Installazione Certificato Root: Install Root Certificate (T1553.004)
La tecnica T1553.004 - Install Root Certificate appartiene alla tattica TA0005 (Defense Evasion) e descrive l'abuso della fiducia crittografica alla radice delle comunicazioni TLS. Un attaccante che riesce a installare un certificato radice arbitrario nel trust store di un sistema compromesso ottiene un potere significativo: può firmare certificati per qualsiasi dominio senza generare avvisi nel browser, può eseguire attività di Adversary-in-the-Middle su traffico HTTPS verso portali bancari o servizi cloud, e in alcuni casi può firmare codice malevolo che aggira strumenti di validazione come Sysinternals o antivirus basati su reputazione della firma.
L'impatto è particolarmente insidioso perché il certificato malevolo diventa parte del trust anchor del sistema operativo: ogni catena che discende da esso viene considerata legittima. La tecnica si colloca nella fase post-exploitation della kill chain, tipicamente dopo l'ottenimento di privilegi amministrativi, e supporta obiettivi successivi di credential access, C2 encryption e persistence.
I dati MITRE documentano 4 software che implementano questa capacità (Hikit, RTM, certutil, Dok) su piattaforme Windows e macOS, e 2 mitigazioni principali basate su hardening di configurazione OS e software. La detection è formalizzata nella strategia DET0056 con tre analitiche multi-piattaforma che coprono modifiche al registro Windows, syscall Linux e comandi macOS relativi al keychain di sistema.
Un red teamer che simula T1553.004 in laboratorio deve prima ottenere privilegi elevati sul target, poiché tutte le operazioni sul trust store di sistema richiedono contesto amministrativo. La simulazione tipica combina una fase di installazione del certificato con una successiva intercettazione TLS tramite proxy controllato.
Su Windows, l'utility nativa certutil.exe è lo strumento più diretto e documentato nel software S0160 dei dati MITRE. Il comando tipico osservato è:
certutil -addstore -f -user ROOT percorso\certificato.der
Per installazione a livello sistema (richiede admin) si usa lo store ROOT senza flag -user. In alternativa, PowerShell offre il cmdlet Import-Certificate (built-in, open source come parte di Windows) che accetta parametri -FilePath e -CertStoreLocation Cert:\LocalMachine\Root. Entrambi gli approcci scrivono nella chiave di registro HKLM\SOFTWARE\Microsoft\SystemCertificates\ROOT\Certificates.
Su macOS, il pattern documentato in S0281 (Dok) e nel malware Ay MaMi utilizza il binario nativo security:
sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain /path/to/cert.crt
Il flag -d aggiunge al domain admin (system-wide), -r trustRoot imposta il policy di trust come root CA, -k specifica il keychain di destinazione. Per un target user-level si può omettere -d e puntare a ~/Library/Keychains/login.keychain-db.
Su Linux la procedura varia per distribuzione: su Debian/Ubuntu si copia il certificato in /usr/local/share/ca-certificates/ e si esegue update-ca-certificates; su RHEL/CentOS si usa /etc/pki/ca-trust/source/anchors/ seguito da update-ca-trust extract.
Per la fase di intercettazione, tool open source come mitmproxy (open source) e Burp Suite Community Edition (freemium, Professional a pagamento) permettono di generare la CA da installare sul target e proxare traffico HTTPS. Il flusso classico prevede: generazione CA con mitmproxy --set confdir=~/.mitmproxy (che produce mitmproxy-ca-cert.pem), trasferimento sul target, installazione con i comandi sopra, configurazione del proxy (via netsh winhttp set proxy su Windows o variabili http_proxy/https_proxy su Unix).
Per simulare il certificate cloning descritto nella tecnica, tool come CarbonCopy (open source, disponibile su GitHub) permettono di duplicare metadata di un certificato legittimo per firmare payload che possano passare controlli superficiali di reputazione. In laboratorio è utile testare la detection con Atomic Red Team (open source), che include test specifici per T1553.004 con payload sicuri.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo