Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Account di Dominio come Arma: Valid Accounts – Domain Accounts (T1078.002)
L'abuso di credenziali di dominio rappresenta una delle tecniche più trasversali nell'arsenale offensivo: un singolo account Active Directory compromesso può aprire contemporaneamente quattro porte nella kill chain. La tecnica si inserisce infatti in Initial Access (TA0001), dove l'attaccante sfrutta credenziali valide per entrare nella rete; in Persistence (TA0003), perché un account di dominio sopravvive a riavvii e patch; in Privilege Escalation (TA0004), quando l'account compromesso possiede privilegi elevati come Domain Admin; e in Defense Evasion (TA0005), poiché le attività autenticate con credenziali legittime si confondono nel rumore di fondo del traffico AD.
I numeri confermano la popolarità della tecnica: 18 gruppi APT, 5 famiglie malware, 9 campagne documentate e 5 mitigazioni specifiche nel catalogo. Il principio è semplice ma devastante — perché forzare una porta quando puoi usare la chiave giusta? Gli attaccanti ottengono credenziali di dominio tramite credential dumping (LSASS, NTDS.dit), password spraying, phishing o riutilizzo di password, e le impiegano per muoversi lateralmente senza generare gli artefatti rumorosi tipici degli exploit. Dagli impianti petroliferi colpiti in Night Dragon ai supply chain attack di SolarWinds, questa tecnica è il tessuto connettivo che lega la compromissione iniziale all'esfiltrazione finale.
La simulazione dell'abuso di account di dominio è un pilastro di qualsiasi assessment Active Directory. L'obiettivo non è solo ottenere credenziali, ma dimostrare l'intera catena: dall'acquisizione alla movimentazione laterale con account legittimi.
Fase 1 — Enumerazione degli account privilegiati. Il primo passo è mappare chi conta nel dominio. BloodHound (open source) resta lo standard per visualizzare i percorsi di attacco AD. Dopo aver raccolto i dati con SharpHound, cerca i percorsi più brevi verso Domain Admin e gli account con sessioni attive su macchine raggiungibili. Su Linux, con NetExec (open source, successore di CrackMapExec), puoi enumerare rapidamente gli utenti di dominio:
netexec smb
Per identificare gli account con privilegi Domain Admin:
netexec smb
Fase 2 — Acquisizione delle credenziali. In un contesto dove hai già un primo foothold, il dump di LSASS tramite Mimikatz (open source) è il percorso classico:
sekurlsa::logonpasswords
Per un approccio meno rumoroso, puoi usare il task manager nativo di Windows per creare un dump del processo LSASS e analizzarlo offline. Su sistemi dove hai accesso a un Domain Controller, l'estrazione di NTDS.dit con la funzionalità Volume Shadow Copy integrata nel sistema operativo consente il recupero massivo degli hash:
ntdsutil "activate instance ntds" "ifm" "create full C:\temp\ntds_dump" quit quit
Il file risultante si analizza poi con secretsdump.py dalla suite Impacket (open source):
secretsdump.py -ntds ntds.dit -system SYSTEM LOCAL
Fase 3 — Uso delle credenziali per movimento laterale. Qui si dimostra l'impatto reale. Con Impacket puoi eseguire comandi remoti autenticandoti con hash NTLM (pass-the-hash) o con credenziali in chiaro:
psexec.py
Con NetExec puoi verificare la validità delle credenziali su più host simultaneamente e, se l'account è amministratore locale, eseguire comandi:
netexec smb
Nota lab-safe: in ambiente di test, isola il dominio e usa credenziali create ad hoc. Documenta ogni hash e credenziale raccolta per il report, dimostrando quanti sistemi erano raggiungibili con un singolo account Domain Admin.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo