Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Acquisto di Accessi: Acquire Access (T1650)
Acquire Access descrive la pratica con cui un avversario compra o si procura un accesso già esistente a un sistema o a una rete bersaglio, anziché costruire da zero la propria capacità di intrusione. Questa tecnica appartiene alla tattica TA0042 (Resource Development), la fase in cui l'attaccante prepara le risorse — infrastrutture, account, capacità — che sfrutterà nelle fasi successive del ciclo di vita dell'attacco.
Il mercato di riferimento è quello degli Initial Access Broker (IAB), reti criminali che rivendono foothold su sistemi già compromessi. Le forme di accesso variano: web shell piantate su server esposti, connessioni tramite External Remote Services, o macchine infettate con un "load" che consente di installare malware aggiuntivo per conto del cliente pagante. In alcuni casi gruppi diversi stringono partnership per condividersi vicendevolmente i sistemi compromessi.
L'attrattiva economica è evidente: delegando l'ingresso iniziale, l'avversario riduce le risorse necessarie per ottenere un punto d'appoggio e concentra gli sforzi sulle fasi più remunerative come esfiltrazione o cifratura. Gli acquirenti privilegiano sistemi privi di monitoraggio, con privilegi elevati o appartenenti a settori strategici — IT contracting, sviluppo software, telecomunicazioni — dove un singolo accesso può innescare compromissioni a catena tramite Trusted Relationship, intercettazione dell'MFA o Supply Chain Compromise. La tecnica viene spesso combinata con l'acquisto di credenziali quando il foothold richiede Valid Accounts.
Trattandosi di una tecnica pre-compromise (TA0042), in un esercizio red team non si tratta di "comprare" davvero un accesso illegale, ma di simulare in laboratorio la dinamica del broker e di dimostrare l'impatto di un foothold pre-esistente. L'obiettivo è modellare lo scenario in cui l'ingresso iniziale è già garantito e la squadra parte dalla fase di consolidamento.
Un approccio lab-safe consiste nel preparare artificialmente il punto d'appoggio che un IAB tipicamente vende. Le forme più comuni sono due: una web shell piantata su un server web di test e un accesso tramite servizi remoti esterni (RDP/VPN) con credenziali valide fornite dal white team.
- Deploy di una web shell minimale su un target vulnerabile controllato, per replicare il "foothold" venduto. In laboratorio si possono usare le web shell incluse in Kali Linux (open source), ad esempio quelle in /usr/share/webshells/.
- Simulazione dell'accesso via RDP con credenziali fornite: xfreerdp /u:utente /p:password /v:target-ip (FreeRDP, open source).
- Post-exploitation e movimento laterale con Metasploit Framework (open source) o Sliver (open source) come C2 per emulare l'operatore che riceve il load già installato.
Per emulare il "load" — l'impianto che il broker usa per installare malware su richiesta del cliente — si può configurare un beacon Cobalt Strike (a pagamento) oppure il già citato Sliver in ambiente isolato, dimostrando come un accesso preconfezionato acceleri le fasi successive.
Sul fronte della ricognizione dell'ecosistema broker, gli esercizi di CTI simulata possono includere il monitoraggio di forum e marketplace tramite piattaforme OSINT come SpiderFoot (open source/freemium) e Recon-ng (open source), utili per comprendere quali dati della propria organizzazione potrebbero essere in vendita.
La catena d'attacco da riprodurre è lineare: si parte dal foothold acquisito (web shell o account valido), si stabilisce persistenza, si scala privilegio dove i sistemi risultano poco monitorati e infine si valuta il potenziale di pivot verso terze parti. Proprio i settori IT contracting e telco vanno usati come scenario per dimostrare la propagazione via Trusted Relationship e Supply Chain Compromise. L'intero esercizio deve svolgersi su infrastruttura di proprietà o esplicitamente autorizzata, senza mai interagire con marketplace criminali reali.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.