Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Credenziali nel Registro: Credentials in Registry (T1552.002)
La tecnica T1552.002 — Credentials in Registry descrive l'abitudine, tanto diffusa quanto pericolosa, di conservare password, token e stringhe di autenticazione all'interno del Registro di Windows. Amministratori, script di deployment e applicazioni commerciali salvano regolarmente credenziali in chiavi come HKLM\SOFTWARE o HKCU\SOFTWARE per abilitare logon automatici, connessioni SSH o accesso a servizi cloud, spesso in chiaro o con offuscamento reversibile.
MITRE colloca la tecnica nella tattica TA0006 — Credential Access, la fase in cui l'attaccante, ottenuto un primo accesso, cerca materiale di autenticazione per lateralizzare o consolidare la persistenza. Nella Cyber Kill Chain si posiziona tra Exploitation e Actions on Objectives: non è l'ingresso, ma il moltiplicatore che trasforma un endpoint compromesso in un trampolino verso l'intero dominio.
L'ecosistema MITRE documenta 2 gruppi APT attivi (APT32 e RedCurl), 7 famiglie di software offensivo — da tool leciti come Reg e PowerSploit a malware conclamati come TrickBot, Agent Tesla, Valak, IceApple e StrelaStealer — e 3 mitigazioni ufficiali. L'impatto è particolarmente severo perché la ricerca nel Registro non richiede exploit né privilegi elevati: bastano permessi utente standard e comandi built-in come reg query per estrarre segreti utilizzabili immediatamente.
Durante un red team engagement, la ricerca di credenziali nel Registro è tra le prime azioni post-exploitation perché richiede zero dipendenze esterne e produce risultati in pochi secondi. I comandi base documentati da MITRE sono i più semplici da eseguire su una shell ottenuta:
reg query HKLM /f password /t REG_SZ /s reg query HKCU /f password /t REG_SZ /s
Il flag /f definisce la stringa da cercare, /t REG_SZ limita la ricerca ai valori stringa e /s rende ricorsiva la scansione. Varianti utili includono la sostituzione di password con pwd, cred, secret, apikey, token o stringhe localizzate. Su sistemi italiani, ad esempio, aggiungere passw intercetta anche voci in italiano.
Per un'esplorazione più chirurgica, PowerSploit (open source) fornisce moduli dedicati che coprono scenari specifici. Get-UnattendedInstallFile individua file di risposta di installazione automatizzata contenenti password amministratore; Get-Webconfig estrae connection string da IIS; Get-ApplicationHost recupera credenziali degli application pool; Get-SiteListPassword mira ai file di configurazione McAfee; Get-CachedGPPPassword cerca residui di Group Policy Preferences; Get-RegistryAutoLogon legge le chiavi di autologon in HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon, dove i valori DefaultUserName e DefaultPassword sono spesso presenti in chiaro.
LaZagne (open source), utilizzato dal gruppo RedCurl, automatizza l'estrazione da decine di applicazioni tra cui client email, browser, database e client SSH. Eseguito come laZagne.exe all, produce un dump completo delle credenziali recuperabili, comprese quelle serializzate da PuTTY in HKCU\Software\SimonTatham\PuTTY\Sessions — la stessa chiave abusata da TrickBot.
Per target Outlook, la chiave HKCU\SOFTWARE\Microsoft\Office\16.0\Outlook\Profiles contiene i profili IMAP/POP con password cifrate tramite DPAPI. Recuperare la chiave master DPAPI dell'utente (in %APPDATA%\Microsoft\Protect) consente la decifratura offline con mimikatz (open source) tramite il modulo dpapi::masterkey.
In un lab controllato è utile testare anche configurazioni comuni di software terze parti: WinSCP salva sessioni in HKCU\Software\Martin Prikryl\WinSCP 2, VNC storicamente memorizza password in HKCU\Software\ORL\WinVNC3 o HKLM\SOFTWARE\RealVNC. Documentare ogni chiave trovata con screenshot e output reg export rende il report riproducibile e dimostra l'impatto business della cattiva igiene credenziale.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.