Furto dal Gestore Credenziali: Windows Credential Manager (T1555.004)
Il Windows Credential Manager è il componente nativo che conserva credenziali di siti web, applicazioni e risorse di rete che si autenticano via NTLM o Kerberos. I dati vivono in due contenitori distinti — il Web Credentials locker e il Windows Credentials locker — sotto forma di file cifrati con estensione .vcrd, custoditi nel percorso *%SystemDrive%\Users[Username]\AppData\Local\Microsoft[Vault|Credentials]*. La chiave di cifratura risiede nello stesso percorso, dentro un file Policy.vpol legato al DPAPI dell'utente.
La tecnica T1555.004 rientra nella tattica TA0006 (Credential Access) e rappresenta un passaggio classico nella catena post-exploitation: l'attaccante, ottenuto un foothold su una workstation, cerca credenziali già memorizzate per muoversi lateralmente senza dover ricorrere a keylogging o phishing aggiuntivi. L'accesso può avvenire tramite l'utility nativa vaultcmd.exe, tramite API come CredEnumerateA/W, oppure leggendo direttamente i file .vcrd e decifrandoli con la chiave estratta da Policy.vpol.
I dati MITRE censiscono 4 gruppi APT, 9 famiglie di malware o tool offensivi e almeno una campagna documentata (Juicy Mix di OilRig). L'impatto è tangibile: una volta esfiltrate, queste credenziali offrono accesso a servizi cloud aziendali, condivisioni SMB, RDP salvati e portali web interni, con un rapporto rischio/rumore particolarmente favorevole per l'attaccante perché molte azioni si confondono con l'attività amministrativa legittima.
L'enumerazione più immediata sfrutta il binario nativo vaultcmd.exe, presente su ogni installazione Windows moderna. Il comando
vaultcmd /list
restituisce i vault disponibili, mentre vaultcmd /listcreds:"Windows Credentials" /all espone metadati e nomi delle credenziali salvate. L'utility non restituisce la password in chiaro, ma è utile in fase di ricognizione per capire cosa vale la pena estrarre.
Per arrivare al plaintext il riferimento operativo resta Mimikatz (open source). Il modulo sekurlsa::credman recupera le credenziali dei processi in memoria, mentre vault::cred /patch e vault::list dialogano direttamente con i file del Credential Locker. In alternativa, LaZagne (open source, disponibile sul repository GitHub di AlessandroZ) automatizza l'estrazione da decine di software con un semplice laZagne.exe all, includendo il modulo dedicato ai Vault files.
In contesti dove è preferibile restare in PowerShell, il modulo Invoke-WCMDump (open source), parte della collezione utilizzata anche da Wizard Spider, enumera le credenziali sfruttando l'API PasswordVault del namespace Windows.Security.Credentials. La chiamata tipica è
Import-Module .\Invoke-WCMDump.ps1; Invoke-WCMDump
e restituisce risorsa, username e password in chiaro per le sole credenziali Web accessibili all'utente corrente.
PowerSploit (open source, archiviato ma ancora funzionante) mette a disposizione moduli di Exfiltration che coprono lo stesso perimetro, utili quando si vuole restare all'interno di un framework Empire-compatibile. Chi lavora in C# può invocare direttamente CredEnumerate dall'API advapi32.dll: è la strada scelta da Lizar per raccogliere credenziali RDP tramite CredEnumerateW.
Una catena d'attacco realistica in laboratorio prevede tre passi. Prima si ottiene esecuzione a livello utente su una workstation di dominio, ad esempio via macro Office o payload consegnato tramite phishing. Poi si esegue una ricognizione con vaultcmd /list e cmdkey /list per capire quali credenziali sono in gioco. Infine si lancia l'estrazione vera e propria con Mimikatz o Invoke-WCMDump, esfiltrando l'output verso un canale C2 già stabilito. Nel red team è buona norma testare anche il percorso GUI rundll32.exe keymgr.dll,KRShowKeyMgr seguito dal backup del file .crd, perché produce artefatti diversi da quelli generati dagli strumenti CLI e permette di validare i playbook di detection.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo