Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Aprile! Scopri di più
Registrazione Dispositivi Fantasma: Device Registration (T1098.005)
La tecnica Device Registration consente a un avversario di registrare un dispositivo sotto il proprio controllo all'interno dell'infrastruttura identitaria della vittima — che si tratti di un sistema MFA come Duo o Okta, oppure di una piattaforma di gestione dispositivi come Microsoft Intune collegata a Entra ID. L'obiettivo è duplice e si riflette nelle due tattiche associate: ottenere persistenza (TA0003) sopravvivendo a rotazioni di credenziali e reset di sessione, e realizzare una privilege escalation (TA0004) aggirando policy di accesso condizionale che filtrano l'accesso in base al dispositivo registrato.
Il meccanismo è subdolo perché sfrutta funzionalità legittime. Molti sistemi MFA permettono il self-enrollment del primo dispositivo con sole credenziali username/password, specialmente su account dormienti mai attivati. Una volta registrato, il dispositivo dell'attaccante diventa "trusted" agli occhi della piattaforma, aprendo l'accesso a risorse sensibili, caselle di posta per spearphishing interno e dati protetti da conditional access. In scenari estremi, la registrazione massiva di dispositivi può persino generare un Service Exhaustion Flood sul tenant Entra ID.
Con 1 gruppo APT documentato, 1 tool specifico, 2 campagne reali e 1 mitigazione chiave, questa tecnica rappresenta un vettore concreto e attuale, particolarmente rilevante in ambienti cloud-first.
La simulazione di questa tecnica in laboratorio richiede un tenant Entra ID di test e un modulo PowerShell che è diventato lo standard de facto per l'offensive security su Azure AD: AADInternals (open source). Questo toolkit, sviluppato da Nestori Syynimaa, espone funzionalità interne di Entra ID che normalmente non sono accessibili tramite le API ufficiali.
Il flusso d'attacco parte dal presupposto che l'operatore abbia già compromesso credenziali valide — tipicamente tramite password spraying o phishing. Il primo passo è ottenere un token di accesso e poi registrare un dispositivo nel tenant.
Per installare e importare il modulo:
Install-Module AADInternals -Scope CurrentUser Import-Module AADInternals
Ottenere un token di accesso con le credenziali compromesse:
$token = Get-AADIntAccessTokenForAADJoin -Credentials (Get-Credential)
Procedere alla registrazione del dispositivo:
Join-AADIntDeviceToAzureAD -DeviceName "YOURDEVICE" -AccessToken $token -DeviceType "Windows" -OSVersion "10.0.19045.0"
Questo comando registra un dispositivo nel tenant Entra ID con un nome e un tipo a scelta dell'operatore. Il dispositivo risulterà "Azure AD Joined" e potrà essere usato per soddisfare policy di conditional access che richiedono un dispositivo registrato.
Per simulare lo scenario MFA su account dormiente, l'approccio varia in base alla piattaforma. Su Okta, ad esempio, un account che non ha mai completato l'enrollment MFA presenta tipicamente un self-service portal che accetta username e password come unico fattore iniziale. In laboratorio, è possibile configurare un tenant Okta Developer (gratuito) con un utente privo di fattori MFA registrati e verificare che il portale consenta l'enrollment di un nuovo dispositivo senza challenge aggiuntivi.
Un aspetto critico da testare è la catena post-registrazione: una volta che il dispositivo è trusted, verificare se consente l'accesso a risorse protette da conditional access, l'invio di email intra-organizzazione tramite Exchange Online, o la sincronizzazione della casella di posta tramite il cmdlet Set-CASMailbox. Quest'ultimo scenario replica esattamente ciò che è stato osservato in campagne reali.
Per il reporting, documentare il delta tra lo stato pre-registrazione (accesso negato da conditional access) e post-registrazione (accesso consentito), evidenziando quali policy sono state aggirate.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo