Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Credenziali nei File: Credentials In Files (T1552.001)
La tecnica T1552.001 — Credentials In Files descrive la ricerca e l'estrazione di credenziali memorizzate in chiaro o debolmente protette all'interno di file locali, condivisioni di rete, backup, macchine virtuali, immagini container e configurazioni cloud. Rientra nella tattica TA0006 (Credential Access) del framework MITRE ATT&CK e rappresenta uno dei metodi più efficaci e silenziosi per acquisire materiale di autenticazione, poiché sfrutta abitudini legittime di sviluppatori e amministratori — file .env, config.xml, logins.json, .aws/credentials, script PowerShell con password hardcoded.
Nella kill chain, la tecnica si colloca dopo l'accesso iniziale ed è tipicamente propedeutica a Lateral Movement, Privilege Escalation e Persistence tramite riuso delle credenziali raccolte. L'impatto è amplificato dal fatto che le credenziali estratte spesso appartengono a servizi cloud, VPN, database e sistemi di orchestrazione: una singola chiave AWS trovata in un file di configurazione può portare al compromesso dell'intero tenant.
I dati MITRE censiscono 14 gruppi APT, 18 famiglie di malware/tool (con LaZagne come denominatore comune), 2 campagne documentate (Leviathan Australian Intrusions e SharePoint ToolShell Exploitation) e 4 mitigazioni che spaziano dalla formazione utenti al restringimento dei permessi filesystem. La diffusione trasversale — Windows, Linux, macOS, container e IaaS — la rende una tecnica ambientalmente agnostica e particolarmente pericolosa in ambienti DevOps dove i segreti vengono spesso committati o lasciati in directory non protette.
Durante un'attività di red team la ricerca di credenziali nei file è spesso il passo che trasforma una foothold limitata in un compromesso esteso. Su Windows post-exploitation il tool di riferimento resta LaZagne (open source), utilizzato dai gruppi APT33, OilRig, Leafminer e RedCurl: l'invocazione tipica è laZagne.exe all per estrarre credenziali da browser, client mail, WiFi e database locali. Per ambienti dove serve stealth conviene usare moduli integrati in framework post-exploitation come Empire (open source) o PoshC2 (open source), che offrono ricerche mirate su pattern come password, passwd, secret, api_key nei file di configurazione.
Su Windows una ricerca rapida via cmd può essere condotta con findstr /si password *.txt *.xml *.ini *.config *.ps1 oppure in PowerShell con Get-ChildItem -Recurse -Include *.config,*.xml,*.ini | Select-String -Pattern "password|pwd|secret". Non dimenticare i file GPP Groups.xml in SYSVOL, storicamente ricchi di password cifrate con chiave nota. Per estrarre credenziali dai vault dei browser Firefox e Thunderbird sono utili tool come firefox_decrypt (open source), che agisce sui file logins.json e key4.db — gli stessi target di StrelaStealer.
Su Linux la ricerca classica combina grep -rEn "(password|passwd|secret|api[_-]?key|token)" /etc /home /opt /var/www 2>/dev/null con l'ispezione di file specifici come ~/.aws/credentials, ~/.ssh/id_rsa, ~/.docker/config.json e ~/.kube/config. Su host che ospitano workload cloud vale la pena controllare .bash_history e le variabili d'ambiente in /proc/*/environ. Per la parte AWS, TruffleHog (freemium) e gitleaks (open source) sono eccellenti sia contro repository che filesystem montati.
In ambienti containerizzati la superficie si sposta sui secret mount: /run/secrets/, /var/run/secrets/kubernetes.io/serviceaccount/token e le variabili d'ambiente del container. Un semplice env | grep -iE "key|token|secret" dentro un pod compromesso spesso rivela credenziali per registry privati o servizi cloud. Su macOS la ricerca si concentra su file plist in ~/Library/Preferences/, script shell in ~/Documents/ e keychain esportati; security find-generic-password può essere abusato dopo aver ottenuto la password dell'utente. Su ESXi controllare /etc/vmware/ e i file .vmx dei VM registrati, che talvolta contengono credenziali guest OS. Documenta sempre il consenso scritto e conduci l'attività in lab isolati.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.