concentra su configurazioni salvate con password in chiaro o hash reversibili di tipo 7 Cisco, decodificabili con ciscot7 (open source). L'obiettivo finale rimane costante: trasformare un accesso limitato in credenziali riutilizzabili per privilege escalation e lateral movement.

La detection di T1552 richiede una combinazione di monitoraggio degli accessi a file sensibili, telemetria di processo e analisi comportamentale sugli account. La consultazione della matrice D3FEND per questa tecnica evidenzia come artefatti chiave i File, i Process e le Credential, con contromisure di tipo File Access Pattern Analysis e Credential Compromise Scope Analysis.

Su endpoint Windows la fonte primaria è Sysmon (open source Microsoft) con configurazione derivata dal template di SwiftOnSecurity. L'Event ID 1 (Process Create) intercetta lanci di reg.exe, findstr.exe, cmd.exe con pattern di ricerca sospetti come /s password o /f cPassword. L'Event ID 11 (FileCreate) e l'Event ID 13 (Registry Set) permettono di correlare accessi in lettura verso chiavi sensibili quali HKLM\SYSTEM\CurrentControlSet\Services\SNMP o HKCU\Software\SimonTatham\PuTTY\Sessions. Il Security EventLog 4663 (Object Access) su file come ConsoleHost_history.txt, Unattend.xml o SYSVOL*.xml fornisce un segnale ad alta fedeltà, purché l'auditing SACL sia abilitato sulle risorse rilevanti.

Su Linux il framework auditd consente regole mirate: monitorare open e openat verso /etc/shadow, ~/.ssh/id_rsa, ~/.aws/credentials e .bash_history da parte di processi diversi dagli utenti proprietari genera alert con basso rumore. Un esempio è -w /root/.ssh/id_rsa -p r -k ssh_key_read. Su macOS l'unified log espone chiamate a /usr/bin/security con argomenti find-generic-password o dump-keychain, particolarmente sospette se originate da processi non interattivi.

Per gli ambienti SaaS e Identity Provider (AN1156, AN1157) è essenziale ingerire in SIEM i AWS CloudTrail GetSecretValue, GetParameter con decryption, DescribeStackResource su CloudFormation, e gli Azure Sign-in Logs con eventi di download di chiavi o modifica SSO. Anomalie sul volume di chiamate API di lettura secret in finestre temporali strette rappresentano un pattern di burst tipico dell'esfiltrazione automatizzata.

Sui container (AN1158) l'accesso a Docker secrets montati in /run/secrets/ da parte di processi non dichiarati nell'entrypoint del pod è un forte indicatore, correlabile via containerd:Events.

I falsi positivi provengono principalmente da tool di IT automation (Ansible, Puppet), soluzioni di backup delle configurazioni e vulnerability scanner autorizzati come Nessus o Qualys. Una allowlist basata su account di servizio, host di provenienza e finestre di manutenzione riduce sensibilmente il rumore. La correlazione con eventi successivi — logon 4624 tipo 3 da host insoliti con le credenziali appena lette — chiude il ciclo di detection.

L'analisi forense di un caso T1552 parte dalla ricostruzione di quali file e chiavi di registro siano stati letti e da quali processi, per stabilire il perimetro delle credenziali compromesse. Gli artefatti indicati da D3FEND per questa tecnica ruotano attorno a File Access Records, Process Creation Events e Credential Material.

Su Windows la triade prioritaria comprende Prefetch in C:\Windows\Prefetch (analizzabile con PECmd di Eric Zimmerman, open source), ShimCache e Amcache in C:\Windows\AppCompat\Programs\Amcache.hve per evidenziare l'esecuzione di reg.exe, findstr.exe, WinPEAS.exe o binari rinominati. I file UserAssist nell'hive NTUSER.DAT registrano l'esecuzione interattiva da Explorer, mentre RecentFileCache e le jump list rivelano l'apertura di file di configurazione sensibili. Il log Microsoft-Windows-PowerShell/Operational con eventi 4103 e 4104 conserva il contenuto degli script eseguiti, spesso incluso il testo dei comandi di ricerca credenziali. Per l'estrazione strutturata KAPE (gratuito per uso non commerciale) con il target !SANS_Triage raccoglie in pochi minuti l'intero corredo.

Su Linux il file .bash_history dell'attaccante — spesso preservato se non ha configurato unset HISTFILE — mostra la sequenza esatta di grep e cat. I log auditd in /var/log/audit/audit.log forniscono syscall open con timestamp e PID. Il file /var/log/wtmp e /var/log/secure correlano sessioni SSH e sudo. Su macOS il unified log si esporta con log collect e si analizza offline con Console.app o log show --predicate.

La timeline va costruita con Plaso/log2timeline (open source), che unifica MFT, USN Journal, event log e artefatti browser in un supertimeline analizzabile con Timeline Explorer (gratuito). L'USN Journal è particolarmente utile perché registra anche letture e modifiche a file successivamente cancellati.

Nelle Leviathan Australian Intrusions (C0049) gli analisti hanno ricostruito come credenziali hardcoded in binari legittimi fossero state estratte e riutilizzate per privilege escalation, un pattern che richiede il reverse engineering dei binari sospetti con Ghidra (open source NSA) o IDA Free (gratuito con limitazioni) per confermare la presenza di stringhe credenziali.

Per i casi Volt Typhoon su network appliance l'acquisizione delle configurazioni running e startup, il confronto con le baseline note e l'ispezione dei log AAA su server TACACS+/RADIUS chiudono il quadro. La catena di custodia deve preservare hash SHA-256 di ogni artefatto raccolto e includere una lista completa delle credenziali esposte, da forzare a rotazione immediata come contenimento primario.

Il panorama degli attori che sfruttano T1552 è caratterizzato dalla combinazione tra pazienza e opportunismo: gli avversari investono tempo nel setacciare i sistemi già compromessi per estrarre credenziali che consentano di espandere l'accesso senza generare gli indicatori tipici del credential dumping da memoria.

Volt Typhoon (G1017) rappresenta il caso di studio più rilevante nei dati MITRE. Il gruppo, associato a operazioni di pre-positioning contro infrastrutture critiche, ha sistematicamente ottenuto credenziali memorizzate in modo insicuro su network appliance perimetrali delle organizzazioni bersaglio. Questa scelta operativa è coerente con la loro strategia di living-off-the-land: sfruttare account legittimi degli apparati di rete permette di muoversi lateralmente senza deployare malware persistente, riducendo drasticamente la superficie di detection e prolungando la permanenza indisturbata negli ambienti target.

La campagna C0049 – Leviathan Australian Intrusions, condotta tra aprile e settembre 2022 contro vittime australiane, mostra un pattern differente ma complementare. Leviathan ha combinato sfruttamento di servizi esposti come vettore iniziale con una fase estensiva di raccolta credenziali, arrivando ad analizzare binari installati sui dispositivi delle vittime per estrarre password hardcoded dagli sviluppatori. Questo approccio richiede capacità di reverse engineering non banali e conferma il profilo state-sponsored del gruppo, orientato all'esfiltrazione di dati sensibili e al riutilizzo credenziale per privilege escalation e lateral movement prolungato.

Sul fronte del crimine finanziariamente motivato, il malware Astaroth (S0373) integra NetPass — utility legittima di NirSoft — per recuperare password di rete memorizzate. La scelta di appoggiarsi a tool commerciali riduce il rischio di detection basata su firme, poiché NetPass è un eseguibile firmato e ampiamente diffuso. DarkGate (S1111) adotta la stessa filosofia sfruttando l'intero arsenale NirSoft, eseguito tramite process hollowing dentro istanze di vbc.exe o regasm.exe per mascherare l'attività sotto processi .NET legittimi.

NPPSPY (S1131) rappresenta una variante sofisticata: registra un network provider alternativo che intercetta le credenziali di logon attraverso mpnotify.exe, catturandole in chiaro al momento dell'autenticazione. Non si tratta di scan retroattivo ma di raccolta passiva continuativa. Pacu (S1091) infine porta la tecnica nel cloud AWS, con moduli specifici per variabili d'ambiente CodeBuild, user-data EC2 e template CloudFormation — tutti repository dove sviluppatori inseriscono routinariamente segreti dimenticando poi di ruotarli.

Il trend consolidato è la migrazione del bersaglio dalle credenziali dell'endpoint utente verso credenziali di automazione: pipeline CI/CD, secret cloud, configurazioni di appliance. Il difensore deve assumere che qualunque segreto scritto su disco sia già compromesso e progettare rotazione automatica come controllo primario.

MITRE ATT&CK: tecnica T1552 Unsecured Credentials (tattica TA0006). Gruppo G1017 Volt Typhoon. Software S0373 Astaroth, S1091 Pacu, S1111 DarkGate, S1131 NPPSPY. Campagna C0049 Leviathan Australian Intrusions. Mitigazioni M1015, M1017, M1022, M1026, M1027, M1028, M1035, M1037, M1041, M1047, M1051. Detection DET0412 con analytics AN1153–AN1159. MITRE D3FEND per artefatti File, Process, Credential. Le sezioni operative integrano conoscenza professionale su tool open source (WinPEAS, LinPEAS, Sysmon, auditd, KAPE, Plaso, Ghidra) verificati come progetti attivi e documentati.