Forza Bruta: Brute Force (T1110)

Durante un red team, la simulazione di T1110 parte sempre da una fase di enumerazione degli endpoint di autenticazione esposti. Un banner scan con Nmap (open source) del tipo nmap -p 22,3389,445,5985,443 --open permette di mappare rapidamente SSH, RDP, SMB, WinRM e portali HTTPS candidati al brute forcing.

Per attacchi online su protocolli standard, Hydra (open source) resta lo strumento di riferimento. La sintassi hydra -L users.txt -P passwords.txt ssh:// effettua un tentativo classico username/password su SSH, mentre per RDP si usa hydra -L users.txt -P passwords.txt rdp://. In ambienti Active Directory, CrackMapExec (open source) — oggi mantenuto come NetExec — è più adatto al password spraying: netexec smb -u users.txt -p 'Winter2024!' --continue-on-success consente di testare una singola password contro molti account, evitando i lockout tipici del brute force classico.

Sul fronte Kerberos, Rubeus (open source) permette AS-REP roasting e Kerberoasting; una volta ottenuti ticket, Hashcat (open source) esegue cracking offline con hashcat -m 13100 tickets.txt wordlist.txt per TGS-REP. Per hash NTLM estratti da SAM o NTDS.dit, hashcat -m 1000 copre lo scenario più comune. John the Ripper (open source, con edizione Jumbo) è alternativa consolidata, particolarmente efficace per formati Unix e archivi.

Nel caso di applicazioni web, Burp Suite Intruder (freemium) offre il modulo Cluster Bomb per attacchi combinatori su form di login, mentre ffuf (open source) è utile per fuzzing di endpoint di autenticazione API.

Le catene osservate nel mondo reale ricalcano quelle simulabili in laboratorio: gruppi come APT41 hanno colpito account admin locali via brute force, Fox Kitten ha bersagliato specificamente RDP, Agrius ha operato via SMB. La campagna Operation Dream Job (C0022) mostra come Lazarus abbia usato brute force contro account amministrativi come parte di un'operazione più ampia di spionaggio.

Accorgimenti lab-safe: usare sempre wordlist proporzionate al tempo di esercizio (le classiche rockyou.txt o SecLists open source), configurare rate limiting nel tool per non triggerare denial-of-service accidentali, e coordinare con il blue team almeno le finestre temporali per validare la detection senza generare rumore ingestibile. Documentare ogni tentativo con log locali del tool è essenziale per il report finale.

La detection di T1110 si fonda sulla correlazione temporale di eventi di autenticazione fallita, seguiti o meno da un successo anomalo. La regola generale — codificata in DET0463 — richiede una finestra temporale configurabile (tipicamente 5-15 minuti), una soglia di fallimenti (10-15 per brute force classico, molto più bassa per password spraying) e un contesto utente definito.

Su Windows, la sorgente primaria è WinEventLog:Security con particolare attenzione a EventCode 4625 (logon fallito), 4771 (Kerberos pre-authentication failed) e 4776 (NTLM credential validation failed). Il pattern classico è una serie di 4625 dallo stesso source IP verso account diversi (password spraying) oppure verso lo stesso account (brute force). Il 4624 successivo con logon type 3 o 10 dallo stesso IP indica compromissione. Con Sysmon (open source) è possibile correlare i tentativi con processi anomali come net.exe use o strumenti come psexec.exe.

Su Linux, i log auditd:USER_LOGIN e /var/log/auth.log mostrano tentativi SSH falliti; la correlazione tra IP sorgente e utenti diversi permette di distinguere brute force da spraying. Strumenti come Fail2ban (open source) forniscono già una baseline di blocco automatico, ma non sostituiscono la detection SIEM.

Su macOS, il macos:unifiedlog raccoglie eventi da loginwindow e sshd interrogabili con log show --predicate 'subsystem == "com.apple.securityd"' --last 1h.

Sul fronte identity provider, per Azure AD/Entra ID i azure:signinlogs espongono i Sign-in error codes (50126 password errata, 50053 account bloccato, 50055 password scaduta). Un IP che colpisce molti utenti diversi in pochi minuti è il signal più affidabile per spraying. Analogamente, per SaaS come M365 (m365:unified), Dropbox o Okta, cercare pattern di UserLoginFailed seguiti da UserLoggedIn dallo stesso IP.

Le tecniche difensive D3FEND rilevanti includono Authentication Event Thresholding e Credential Compromise Scope Analysis, che formalizzano la correlazione multi-account e multi-sorgente. Sul piano hardening, Account Locking e Multi-factor Authentication sono i controlli preventivi mappati.

Falsi positivi frequenti: scanner di vulnerabilità autorizzati, service account con password scadute che continuano a tentare login, sincronizzazioni mobile con credenziali obsolete dopo un cambio password, load balancer che mascherano l'IP reale. Una whitelist di IP di jump box e scanner interni, combinata con soglie differenziate per account privilegiati, riduce sensibilmente il rumore. Alert prioritari vanno tarati su spraying (bassa soglia, alta ampiezza) più che su brute force verticale, ormai meno frequente per via dei lockout diffusi.

L'analisi forense di un incidente T1110 parte sempre dalla ricostruzione della timeline di autenticazione. Su sistemi Windows, l'artefatto principale è %SystemRoot%\System32\winevt\Logs\Security.evtx, da estrarre con tool come EvtxECmd (open source) di Eric Zimmerman e normalizzare in CSV per analisi con Timeline Explorer (open source). I record chiave sono 4625 con SubStatus code (0xC000006A password errata, 0xC0000064 utente inesistente, 0xC0000234 account lockato) che permettono di distinguere brute force mirato da spraying su enumerazione.

Correlare 4625 con il campo IpAddress e WorkstationName consente di ricostruire l'infrastruttura dell'attaccante. Se compaiono 4624 successivi dallo stesso IP, si passa alla fase di post-compromissione: verificare LogonType (3 network, 10 RDP interactive), TargetUserName e AuthenticationPackageName (NTLM vs Kerberos) per capire il vettore.

Su Linux, gli artefatti primari sono /var/log/auth.log (Debian/Ubuntu) o /var/log/secure (RHEL/CentOS), integrati da journalctl -u sshd per systemd. Il file /var/log/wtmp (letto con last) e /var/log/btmp (letto con lastb) fornisce rispettivamente sessioni riuscite e fallite. Per attacchi SSH, cercare pattern Failed password for seguiti da Accepted password for dallo stesso IP è il primo passo.

Su macOS il unified log si esporta con log collect e si analizza con log show. Gli eventi rilevanti riguardano il subsystem com.apple.securityd e i processi loginwindow e sshd.

Per artefatti di rete, i log di firewall e proxy vanno correlati con gli eventi di autenticazione per identificare IP sorgente, ASN e geolocalizzazione. Passive DNS e query WHOIS su IP ricorrenti aiutano a caratterizzare l'infrastruttura. Certificate Transparency logs (crt.sh, gratuito) sono utili quando l'attacco arriva via portali HTTPS con certificati emessi ad hoc.

Le tecniche difensive D3FEND rilevanti mappano artefatti come Authentication Log, User Account e Network Traffic. La combinazione consente di ricostruire non solo il tentativo di brute force ma anche la sua eventuale riuscita e l'attività successiva.

Campagne documentate offrono modelli di riferimento: durante Operation Dream Job (C0022), Lazarus ha bruteforzato account admin come vettore laterale; nella campagna 2016 Ukraine Electric Power Attack (C0025), Sandworm ha usato script per autenticazione RPC contro molti host, pattern rilevabile con log Windows event 4625 su porte 135/445 e log di rete verso endpoint DCE/RPC.

Output tipici di un report forense includono lista IP attaccanti, account bersagliati, account compromessi, timeline degli accessi post-breach e mappatura delle azioni successive (lateral movement, discovery, exfiltration) partendo dal primo 4624 malevolo.

Il panorama degli attori che impiegano T1110 è ampio e trasversale a motivazioni geopolitiche e finanziarie. Cinque profili meritano attenzione prioritaria.

APT28 (attribuito al GRU russo) ha utilizzato brute force come tecnica ricorrente per compromettere account, spesso in combinazione con password spraying su infrastrutture cloud e webmail di target governativi e militari occidentali. La loro efficacia deriva dalla scala e dalla persistenza multi-anno delle campagne.

APT41 rappresenta il modello di threat actor ibrido cinese, con doppia natura state-sponsored e cybercriminale. L'uso di brute force contro account admin locali indica una preferenza per la compromissione di endpoint singoli come pivot iniziale, prima dell'escalation verso Active Directory. La versatilità del gruppo lo rende rilevante per settori software, sanità, telecomunicazioni e gaming.

APT38, tipicamente associato a operazioni finanziarie nordcoreane contro il settore bancario (SWIFT), impiega brute force quando le credenziali non sono disponibili né via dumping né via hash. Il pattern osservato nella campagna Operation Dream Job (C0022), condotta da Lazarus contro settori difesa, aerospazio e governo in USA, Israele, Australia, Russia e India, ha visto brute force specificamente contro account amministrativi come step di consolidamento post-social engineering (fake job lures).

Fox Kitten (iraniano) si concentra su RDP esposto, un vettore che continua a produrre risultati soprattutto contro PMI e infrastrutture non adeguatamente segmentate. La combinazione RDP+brute force+ransomware è un pattern osservato con frequenza crescente anche da affiliati non state-sponsored.

HEXANE (attivo in Medio Oriente, telco ed energia) e OilRig (iraniano, stesso teatro operativo) mostrano l'importanza del brute force nella regione, dove infrastrutture legacy e servizi esposti offrono ampia superficie. Agrius, anch'esso iraniano, opera prevalentemente via SMB, indicando target con reti interne mal segmentate raggiungibili da un beachhead iniziale.

Sul fronte crimeware, Storm-0501 ha adottato brute force nell'ambito di operazioni ransomware ibride cloud/on-prem, mentre DarkVishnya ha utilizzato brute force in attacchi contro banche dell'Europa orientale con dispositivi fisici piazzati nelle sedi target.

L'overlap di tool è significativo: APT39 utilizza Ncrack (open source), gruppi diversi convergono su CrackMapExec/NetExec (open source), e famiglie malware come QakBot, Kinsing (target Linux/cloud), Chaos, PoshC2 e Caterpillar WebShell integrano moduli di brute force nativi. Anche Pysa ha usato brute force contro console di management e account AD, mostrando come il ransomware moderno abbia interiorizzato tecniche di credential access.

Il trend indica spostamento dal brute force verticale verso password spraying distribuito su reti proxy residenziali, per aggirare rate limiting e geo-blocking. La difesa richiede MFA universale, monitoring identity-centric e threat hunting proattivo sui pattern di sign-in anomali.

MITRE ATT&CK T1110 (Brute Force), tattica TA0006. Gruppi: G0007, G0010, G0035, G0049, G0053, G0082, G0087, G0096, G0105, G0117, G1001, G1003, G1030, G1053. Software: S0220, S0378, S0488, S0572, S0583, S0599, S0650. Campagne: C0022 (Operation Dream Job), C0025 (2016 Ukraine Electric Power Attack). Mitigazioni: M1018, M1027, M1032, M1036. Detection: DET0463 (AN1275-AN1279). Framework difensivo MITRE D3FEND. Per comandi, tool e artefatti forensi è stata integrata conoscenza professionale di cybersecurity su strumenti open source verificabili.