Backdoor nell'Identità Ibrida: Modify Authentication Process – Hybrid Identity (T1556.007)

L'identità ibrida è il tessuto connettivo tra Active Directory on-premises e i tenant cloud come Microsoft Entra ID (ex Azure AD). La tecnica T1556.007 prende di mira proprio questo tessuto: l'avversario modifica, patcha o installa backdoor nei processi di autenticazione che collegano i due mondi, ottenendo in un colpo solo accesso persistente, esfiltrazione di credenziali e evasione dei controlli di sicurezza.

La tecnica si inserisce in tre tattiche distinte della kill chain. In Credential Access (TA0006), perché la compromissione del flusso di autenticazione consente di intercettare password in chiaro o hash durante il transito tra on-premises e cloud. In Defense Evasion (TA0005), perché l'attaccante opera all'interno di processi legittimi e firmati, rendendo la propria attività quasi indistinguibile dal funzionamento normale dell'infrastruttura. In Persistence (TA0003), perché una backdoor nel PTA agent o in AD FS sopravvive a reset di password, rotazione di token e persino a cambi di policy MFA.

I vettori principali sono tre: l'iniezione di DLL malevole nel servizio AzureADConnectAuthenticationAgentService (usato dal Pass-Through Authentication), la manipolazione del file di configurazione di AD FS per caricare librerie che generano token arbitrari, e la registrazione di nuovi PTA agent direttamente dal portale cloud dopo la compromissione di un account Global Administrator. Il risultato è devastante: autenticazione valida per qualsiasi utente, bypass completo di MFA e accesso a tutte le risorse federate — Microsoft 365, AWS, GCP inclusi.

La simulazione di questa tecnica richiede un ambiente lab con Active Directory, Entra ID Connect configurato in modalità PTA o AD FS, e un tenant Entra ID di test. Non eseguire mai queste procedure su infrastrutture di produzione senza autorizzazione scritta.

Scenario 1 — Backdoor PTA con AADInternals

Il tool AADInternals (open source, modulo PowerShell disponibile su PowerShell Gallery) è lo strumento di riferimento per questo scenario. Una volta ottenuto accesso amministrativo al server che ospita il PTA agent, la catena d'attacco prevede l'installazione del modulo e l'iniezione della DLL spia chiamata PTASpy. Da una sessione PowerShell elevata sul server PTA:

Install-Module AADInternals -Scope CurrentUser

Import-Module AADInternals

Install-AADIntPTASpy

Questo comando inietta la DLL PTASpy nel processo del PTA agent. Da quel momento, ogni tentativo di autenticazione verso Entra ID che transita per quel server viene autorizzato automaticamente — indipendentemente dalla password fornita — e le credenziali reali vengono registrate in chiaro. Per recuperare le credenziali raccolte:

Get-AADIntPTASpyLog

L'output mostrerà username e password di ogni utente che ha autenticato tramite quel PTA agent. In un red team engagement, questo dimostra come un singolo server compromesso possa diventare un proxy di raccolta credenziali per l'intero tenant.

Scenario 2 — Manipolazione AD FS

Se l'ambiente utilizza AD FS, il vettore alternativo prevede la modifica del file di configurazione Microsoft.IdentityServer.Servicehost.exe.config per caricare una DLL personalizzata nel processo del servizio. In laboratorio, si può creare una DLL .NET che implementa l'interfaccia di claims transformation e genera token SAML validi per qualsiasi UPN. Il file di configurazione si trova tipicamente sotto il percorso di installazione di AD FS e va modificato per aggiungere un riferimento assembly alla DLL malevola.

Scenario 3 — Registrazione PTA agent dal cloud

Con credenziali Global Administrator compromesse, è possibile registrare un nuovo PTA agent dal portale Entra ID. Questo scenario è particolarmente insidioso perché non richiede alcun accesso on-premises: l'attaccante installa un PTA agent su una macchina sotto il proprio controllo e lo registra nel tenant, ottenendo lo stesso risultato dei due scenari precedenti.

Per la verifica difensiva, al termine del test controllate la lista dei PTA agent registrati dal portale Entra ID e verificate l'integrità delle DLL nella directory di installazione di AD FS confrontando le firme digitali con quelle Microsoft.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo