Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Certificati Digitali come Arma: Digital Certificates (T1588.004)
Un certificato SSL/TLS è progettato per generare fiducia: contiene l'identità del proprietario, la chiave pubblica e la firma di un'autorità che ne ha verificato la legittimità. Se un avversario riesce ad ottenere un certificato valido — acquistandolo, rubandolo o generandolo tramite CA gratuite — può sfruttare quella fiducia per scopi offensivi. Il traffico C2 cifrato con un certificato legittimo diventa opaco ai controlli perimetrali, e un certificato inserito nel trust store di un endpoint abilita scenari di Adversary-in-the-Middle.
La tecnica appartiene alla tattica TA0042 — Resource Development, la fase in cui l'attaccante costruisce l'arsenale prima di colpire. Non si tratta di un'azione che avviene dentro la rete della vittima: il certificato viene procurato esternamente, poi installato sull'infrastruttura C2 o incorporato in malware firmato. Questo rende la detection particolarmente complessa, perché l'evento generatore si verifica al di fuori del perimetro difensivo dell'organizzazione.
I dati parlano chiaro: 7 gruppi APT e 3 campagne documentate impiegano questa tecnica, con approcci che vanno dal semplice certificato Let's Encrypt gratuito fino alla certificate impersonation — la creazione di un certificato firmato da una CA diversa per lo stesso dominio già in uso dalla vittima. La mitigazione diretta è limitata; la difesa si gioca quasi interamente sulla capacità di monitorare l'ecosistema certificati dall'esterno e di correlare anomalie quando l'infrastruttura costruita entra in contatto con la rete target.
In un esercizio red team, l'acquisizione di certificati digitali è una delle fasi di Resource Development più realistiche da simulare. L'obiettivo è dotare l'infrastruttura C2 di un certificato valido che superi le ispezioni TLS e non generi warning nei browser o nei proxy della vittima.
Il primo scenario replica la catena usata da Silent Librarian: ottenere un certificato gratuito tramite Let's Encrypt per un dominio di phishing. Una volta registrato un dominio lookalike, il tool Certbot (open source) permette di generare un certificato DV in pochi secondi:
sudo certbot certonly --standalone -d login-portal-target.com
Il certificato viene emesso senza alcuna verifica dell'identità del richiedente — basta dimostrare il controllo del dominio. Questo è esattamente il meccanismo sfruttato dagli attori per creare pagine di credential harvesting con il lucchetto verde nel browser.
Per uno scenario C2 più sofisticato, come quelli adottati da Lazarus Group e Mustang Panda, si può integrare il certificato direttamente in un listener Cobalt Strike (a pagamento) o nel framework open source Sliver (open source). In Sliver, la generazione di un listener HTTPS con certificato personalizzato avviene tramite:
https -c /path/to/cert.pem -k /path/to/key.pem -l 443
Per simulare la tecnica di certificate impersonation adottata da Sea Turtle — ovvero richiedere un certificato firmato da una CA diversa per un dominio che la vittima usa con un'altra CA — è necessario disporre del controllo DNS del dominio target. In ambito lab, questo si simula con un dominio sotto il proprio controllo: si ottiene un primo certificato da Let's Encrypt, poi un secondo da un'altra CA gratuita come ZeroSSL (freemium), dimostrando come un medesimo dominio possa presentare certificati emessi da soggetti diversi.
Infine, per replicare lo scenario di UNC3886 — estrazione di certificati TLS legittimi da dispositivi compromessi — è possibile esercitarsi su un FortiGate in laboratorio. Una volta ottenuto accesso alla CLI del dispositivo, il certificato si esporta con:
execute vpn certificate local export tftp
Il certificato e la chiave privata estratti vengono poi riutilizzati per firmare payload o cifrare canali C2, rendendo il traffico malevolo indistinguibile da quello legittimo dell'organizzazione.
Un buon esercizio finale consiste nell'analizzare i propri certificati con OpenSSL (open source) per verificare la coerenza delle informazioni di ownership:
openssl x509 -in cert.pem -text -noout
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo