Enumerazione Account: Account Discovery (T1087)

Durante un red team engagement, l'enumerazione account è la seconda attività dopo la verifica del contesto di esecuzione. Su un host Windows già compromesso, i comandi nativi rimangono i più affidabili perché raramente triggerano AV: net user elenca gli utenti locali, net user /domain quelli di dominio, net localgroup administrators i membri del gruppo Administrators, e net group "Domain Admins" /domain i DA. Con PowerShell su un host joinato al dominio, il modulo ActiveDirectory offre Get-ADUser -Filter * e Get-ADGroupMember "Domain Admins". Se il modulo non è disponibile, PowerView (open source, parte di PowerSploit) fornisce Get-NetUser e Get-NetGroupMember sfruttando LDAP diretto.

Un'alternativa a basso rumore è BloodHound con il collector SharpHound (open source): un singolo SharpHound.exe -c All raccoglie utenti, gruppi, sessioni e ACL per costruire il grafo dei percorsi verso Domain Admin. Per operazioni più stealth, la query LDAP diretta via dsquery user o l'uso di adfind (gratuito) evita la generazione di eventi PowerShell.

Su Linux, la sequenza classica include cat /etc/passwd, getent passwd, cut -d: -f1 /etc/passwd, e last per gli accessi recenti (comando osservato in uso da Aquatic Panda). Per l'appartenenza ai gruppi groups, id, e cat /etc/group. In presenza di integrazione LDAP/SSSD, getent passwd restituisce anche gli account remoti.

Su macOS, dscl . -list /Users e dscl . -read /Users/ estraggono l'inventario locale; dscacheutil -q user interroga la cache del Directory Service.

In ambiente cloud AWS, l'AWS CLI (gratuito) permette aws iam list-users, aws iam list-roles, aws iam list-groups. Su Azure con Az PowerShell o AzureAD module: Get-AzADUser e Get-AzureADUser. Per Microsoft 365 il cmdlet Exchange Get-ManagementRoleAssignment è stato utilizzato durante SolarWinds Compromise da APT29 per enumerare ruoli su Exchange Server.

Su ESXi, i comandi esxcli system account list e vim-cmd vimsvc/auth/userlist espongono gli account locali dell'hypervisor; questa via è stata percorsa da Scattered Spider per identificare admin vSphere.

In laboratorio, strumenti come CrackMapExec e il suo successore NetExec (open source) permettono enumerazione remota via SMB/LDAP/WinRM con un singolo comando: nxc smb -u -p --users.

La detection di Account Discovery poggia sull'osservazione di pattern di comando anomali e sull'analisi comportamentale del contesto d'esecuzione. Il framework MITRE identifica otto analitiche cross-platform (AN1612-AN1619) che coprono Windows, Linux, macOS, IaaS, IdP, ESXi, SaaS e Office Suite.

Su Windows, la telemetria chiave arriva da Sysmon (open source) EventID 1 (Process Creation) e dai Security Event 4688 con command line logging abilitato. Le regole vanno costruite su varianti di enumerazione: net user, net group, net localgroup, Get-ADUser, Get-ADGroupMember, dsquery, whoami /groups, quser. Un singolo comando isolato ha alta rumorosità, per questo l'approccio più efficace correla burst temporali: cinque o più comandi di discovery entro sessanta secondi dallo stesso ParentProcess indicano automazione. Il campo UserContext è discriminante: se un account non-admin o un service account esegue net group "Domain Admins", la severità va alzata.

Per PowerShell, gli eventi 4103 (Module Logging) e 4104 (Script Block Logging) rivelano l'uso di cmdlet AD e chiamate LDAP dirette via [adsisearcher]. Le query LDAP generano anche eventi 1644 sui Domain Controller se il logging è abilitato via registry.

Su Linux, auditd con regole su execve intercetta cat /etc/passwd, getent, last, id. Un watch su /etc/shadow (-w /etc/shadow -p r) è particolarmente indicativo perché la lettura in chiaro da parte di processi non-root o non appartenenti a package manager è anomala. Sysmon for Linux estende la visibilità con EventID 1 e 11.

Su macOS, unified log con predicato su dscl e dscacheutil eseguiti fuori da sessione console interattiva è un segnale forte.

In ambiente cloud, AWS CloudTrail registra chiamate come ListUsers, ListRoles, ListGroups, GetAccountAuthorizationDetails: enumerazioni massive da un singolo principal in breve tempo, specie da IP non abituali o UserAgent script-like, meritano alert. Su Azure AD/Entra, i signinlogs e AuditLogs mostrano query MS Graph verso /users e /groups con volumi anomali. Per Okta, gli eventi system log user.account.list seguono la stessa logica.

Su ESXi, il log vpxd.log registra chiamate vim-cmd vimsvc/auth/userlist; enumerazioni da account root o vpxuser fuori da finestre di manutenzione sono sospette.

I falsi positivi principali derivano da tool di IT asset management, script di audit, soluzioni EDR/IAM che periodicamente inventariano gli account. Una baseline per host e per service account riduce drasticamente il rumore. L'allineamento con D3FEND suggerisce contromisure di tipo User Account Permissions e System Call Analysis per irrobustire la detection.

L'analisi forense di Account Discovery ricostruisce sequenze di comandi ricognitivi lasciati sul filesystem, nel registro, nei log di sistema e nella memoria volatile. La finestra temporale utile è tipicamente stretta perché l'attività è breve, ma gli artefatti sono numerosi.

Su Windows, la prima fonte è il Prefetch (C:\Windows\Prefetch): file come NET.EXE-.pf, WHOAMI.EXE-.pf, POWERSHELL.EXE-.pf con timestamp ravvicinati suggeriscono ricognizione. Amcache.hve e ShimCache confermano l'esecuzione anche in assenza di prefetch. Per PowerShell, la trascrizione (se abilitata via GPO) e il ConsoleHost_history.txt in %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine conservano i comandi digitati. Gli event log Microsoft-Windows-PowerShell/Operational (4104) contengono script block completi, spesso con cmdlet AD facilmente riconoscibili.

Sui Domain Controller, il log Directory Service e gli eventi 4661 (SAM/DS access) e 1644 (LDAP costly query) permettono di ricostruire query LDAP massive. L'analisi delle richieste Kerberos (evento 4769) può correlare enumerazioni con successivi tentativi di kerberoasting verso account service identificati.

Su Linux, i file di history (~/.bash_history, ~/.zsh_history) conservano i comandi cat /etc/passwd, last, getent — spesso puliti dall'attaccante, ma recuperabili da memoria via Volatility (open source, framework linux_bash). I log auditd in /var/log/audit/audit.log con regole appropriate mostrano le syscall execve e le read su /etc/shadow. Il timestamp atime dei file sensibili, se non montati noatime, indica letture recenti.

Su macOS, i unified log estraibili con log show --predicate 'process == "dscl"' --last 7d rivelano enumerazioni via Directory Service. Il file ~/.zsh_history è l'equivalente della bash history.

Nel caso SolarWinds Compromise (C0024), gli investigatori hanno documentato l'uso da parte di APT29 di Get-ManagementRoleAssignment sui server Exchange delle vittime per enumerare ruoli e permessi. L'artefatto forense in questo scenario è la traccia in Exchange Management Shell e nei log IIS di PowerShell remoting (/PowerShell/). La correlazione con successivi accessi tramite token rubati permette di distinguere l'enumerazione dalla fase di weaponization.

In ambiente cloud, la timeline si costruisce da CloudTrail (AWS), Unified Audit Log (M365) e Activity Log (Azure): l'ordine delle chiamate ListUsers → GetUser → AttachUserPolicy è il pattern classico di ricognizione seguita da abuso.

Gli artefatti chiave per la timeline includono i Digital Artifacts mappati da D3FEND: User Account, Command History, Process, File Access Event. La correlazione con eventi di Initial Access precedenti e di Lateral Movement successivi definisce il perimetro reale dell'intrusione.

L'enumerazione account è talmente trasversale che compare praticamente in ogni operazione avanzata, ma i dati MITRE evidenziano alcuni profili con firme distintive.

Aquatic Panda (G0143), gruppo cinese noto per operazioni di cyber-espionage, ricorre al comando Linux last per identificare gli utenti connessi di recente sulle macchine vittima. È un dettaglio operativo che rivela una preferenza per la ricognizione a basso rumore su sistemi Unix-like, tipica di gruppi che operano in ambienti misti data center e prediligono comandi nativi rispetto a tooling custom.

Scattered Spider (G1015), collettivo di lingua inglese specializzato in social engineering e attacchi a infrastrutture cloud e virtualizzazione, ha mostrato interesse specifico per l'identificazione di account amministratori vSphere. Questo pattern si allinea con la loro tattica di targeting degli hypervisor per deployment di ransomware su larga scala, colpendo il layer di virtualizzazione anziché i singoli endpoint.

FIN13 (G1016), attore financially-motivated attivo principalmente contro istituzioni finanziarie in America Latina, enumera tutti gli utenti e i relativi ruoli dai sistemi di tesoreria centrali delle vittime. Questa granularità di ricognizione riflette obiettivi di frode altamente mirati, dove la conoscenza precisa di ruoli e autorizzazioni permette la selezione dell'account ideale per operazioni fraudolente successive.

La campagna documentata più significativa è SolarWinds Compromise (C0024), condotta da APT29 (SVR russo) tra agosto 2019 e gennaio 2021. All'interno di questa operazione supply chain — che ha compromesso una parte degli 18.000 clienti del prodotto Orion — APT29 ha utilizzato il cmdlet Exchange Get-ManagementRoleAssignment per enumerare utenti e ruoli sui server Exchange delle vittime. La combinazione di password spraying, furto di token, abuso API e ricognizione mirata di Exchange evidenzia come l'enumerazione account sia integrata organicamente nel modus operandi degli attori state-sponsored più sofisticati.

Sul fronte malware, il ventaglio dei tool è ampio e trasversale a motivazioni diverse: ShimRatReporter (S0445) elenca account privilegiati e non; XCSSET (S0658), malware macOS, estrae credenziali da applicazioni consumer come Evernote, Telegram, Skype, WeChat e AppleID, tradendo un target sia individuale che aziendale; Woody RAT (S1065) e Havoc (S1229) identificano specificamente account amministratori, priorità operativa per fase di escalation; TONESHELL (S1239), associato a operazioni cinesi contro target sud-est asiatici, include funzionalità dedicate al recupero delle liste utenti.

Il trend osservabile è la convergenza tra ricognizione on-premise e cloud/SaaS: gruppi che storicamente operavano solo su AD ora enumerano parallelamente Entra ID, Okta, AWS IAM e vSphere. Questa duplicazione dei target riflette la superficie ibrida delle organizzazioni moderne e rende obsoleta ogni detection che copra solo un layer.

MITRE ATT&CK T1087 (Account Discovery), tattica TA0007. Gruppi: G0143 Aquatic Panda, G1015 Scattered Spider, G1016 FIN13. Software: S0445, S0658, S1065, S1229, S1239. Campagna C0024 (SolarWinds Compromise). Mitigazioni M1018, M1028. Analitiche di detection AN1612-AN1619. Mapping difensivo MITRE D3FEND per la tecnica T1087. Parti dei contenuti operativi su comandi, tool (Sysmon, PowerView, BloodHound/SharpHound, NetExec, Volatility, AWS CLI) e artefatti forensi derivano da conoscenza professionale consolidata in ambito cybersecurity.