Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Abuso Token OAuth: Application Access Token (T1550.001)
La tecnica T1550.001 - Application Access Token descrive l'abuso di token di accesso applicativi sottratti a utenti o servizi per bypassare i normali flussi di autenticazione e interagire direttamente con API remote. Questi token, tipicamente emessi da framework come OAuth 2.0, autorizzano operazioni per conto di un'identità senza richiedere il passaggio delle credenziali originali, rendendo l'attacco particolarmente insidioso su ambienti cloud, SaaS e container.
MITRE ATT&CK colloca la tecnica in due tattiche: TA0005 (Defense Evasion), perché l'uso diretto delle API neutralizza contromisure intuitive come il cambio password o la MFA già superata al momento dell'emissione del token, e TA0008 (Lateral Movement), poiché un token compromesso permette di pivotare tra servizi collegati, per esempio innescando reset password su account secondari a partire dall'accesso alla mail primaria.
L'impatto operativo è amplificato dai refresh token, che garantiscono persistenza a lungo termine in background, e da API come sts:GetFederationToken in AWS, che consentono di generare sessioni federate sopravvissute alla disattivazione dell'utente originale. I dati MITRE registrano 2 gruppi APT, 2 famiglie di malware, 1 campagna documentata (SolarWinds Compromise) e 5 mitigazioni ufficiali, con detection distribuita su cinque piattaforme: IaaS, Identity Provider, SaaS, Office Suite e Container.
In un esercizio red team, la simulazione di T1550.001 parte quasi sempre dal furto o dall'ottenimento fraudolento di un token OAuth. Uno scenario realistico prevede la registrazione di un'illicit consent application in Azure AD o Google Workspace, con richiesta di scope ampi (Mail.Read, Files.ReadWrite.All, offline_access per ottenere il refresh token). L'utente vittima, tramite phishing mirato, concede il consenso e da quel momento l'applicazione può interrogare le API Microsoft Graph senza ulteriore interazione.
Per la fase di enumerazione e abuso su Microsoft 365 il tool di riferimento è AADInternals (open source, PowerShell), che espone cmdlet come Get-AADIntAccessTokenForMSGraph per manipolare token, oppure ROADtools (open source), utile per dump completo del tenant partendo da un refresh token valido. Su Google Workspace si può usare GHunt (open source) per il reconnaissance e chiamate dirette all'endpoint oauth2.googleapis.com/token con curl per scambiare authorization code in access token.
Sull'ecosistema AWS il pattern classico è l'abuso di sts:AssumeRole o sts:GetFederationToken a partire da chiavi IAM compromesse. Il comando di base con AWS CLI (open source) è:
aws sts get-federation-token --name redteam-session --policy file://policy.json
Il token risultante persiste anche se la chiave originale viene ruotata. Per l'enumerazione dei privilegi effettivi post-assunzione si usa Pacu (open source), framework AWS exploitation, con moduli come iam__enum_permissions e iam__privesc_scan.
Su Kubernetes, la tecnica trova espressione nell'abuso dei service account token montati automaticamente nei pod. Lo strumento di riferimento è Peirates (open source, S0683 nei dati MITRE), che permette di elencare i token disponibili, cambiare identità e chiamare l'API server con privilegi diversi. Il comando kubectl auth can-i --list --token=$TOKEN permette di mappare rapidamente le azioni consentite.
Una catena d'attacco end-to-end tipica si sviluppa così: phishing OAuth su un utente M365, ottenimento refresh token con scope offline_access, enumerazione mailbox via Graph API, ricerca di credenziali cloud in allegati e note, pivot verso AWS tramite chiavi trovate, escalation con GetFederationToken per persistenza. Ogni step va documentato nel report red team con timestamp, scope richiesti e ID applicazione, per permettere al blue team di ricostruire i controlli mancanti.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.