Enumerazione Gruppi Locali: Local Groups (T1069.001)

Durante un ingaggio red team la scoperta dei gruppi locali è un passaggio quasi obbligato subito dopo aver ottenuto una shell su un endpoint. Su Windows il comando canonico è net localgroup, che elenca tutti i gruppi locali, seguito da net localgroup administrators per estrarre i membri del gruppo amministrativo. Varianti utili includono net localgroup "Remote Desktop Users" per identificare account con accesso RDP e net localgroup "Backup Operators", gruppo spesso trascurato ma con privilegi sufficienti a leggere file protetti.

PowerShell offre alternative meno rumorose sui sistemi moderni. Il cmdlet Get-LocalGroup restituisce l'elenco completo, mentre Get-LocalGroupMember -Group Administrators enumera i membri senza invocare net.exe, spesso soggetto a monitoraggio più stretto. Su sistemi con AMSI attivo conviene valutare l'uso diretto delle API Win32 tramite NetLocalGroupEnum e NetLocalGroupGetMembers per bypassare il logging di command line.

Su Linux la triade classica comprende groups, id e la lettura diretta di /etc/group. Per l'utente corrente basta id, mentre getent group fornisce anche i gruppi provenienti da NSS (LDAP, SSSD). Per identificare account con privilegi sudo si controlla il gruppo wheel o sudo con getent group sudo. Su macOS lo standard è dscl . -list /Groups seguito da dscl . -read /Groups/admin GroupMembership per verificare chi appartiene al gruppo admin locale.

Sul fronte offensivo diversi framework automatizzano il processo. Cobalt Strike (a pagamento) integra il comando net nella propria beacon shell e permette esecuzione tramite execute-assembly di tool .NET come SharpView (open source). PoshC2 (open source) espone il modulo Get-LocAdm dedicato all'enumerazione dei gruppi locali. SILENTTRINITY (open source) offre moduli equivalenti basati su .NET/IronPython, mentre BloodHound (open source) con il collector SharpHound raccoglie appartenenze ai gruppi locali su larga scala per mappare percorsi di attacco.

In ottica lab-safe è utile combinare l'enumerazione con la verifica del token corrente tramite whoami /groups e whoami /priv, così da correlare l'appartenenza ai gruppi con i privilegi effettivi del processo. Su ESXi, sebbene fuori scope diretto, si può ottenere informazione equivalente leggendo /etc/group via SSH. Documentare il timing esatto dei comandi eseguiti aiuta poi il team difensivo a calibrare le regole di detection senza inseguire falsi positivi generati da normali script amministrativi.

La detection di T1069.001 è un esercizio di calibrazione: i comandi coinvolti sono legittimi e vengono eseguiti quotidianamente da amministratori, script di inventario e agent di gestione. Il segnale utile non è il comando in sé ma il contesto comportamentale che lo circonda.

Su Windows la fonte primaria è WinEventLog:Security con EventCode 4688 (process creation) arricchito da command line, integrato dove possibile con Sysmon EventCode 1. Le regole efficaci intercettano l'esecuzione di net.exe o net1.exe con argomenti che contengono localgroup, ma il vero valore emerge correlando il processo genitore. Se il parent è cmd.exe o powershell.exe discendenti da un processo Office, da wmiprvse.exe o da servizi anomali, la probabilità di attività malevola sale drasticamente. Analogamente vanno monitorate le invocazioni di Get-LocalGroup e Get-LocalGroupMember tramite EventCode 4104 (PowerShell Script Block Logging).

Un indicatore particolarmente utile è la sequenza temporale: gli attaccanti raramente si limitano a un singolo comando. La firma tipica prevede whoami, net user, net localgroup administrators, net group "Domain Admins" /domain eseguiti nell'arco di pochi minuti dallo stesso processo. Una regola SIEM che conteggia più di tre comandi di discovery in una finestra di cinque minuti dallo stesso parent produce meno rumore di alert su singolo comando.

Su Linux la sorgente di riferimento è auditd:SYSCALL con regole che tracciano execve di groups, getent, id e letture di /etc/group. Il tuning richiede di escludere pipeline note (awk, cut, grep invocati da script di inventario approvati) e concentrarsi su lineage sospetta: shell interattiva discendente da servizio esposto, esecuzione da directory temporanee come /tmp o /dev/shm, oppure processi orfani. Su macOS il log di riferimento è macos:unifiedlog filtrato su invocazioni di dscl con path /Groups, distinguendo tra sessioni interattive utente e processi background.

Dal punto di vista D3FEND le contromisure ricadono nella famiglia Process Analysis e User Behavior Analysis. Utile l'implementazione di baseline per account di servizio: se un account che normalmente non esegue net localgroup lo fa improvvisamente, l'anomalia è significativa anche senza altri indicatori.

I falsi positivi principali provengono da tool di configuration management (SCCM, Ansible, Puppet), scanner di vulnerability assessment e script di audit interno. La strategia più efficace è mantenere una allowlist di account di servizio noti e host di gestione, applicando le regole di detection solo al di fuori di quel perimetro.

Sul piano forense l'enumerazione dei gruppi locali lascia tracce effimere ma significative, distribuite su più artefatti che vanno correlati nella timeline dell'incidente.

Su Windows il primo punto di raccolta è il Security Event Log con eventi 4688 di creazione processo, dove il campo CommandLine (se Audit Process Creation è configurato con inclusione delle command line via policy) conserva l'esatta invocazione di net localgroup. In parallelo il log Microsoft-Windows-PowerShell/Operational contiene i blocchi di script eseguiti (evento 4104), fondamentale per intercettare l'uso di Get-LocalGroupMember e cmdlet equivalenti. Anche in assenza di logging esplicito rimangono tracce nel Prefetch (C:\Windows\Prefetch\NET.EXE-.pf*), nelle AmCache e ShimCache che registrano l'esecuzione dei binari, e nei file UserAssist del registro se il comando è stato lanciato da shell interattiva.

La ConsoleHost_history.txt di PowerShell, salvata nel profilo utente sotto AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine, spesso contiene la sequenza esatta di comandi digitati, incluso l'enumerazione dei gruppi. Nei casi di attaccanti che usano net localgroup administrator >> %temp%\download (pattern osservato con admin@338) l'artefatto residuo è il file di output stesso, recuperabile anche dopo cancellazione tramite carving dell'MFT o analisi dello USN Journal.

Su Linux la timeline si costruisce con auditd se configurato, altrimenti con i log della shell (.bash_history, .zsh_history) e i timestamp di accesso ai file /etc/group e /etc/passwd. La lettura di questi file, se non alterata da noatime, aggiorna l'atime ed è correlabile con la sessione dell'attaccante. Su macOS il unified log conserva le invocazioni di dscl per periodi variabili e va estratto rapidamente con log collect.

Le campagne documentate offrono pattern utili per la validazione delle ipotesi investigative. In Operation Wocao (C0014) gli attori hanno eseguito net localgroup administrators come parte di un playbook più ampio di discovery. Durante Operation CuckooBees (C0012) il comando net group è stato osservato nella fase di reconnaissance avanzata. In C0015, intrusione ransomware di cinque giorni con Bazar, Cobalt Strike e Conti, è stato registrato l'errore di battitura net localgroup "adminstrator" — indicatore prezioso perché una typo diventa firma comportamentale ricercabile in altre intrusioni dello stesso operatore.

La correlazione con artefatti di lateral movement successivo (creazione di servizi remoti, task schedulati, connessioni SMB) permette di distinguere il discovery isolato da quello che ha effettivamente guidato la fase successiva dell'attacco.

Il panorama degli attori che impiegano T1069.001 è dominato da gruppi statuali con obiettivi di spionaggio persistente, affiancati da operatori ransomware che riutilizzano playbook consolidati.

Turla (G0010), attribuito storicamente a operazioni russe di cyber espionage, integra net localgroup e net localgroup Administrators nel proprio flusso di reconnaissance post-compromise. La coerenza dell'uso attraverso più campagne suggerisce un manuale operativo stabile, con enumerazione dei gruppi locali come precondizione per la selezione dei target di credential access. Il gruppo dispone anche del malware Epic (S0091), che raccoglie autonomamente informazioni sui gruppi locali.

OilRig (G0049), attore iraniano attivo contro obiettivi mediorientali, utilizza net localgroup administrators per identificare account privilegiati sui sistemi compromessi. Il gruppo opera con il proprio arsenale che include Helminth (S0170) e POWRUNER (S0184), entrambi dotati di capacità di enumerazione dei gruppi tramite il comando net localgroup administrators. La ripetizione del pattern tra tool custom e comandi manuali indica standardizzazione delle procedure.

Chimera (G0114), noto per il targeting di settori tecnologici e semiconduttori, adotta lo stesso comando net localgroup administrators. La convergenza con altri gruppi sullo stesso identico comando è tanto un fatto tecnico — è semplicemente il modo più diretto — quanto una sfida per l'attribuzione basata su TTP granulari.

Volt Typhoon (G1017), attore focalizzato su infrastrutture critiche con tecniche living-off-the-land, ricorre a net localgroup administrators coerentemente con la propria filosofia di minimizzare il deploy di malware. HEXANE (G1001) mostra un pattern analogo con net localgroup base. Tonto Team (G0131) devia dallo schema comune usando il comando proprietario ShowLocalGroupDetails per identificare account administrator, user e guest, un indicatore comportamentale più distintivo.

Sul fronte campagne, Operation CuckooBees (C0012, 2019-2022) attribuita ad attori collegati a Winnti Group, APT41 e BARIUM ha impiegato net group nella reconnaissance avanzata contro aziende tech e manifatturiere in Asia orientale, Europa occidentale e Nord America. Operation Wocao (C0014, 2017-2019) ha colpito organizzazioni in oltre dieci Paesi con TTP sovrapponibili ad APT20. C0015 (2021) mostra invece l'adozione della tecnica in contesti ransomware, con attori che seguono il playbook Conti pubblicato in leak.

L'overlap di tooling è significativo: Cobalt Strike (S0154), QakBot (S0650), BloodHound (S0521) e PoshC2 (S0378) sono adottati trasversalmente da attori statuali e criminali, rendendo la sola presenza di questi tool insufficiente per l'attribuzione. Il trend consolidato è la preferenza per comandi nativi rispetto a binari custom, in linea con l'evoluzione living-off-the-land che caratterizza le operazioni moderne.

MITRE ATT&CK T1069.001 (Local Groups), tattica TA0007 (Discovery). Gruppi: G0010, G0018, G0049, G0114, G0131, G1001, G1017. Software: S0039, S0060, S0082, S0091, S0154, S0165, S0170, S0184, S0201, S0236, S0265, S0378, S0381, S0521, S0572, S0650, S0692, S0696, S1141, S1179, S1198. Campagne: C0012, C0014, C0015. Detection: DET0114 (AN0317, AN0318, AN0319). MITRE D3FEND per contromisure Process Analysis e User Behavior Analysis. Integrazioni tecniche su comandi e tool basate su conoscenza professionale di cybersecurity verificata su documentazione ufficiale.