Enumerazione Gruppi di Dominio: Domain Groups Discovery (T1069.002)

In un red team engagement, l'enumerazione dei gruppi di dominio è tipicamente la seconda o terza azione dopo aver ottenuto una shell su un host domain-joined. Su Windows il comando canonico è:

net group /domain

seguito da query mirate sui gruppi ad alto privilegio:

net group "Domain Admins" /domain net group "Enterprise Admins" /domain net group "Exchange Trusted Subsystem" /domain

Questi sono esattamente i pattern usati da OilRig, Turla, FIN7, Volt Typhoon, ToddyCat e Medusa Group secondo la documentazione MITRE. Il vantaggio è la totale assenza di dipendenze: net.exe è firmato Microsoft e presente su ogni sistema.

Quando si vuole ridurre la rumorosità o aggirare regole basate su net.exe, si passa a strumenti LDAP nativi. dsquery (open source, incluso in RSAT) consente query granulari:

dsquery group -name "Domain Admins" | dsget group -members -expand

Per red team più maturi, la scelta cade su PowerView (open source, parte di PowerSploit) con cmdlet come Get-NetGroup e Get-NetGroupMember, oppure su AdFind (gratuito, binario di Joeware) — lo stesso utilizzato da Mustang Panda, Egregor e da APT29 nella SolarWinds Compromise:

adfind -f "(objectcategory=group)" -dn

BloodHound con l'ingestor SharpHound (open source) rimane lo standard per la visualizzazione grafica delle relazioni di gruppo, mentre ADRecon.ps1 (open source) e AD Explorer (gratuito, Sysinternals) — impiegati da Scattered Spider e LAPSUS$ — offrono snapshot completi dell'AD da analizzare offline.

Su Linux domain-joined (SSSD o realmd) il comando di riferimento è ldapsearch dal pacchetto ldap-utils (open source):

ldapsearch -x -H ldap://dc.corp.local -D "user@corp.local" -W -b "dc=corp,dc=local" "(objectClass=group)" cn member

Su macOS legato a un dominio AD tramite plugin Directory Utility si usa:

dscacheutil -q group dscl "/Active Directory/CORP/All Domains" -read /Groups/Domain\ Admins

Per C2 framework, Cobalt Strike (a pagamento) espone il comando net group via beacon, CrackMapExec (open source, oggi mantenuto come NetExec) offre il modulo --groups, SILENTTRINITY (open source) sfrutta System.DirectoryServices, e Brute Ratel C4 (a pagamento) integra net group nativamente. In laboratorio è buona norma testare su un range di rete isolato con almeno un DC e due workstation joined per osservare la telemetria generata.

La detection di T1069.002 è concettualmente semplice ma operativamente insidiosa: i comandi coinvolti sono legittimi e usati quotidianamente da amministratori, script di inventario e agent di gestione. La chiave è la correlazione comportamentale, non la firma singola.

Su Windows le sorgenti primarie sono WinEventLog:Security con EventCode 4688 (Process Creation, che richiede l'audit di command line abilitato via policy) e WinEventLog:PowerShell con EventCode 4104 (Script Block Logging). L'analista deve costruire query che intercettino esecuzioni di net.exe, net1.exe, dsquery.exe, nltest.exe con argomenti come group, "domain admins", /domain. Sysmon Event ID 1 (open source, Microsoft) offre visibilità granulare su parent-child, essenziale per distinguere un amministratore che apre cmd.exe interattivamente da un processo net.exe generato da winword.exe, rundll32.exe o powershell.exe non interattivo — pattern tipico di Cobalt Strike beacon o Latrodectus, che invoca esattamente cmd.exe /c net group "Domain Admins" /domain.

Le indicazioni MITRE per AN1025 suggeriscono di tarare una finestra temporale di 5-10 minuti per correlare enumerazioni concatenate (gruppi + utenti + trust) e di focalizzare l'attenzione su account non-admin o service account che eseguono discovery — anomalia forte, perché un service account raramente ha ragione di interrogare Domain Admins.

Sul fronte LDAP, la telemetria del Domain Controller è cruciale: abilitare Directory Service Access auditing (EventCode 4662) e i Directory Services Field Engineering log permette di catturare query LDAP con filtri (objectCategory=group). Tool come BloodHound e AdFind generano volumi anomali di query LDAP in pochi secondi, un pattern rilevabile con soglie su LDAP search rate per singolo client.

Su Linux la sorgente è auditd:SYSCALL con regole su execve per ldapsearch, integrata da linux:syslog e telemetria NSM (Zeek ldap.log, open source) per traffico LDAP/389 e LDAPS/636 verso il DC da host che non dovrebbero mai interrogare AD. Su macOS macos:unifiedlog cattura dscacheutil e dscl con predicato process == "dscacheutil".

Dal punto di vista D3FEND, i controlli mappati includono Process Lineage Analysis (D3-PLA) per intercettare net.exe con parent anomalo, System Call Analysis per LDAP query rate, e Host-based Firewall per limitare traffico LDAP outbound ai soli host autorizzati. I falsi positivi principali derivano da tool di asset inventory (Lansweeper, PDQ, SCCM), da script di logon amministrativi e da soluzioni EDR che eseguono discovery interne — vanno mappati in una allow-list per host e user context, non per comando.

L'analisi forense di T1069.002 su un host compromesso si concentra su tre categorie di artefatti: evidence di esecuzione, command line ricostruita e contesto di sessione.

Su Windows, l'artefatto principale è la sequenza generata dall'esecuzione di net.exe, net1.exe (spawnato automaticamente da net.exe), dsquery.exe o powershell.exe. Le fonti chiave sono:

• Prefetch in C:\Windows\Prefetch* (es. NET.EXE-.pf, DSQUERY.EXE-.pf*) che conserva timestamp di prima e ultima esecuzione, numero di run count e file caricati. Utile per stabilire se un binario è stato eseguito su un sistema dove normalmente non viene invocato.
• Amcache.hve in *C:\Windows\AppCompat\Programs* per hash SHA1 e timestamp di prima esecuzione.
• Security.evtx con EventCode 4688 (se command-line auditing attivo) o Sysmon Operational log con Event ID 1, che preservano l'intera command line — decisivo per distinguere net group /domain da net group "Domain Admins" /domain.
• PowerShell/Operational.evtx con Event ID 4104 per script block, che cattura cmdlet come Get-ADGroup, Get-ADGroupMember, Get-NetGroup usati da Scattered Spider e da varianti di PowerView.
• ShimCache (SYSTEM hive) e UserAssist (NTUSER.DAT) per evidenze aggiuntive di esecuzione binaria.
• ConsoleHost_history.txt in *%APPDATA%\Microsoft\Windows\PowerShell\PSReadLine* che spesso conserva l'intera history PowerShell dell'utente compromesso — miniera d'oro nelle intrusioni INC Ransom e LAPSUS$.

Per campagne che usano AdFind (Mustang Panda, Egregor, APT29 in SolarWinds Compromise) l'artefatto distintivo è la presenza del binario adfind.exe — spesso rinominato — in directory temporanee come C:\Users\Public*, C:\PerfLogs* o %TEMP%, accompagnato da file di output .txt contenenti liste di gruppi. La cronologia file system ($MFT, $LogFile, USN Journal) permette di ricostruire il timing di drop, esecuzione e cancellazione.

Sul Domain Controller, i log di Directory Service e Security (EventCode 4662 con GUID di oggetti gruppo, 5145 per accessi SMB a \\IPC$*) consentono di stabilire quali host hanno interrogato l'AD e con quale account. Le connessioni LDAP anomale possono essere correlate con logon events (4624/4625) per ricostruire la sessione attaccante.

Su Linux gli artefatti risiedono in /var/log/audit/audit.log (regole auditd su execve), ~/.bash_history, ~/.zsh_history e nei log SSSD in /var/log/sssd/. Su macOS unified log interrogabile con log show --predicate 'process == "dscacheutil"' --last 7d espone le enumerazioni recenti.

La timeline forense deve incrociare il momento dell'enumerazione con eventi successivi di credential access (LSASS dump, Kerberoasting) e movimento laterale, tipicamente entro pochi minuti — pattern osservato nella campagna C0015 dove net group "domain admins" /dom precedeva di poco il deployment di Conti.

L'enumerazione dei gruppi di dominio è forse la tecnica Discovery più democratica del panorama threat, adottata trasversalmente da attori state-sponsored, ransomware crew e broker di accesso. I dati MITRE identificano 13 gruppi APT con TTP documentate specifiche per T1069.002.

APT29 (Russia, SVR) rappresenta il caso studio più rilevante attraverso la SolarWinds Compromise (C0024, 2019-2021), dove l'uso di AdFind per enumerare gruppi di dominio faceva parte di una catena di ricognizione estremamente cauta, distribuita nel tempo per eludere detection comportamentale. Il pattern APT29 privilegia binari legittimi di terze parti a comandi built-in Microsoft, riducendo la firma comportamentale.

Turla (Russia, FSB) usa la forma diretta net group "Domain Admins" /domain, coerente con il suo approccio operativo che alterna raffinatezza custom (rootkit, satellite C2) a comandi banali quando la banalità è sufficiente. Volt Typhoon (Cina, targeting critical infrastructure USA) esegue net group come parte della sua strategia living-off-the-land pura, evitando qualsiasi malware droppato e affidandosi esclusivamente a LOLBins — pattern che rende la detection basata su IoC praticamente inutile.

OilRig (Iran, APT34) mostra una firma distintiva: enumera non solo Domain Admins ma anche Exchange Trusted Subsystem, chiaro indicatore di intento verso compromissione Exchange e persistenza via mail flow. La stessa tripla enumerazione compare nel malware Helminth e POWRUNER, entrambi parte dell'arsenale OilRig, dimostrando riuso codice tra tool custom.

Mustang Panda (Cina, targeting ONG e governi asiatici) e ToddyCat (Cina, targeting APAC ed Europa) condividono l'uso di net group "domain admins" /dom — la variante /dom al posto di /domain è una firma comportamentale utile per attribution.

Sul fronte cybercrime, FIN7, Scattered Spider, LAPSUS$, INC Ransom e Medusa Group convergono sugli stessi comandi. Scattered Spider si distingue per un arsenale eclettico (ADExplorer, ADRecon.ps1, Get-ADUser) coerente con il profilo di attori giovani, English-speaking, che assemblano tool open source piuttosto che sviluppare malware proprietario. LAPSUS$ usa AD Explorer dopo aver ottenuto accesso via social engineering — pattern che espone come la ricognizione AD sia il collo di bottiglia comune tra intrusioni sofisticate e opportunistiche.

A livello di software, Cobalt Strike, Brute Ratel C4, CrackMapExec/NetExec, SILENTTRINITY, BloodHound e AdFind costituiscono il toolset di consenso: framework offensivi commerciali e strumenti open source che praticamente ogni operatore integra. La campagna C0015 (ransomware Conti, 2021) e la SolarWinds Compromise dimostrano che il comando net group rimane invariato tra intrusioni distanti anni luce per sofisticazione — un promemoria che la detection deve concentrarsi su contesto e correlazione, non su stringhe.

MITRE ATT&CK T1069.002 (Domain Groups), tattica TA0007 Discovery. Gruppi citati: G0004, G0010, G0035, G0046, G0049, G0100, G0129, G1004, G1015, G1017, G1022, G1032, G1051. Software: S0039, S0105, S0154, S0165, S0170, S0184, S0236, S0417, S0488, S0496, S0514, S0516, S0521, S0552, S0554, S0692, S1063, S1068, S1081, S1138, S1160. Campagne C0015 e C0024 (SolarWinds Compromise). Detection MITRE DET0360 (AN1025, AN1026, AN1027) e mapping MITRE D3FEND. Integrata conoscenza professionale su tool di detection, artefatti forensi e sintassi comandi.