Enumerazione Gruppi Cloud: Cloud Groups (T1069.003)

In un red team engagement cloud, l'enumerazione dei gruppi è tra le prime attività dopo aver ottenuto credenziali valide o un token di sessione. L'obiettivo è mappare la struttura RBAC senza generare rumore anomalo rispetto al comportamento admin legittimo.

Su Azure AD/Entra ID, i cmdlet MSOnline sono ancora utilizzabili ma in deprecazione: Get-MsolRole elenca i ruoli direttori, Get-MsolRoleMember -RoleObjectId espande la membership. Con Azure CLI (open source), az ad group list restituisce l'inventario dei gruppi, mentre az ad user get-member-groups --id mostra le appartenenze di un utente specifico. Per un approccio moderno via Microsoft Graph si usa az rest con endpoint Graph, oppure Graph PowerShell SDK con Get-MgGroup e Get-MgDirectoryRole.

Due tool pubblici sono di riferimento per l'enumerazione approfondita di Azure AD:

• AADInternals (open source, S0677): modulo PowerShell che espone funzioni come Get-AADIntTenantDetails e enumerazioni di gruppi anche in scenari di ricognizione unauthenticated parziale.
• ROADTools (open source, S0684): suite Python composta da roadrecon per dump completo del directory in database SQLite locale e roadrecon_gui per esplorazione grafica di ruoli, gruppi e application permissions.

Su AWS, Pacu (open source, S1091) è il framework di riferimento per post-exploitation. I moduli iam__enum_permissions e iam__enum_users_roles_policies_groups automatizzano ListRoles, ListRolePolicies, ListAttachedRolePolicies, ListGroups e GetBucketAcl su bucket S3 target. In alternativa diretta con AWS CLI (open source):

aws iam list-roles

aws iam list-role-policies --role-name

aws iam list-attached-role-policies --role-name

aws s3api get-bucket-acl --bucket

Su Google Cloud, l'endpoint REST GET /v1/groups di Cloud Identity API restituisce i gruppi visibili al principale autenticato; con gcloud (open source) si usano gcloud identity groups list e gcloud projects get-iam-policy per l'inventario IAM a livello progetto.

Una catena tipica in laboratorio parte da un token OAuth ottenuto via device code phishing su un utente non privilegiato, prosegue con ROADTools per il dump completo Azure AD, identifica gruppi come Global Administrators o Privileged Role Administrators, e infine mira ai loro membri via consent phishing o MFA fatigue. Lab-safe: usare tenant Microsoft 365 developer (gratuito) e account AWS di training con budget alert attivi.

La detection di T1069.003 è essenzialmente comportamentale: le API chiamate sono legittime, quindi il segnale nasce dal contesto — chi le invoca, con quale frequenza, da quale IP e con quale sessione. Le tre analytics MITRE AN0695 (IaaS), AN0696 (Office Suite) e AN0697 (SaaS) coprono i tre domini principali.

Su AWS, la log source primaria è CloudTrail. Gli eventi da monitorare sono ListRoles, ListRolePolicies, ListAttachedRolePolicies, ListGroups, ListUsers, GetBucketAcl e ListPolicies. Un pattern sospetto tipico è una sequenza rapida di decine di queste chiamate dallo stesso userIdentity.arn in una finestra di pochi minuti, specialmente se il principale è una service role assunta via sts:AssumeRole da un account esterno o se l'IP sorgente non corrisponde ai range corporate. Il tuning suggerito da AN0695 richiede di scoping su principali IAM anomali e correlazione temporale con finestre di preparazione al movimento laterale — utile aggregare per sourceIPAddress e userAgent (il default aws-cli/2.x o Boto3 da IP residenziali è sospetto in ambienti enterprise).

Su Microsoft 365/Azure AD, gli Unified Audit Log e Azure AD Audit Logs registrano operazioni come Directory Management con azioni di lettura su ruoli e gruppi. Su Exchange Online, i log m365:exchange mostrano invocazioni PowerShell come Get-RoleGroup e Get-ManagementRoleAssignment. Su SharePoint, m365:sharepoint traccia enumerazioni di site collection admin. AN0696 raccomanda di distinguere tra visibilità a livello tenant e a livello site, e di identificare catene di chiamate Graph API sospette — pattern come GET /v1.0/groups seguito immediatamente da GET /v1.0/groups/{id}/members iterato su decine di gruppi è tipico di tool automatizzati come ROADTools.

Per SaaS (es. Salesforce), AN0697 monitora API call di enumerazione ruoli fuori dai baseline admin, con tuning su rate di chiamate group-list e su enumerazioni cross-team inusuali.

I falsi positivi principali sono: attività di IGA (Identity Governance) come SailPoint o Saviynt che periodicamente enumerano gruppi per riconciliazione; scanner di posture cloud come Prisma Cloud, Wiz o CSPM nativi che generano volumi elevati di ListRoles legittimi; script di offboarding HR. La whitelist per service principal noti e per IP di appliance CSPM è fondamentale, così come baseline per finestra oraria — enumerazioni notturne da account interattivi meritano priorità alta. Correlare sempre con UEBA: un utente che non ha mai eseguito operazioni di directory read che improvvisamente ne genera centinaia è il segnale più forte.

L'analisi forense di T1069.003 si concentra su log cloud e artefatti endpoint dei sistemi da cui sono partite le sessioni amministrative. La sfida è ricostruire la timeline dell'enumerazione e correlarla con l'accesso iniziale e le azioni successive.

In AWS, il punto di partenza è l'export CloudTrail completo del periodo di interesse. Filtrando per eventName nelle categorie List*, Get*Policy, Get*Acl si isolano gli eventi di discovery. Per ogni evento sono critici i campi userIdentity (tipo, ARN, sessionContext con mfaAuthenticated), sourceIPAddress, userAgent, requestParameters e responseElements. La presenza di sessionContext.sessionIssuer indica assunzione di ruolo — va tracciata la catena a ritroso fino al principale originario. Athena o CloudTrail Lake permettono query SQL su archivi estesi; utile anche il tool open source CloudTrail Parser o Sumo Logic CTP per timeline consolidate.

Su Azure AD, gli Sign-in Logs e Audit Logs vanno esportati via portale o Graph API (retention default 30 giorni, 90 con P1/P2). Per T1069.003 sono rilevanti eventi di categoria DirectoryManagement con operazioni come List groups, List members, List directory roles. La correlazione con Sign-in Logs permette di legare l'enumerazione a IP sorgente, applicazione client (es. Microsoft Graph PowerShell, Azure CLI, o Unknown per tool custom come ROADTools) e conditional access outcome. Se disponibile Microsoft Sentinel o Defender for Cloud Apps, le tabelle AuditLogs e SigninLogs in KQL accelerano l'analisi.

Su endpoint Windows amministrativi, gli artefatti chiave sono:

• PowerShell logging (EventCode 4103 module logging, 4104 script block logging nel canale Microsoft-Windows-PowerShell/Operational): registra invocazioni di Get-MsolRole, Get-MgGroup, Connect-AzureAD e blocchi ROADTools se il logging è attivo.
• Prefetch in *C:\Windows\Prefetch*: presenza di POWERSHELL.EXE-*.pf, AZ.EXE-*.pf o PYTHON.EXE-*.pf con timestamp coerenti.
• PSReadLine ConsoleHost_history.txt in *%AppData%\Microsoft\Windows\PowerShell\PSReadLine*: contiene comandi digitati interattivamente, spesso non ripuliti dall'attaccante.
• ShimCache e Amcache (C:\Windows\AppCompat\Programs\Amcache.hve): tracciano esecuzione di binari come roadrecon.exe o pacu.py wrapper.
• NTUSER.DAT con chiavi RunMRU e TypedPaths per ricostruire attività interattiva.

Per la campagna C0027, la timeline documentata mostra Scattered Spider accedere ad Azure AD post-social engineering per dump bulk di membership. Gli artefatti attesi sono sessioni Azure AD da IP VPN commerciali o residenziali, user agent Graph PowerShell o Python, e download API di users e groups in blocchi paginati con $top=999. La correlazione con log del provider mobile della vittima (SIM swap) chiude il quadro.

L'enumerazione dei gruppi cloud è diventata prassi consolidata per attori con motivazioni sia finanziarie sia di spionaggio, in ragione della crescente centralità di Azure AD e AWS IAM come piano di controllo delle identità aziendali. Il caso documentato più rilevante nei dati MITRE è la campagna C0027, attribuita a Scattered Spider e attiva da giugno a dicembre 2022 contro operatori di telecomunicazioni e società di Business Process Outsourcing (BPO).

Durante C0027, Scattered Spider ha combinato social engineering evoluto — impersonificazione help desk telefonica, phishing SMS mirato — con SIM swapping presso i carrier mobili delle vittime. Una volta ottenuto l'accesso ad Azure AD, il gruppo ha proceduto al download bulk delle membership di gruppi e degli attributi Active Directory, esattamente il pattern descritto da T1069.003. Questa mappatura serviva a identificare utenti privilegiati nei tenant target e, sfruttando l'accesso alle infrastrutture telco delle vittime stesse, a pivotare verso ulteriori operazioni di SIM swap contro clienti finali dei BPO — una catena di attacco a valore composto che monetizza tanto la vittima diretta quanto il suo customer base.

Sul piano del tooling, i tre software mappati sulla tecnica delineano l'ecosistema tipico:

• AADInternals (S0677): framework PowerShell nato per ricerca ma ampiamente adottato da attori offensivi per la sua profondità di funzionalità Azure AD, incluse enumerazioni di gruppi in scenari misti authenticated/unauthenticated.
• ROADTools (S0684): standard de facto per dump completi di Azure AD in ambienti red team e sempre più frequente in intrusioni reali, grazie alla velocità e alla completezza del database SQLite generato.
• Pacu (S1091): equivalente per AWS, con moduli IAM enumeration che coprono tutte le API rilevanti per T1069.003 e integrazione con altri moduli di privilege escalation.

Il trend osservabile è la convergenza tra attori finanziariamente motivati (Scattered Spider, gruppi affiliati a ransomware-as-a-service con estorsione cloud) e attori state-sponsored nell'uso degli stessi tool open source, che riducono la superficie di attribuzione e aumentano il rumore per i difensori. L'enumerazione dei gruppi cloud raramente costituisce l'obiettivo finale, ma è quasi sempre precursore di Privilege Escalation (TA0004), Lateral Movement (TA0008) o Collection (TA0009) — in particolare targeting mailbox di executive, repository SharePoint sensibili e bucket S3 con dati regolamentati.

Dal punto di vista strategico, il pattern C0027 dimostra come il perimetro identità cloud sia ormai bersaglio primario tanto quanto l'endpoint tradizionale, e come la debolezza di processi di help desk e carrier authentication possa vanificare investimenti significativi in MFA e conditional access.

MITRE ATT&CK: T1069.003 Cloud Groups, tattica TA0007 Discovery. Software: S0677 AADInternals, S0684 ROADTools, S1091 Pacu. Campagna: C0027 (Scattered Spider). Detection: DET0251 con analytics AN0695 (IaaS/CloudTrail), AN0696 (Office Suite/Exchange-SharePoint), AN0697 (SaaS/Salesforce). Per comandi operativi, sintassi CLI e artefatti forensi è stata integrata conoscenza professionale verificabile su documentazione ufficiale di AWS CLI, Azure CLI, Microsoft Graph PowerShell SDK, Google Cloud SDK e sui repository pubblici dei tool citati.