Exploitation for Credential Access: Exploitation for Credential Access (T1212)

Quando un avversario sfrutta un bug in un servizio di autenticazione non cerca esecuzione di codice fine a sé stessa: vuole credenziali. La tecnica T1212 copre uno spettro ampio di scenari in cui una vulnerabilità software — nel kernel, in un servizio di rete, in un identity provider cloud — viene trasformata in un vettore per ottenere ticket Kerberos forgiati, token OAuth illegittimi o hash di password altrimenti inaccessibili.

Collocata nella fase Credential Access (TA0006), questa tecnica rappresenta il punto in cui l'exploitation tradizionale incontra il furto di identità. L'esempio storico più noto è MS14-068, che permetteva a un utente di dominio standard di forgiare un Privilege Attribute Certificate (PAC) Kerberos e ottenere diritti di Domain Admin. Ma il panorama si è allargato: replay attack su protocolli che non validano correttamente le richieste di autenticazione, exploit di infrastrutture cloud pubbliche per la generazione non autorizzata di token, e compromissione di database interni contenenti credenziali cifrate.

I numeri del framework confermano la rilevanza: 1 gruppo APT documentato, 1 campagna tracciata, 5 mitigazioni raccomandate e una strategia di detection articolata su 4 analitiche distinte per Windows, Linux, macOS e Identity Provider cloud. L'impatto può estendersi alla Privilege Escalation, poiché credenziali ottenute tramite exploit spesso appartengono ad account privilegiati.

L'obiettivo in laboratorio è dimostrare come una singola vulnerabilità nel sottosistema di autenticazione possa restituire credenziali utilizzabili per lateral movement. Il percorso classico parte da MS14-068 e si estende a scenari VMware e replay attack.

Forgiatura Kerberos con MS14-068. Il modulo ms14-068 di Impacket (open source) è il punto di partenza. Servono un account di dominio valido, il suo SID e un Domain Controller non patchato. Il comando:

goldenPac.py domain.local/user:password@dc01.domain.local

Questo script di Impacket sfrutta MS14-068 per forgiare un PAC e ottenere una shell con privilegi elevati sul Domain Controller. In alternativa, per generare solo il ticket forgiato senza tentare l'accesso diretto:

python ms14-068.py -u user@domain.local -p password -s S-1-5-21-...-1104 -d dc01.domain.local

Il ticket .ccache prodotto va iniettato nella sessione con:

export KRB5CCNAME=/path/to/ticket.ccache

A quel punto, tool come psexec.py o smbexec.py di Impacket accettano l'autenticazione Kerberos senza richiedere nuovamente la password.

Estrazione credenziali da vCenter (CVE-2022-22948). Per simulare lo scenario UNC3886, serve un laboratorio VMware vCenter. La vulnerabilità riguardava permessi eccessivamente permissivi sul file di configurazione del database PostgreSQL interno. In un esercizio controllato, si verifica l'accesso al file pg_hba.conf e si interroga il database con:

psql -h 127.0.0.1 -U vc -d VCDB -c "SELECT user_name, password FROM vpx_credentials;"

Le credenziali estratte sono cifrate con una chiave simmetrica presente nel file system di vCenter. Mimikatz (open source) o script Python personalizzati possono decifrare i blob una volta ottenuta la chiave.

Replay attack su protocolli di rete. Per dimostrare un replay attack su NTLM, Responder (open source) cattura l'hash durante un tentativo di autenticazione, mentre ntlmrelayx.py di Impacket lo rilancia verso un target diverso:

ntlmrelayx.py -t smb://192.168.1.50 -smb2support

In parallelo, Responder intercetta il traffico sulla rete di laboratorio. L'hash catturato viene automaticamente rilanciato dal relay verso il server target.

Per scenari cloud, strumenti come ROADtools (open source) permettono di analizzare token Azure AD e verificare configurazioni che consentirebbero il refresh non autorizzato di token scaduti. L'intera catena — exploit, cattura credenziale, riutilizzo — va documentata per dimostrare al cliente l'impatto reale della vulnerabilità.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo