Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Creazione Account Locale: Local Account (T1136.001)
La tecnica T1136.001 - Local Account rientra nella tattica TA0003 (Persistence) del framework MITRE ATT&CK e descrive la creazione, da parte di un attaccante, di account utente locali sul sistema compromesso per garantire un accesso stabile e credenziato nel tempo. A differenza di webshell o impianti binari, un account locale valido rappresenta una forma di persistenza low-noise: sopravvive a riavvii, patch e persino a rotazioni di credenziali applicative, e consente il rientro attraverso canali legittimi come RDP, SSH, SMB o console amministrative.
L'operazione richiede privilegi elevati ma sfrutta strumenti nativi già presenti sul sistema — net user /add su Windows, useradd su Linux, dscl -create su macOS, esxcli system account add su hypervisor VMware, il comando username sui dispositivi di rete e kubectl nei cluster Kubernetes — collocandosi pienamente nel paradigma Living-off-the-Land.
I dati MITRE censiscono 14 gruppi APT e 15 famiglie di malware che adottano questa tecnica, tra cui operatori state-sponsored (APT3, APT39, APT41, Kimsuky, Leafminer, Dragonfly, APT5, Daggerfly) e sindacati criminali (Wizard Spider, Indrik Spider, FIN13, TeamTNT, Fox Kitten, Magic Hound). L'impatto è duplice: da un lato la persistenza credenziata riduce la necessità di RAT rumorosi, dall'altro rende molto più difficile il contenimento perché la bonifica richiede identificazione puntuale dell'account fraudolento e revoca coordinata.
In un ingaggio red team la creazione di un account locale è utile per stabilire un canale di rientro robusto dopo aver ottenuto privilegi amministrativi. Su Windows, il pattern classico osservato in campagne reali (APT3 con support_388945a0, Magic Hound con help e DefaultAccount, DarkGate con SafeMode) si replica in laboratorio con:
net user pentest_svc P@ssw0rd!2024 /add
net localgroup Administrators pentest_svc /add
Per ridurre la telemetria conviene evitare net.exe diretto e appoggiarsi a WMI o alle API native. In PowerShell il cmdlet New-LocalUser seguito da Add-LocalGroupMember -Group Administrators -Member pentest_svc offre lo stesso risultato passando però per wsmprovhost.exe o direttamente per le API SAM, evitando la firma di net.exe. Framework come Impacket (open source) permettono di creare account da remoto via SMB/RPC senza toccare la shell locale, mentre Empire (open source) e PowerView (open source) automatizzano l'operazione dopo l'ottenimento di un ticket Kerberos valido.
Su Linux, la sequenza tipica di gruppi come TeamTNT o dell'impianto HiddenWasp è:
useradd -m -s /bin/bash -G sudo backup_svc
echo 'backup_svc:P@ssw0rd!' | chpasswd
Un'alternativa più stealth consiste nel modificare direttamente /etc/passwd e /etc/shadow con un hash generato via openssl passwd -6, bypassando così i wrapper che innescano log auditd sul binario useradd. Hildegard ha usato questa via creando l'utente monerodaemon.
Su macOS l'equivalente è:
sudo dscl . -create /Users/svc_backup
sudo dscl . -create /Users/svc_backup UserShell /bin/bash
sudo dscl . -passwd /Users/svc_backup P@ssw0rd!
seguito dall'aggiunta al gruppo admin via dseditgroup. Calisto ha adottato esattamente questo approccio.
Su ESXi il comando esxcli system account add -i pentest_svc -p P@ssw0rd! -c P@ssw0rd! crea un account che, elevato a ruolo Admin via esxcli system permission set, garantisce controllo completo dell'hypervisor. Nei container la modifica di /etc/passwd dentro il layer scrivibile è banale ma effimera: per persistenza reale conviene alterare l'immagine base o creare un ServiceAccount Kubernetes via kubectl create serviceaccount con relativo ClusterRoleBinding.
In ambiente di laboratorio strumenti come Atomic Red Team (open source) forniscono test T1136.001 pronti per validare la copertura difensiva senza scrivere payload custom.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.