Manomissione dell'Autenticazione: Modify Authentication Process (T1556)
La tecnica T1556 — Modify Authentication Process descrive un insieme di manipolazioni ai meccanismi che governano il riconoscimento delle identità digitali. Gli avversari intervengono su componenti come LSASS e il database SAM su Windows, i moduli PAM su sistemi Unix, gli authorization plugin di macOS o le pipeline AAA dei dispositivi di rete, con l'obiettivo di estrarre credenziali in chiaro oppure di bypassare completamente la verifica delle stesse.
MITRE ATT&CK colloca questa tecnica su tre tattiche complementari: TA0003 (Persistence), perché una modifica al flusso di autenticazione garantisce accesso stabile anche dopo cambi di password; TA0005 (Defense Evasion), in quanto il traffico di autenticazione appare legittimo agli occhi dei controlli tradizionali; e TA0006 (Credential Access), perché consente la raccolta silenziosa di password valide da riutilizzare lateralmente.
L'impatto operativo è severo. Con 1 gruppo APT tracciato (FIN13), 3 famiglie di malware (Ebury, Kessel, SILENTTRINITY) e la campagna ArcaneDoor contro infrastrutture Cisco governative tra luglio 2023 e aprile 2024, la tecnica dimostra applicabilità trasversale: endpoint Windows, server Linux, dispositivi di rete e identity provider cloud. Le 9 mitigazioni disponibili includono MFA, hardening di LSA, restrizioni su registro e file system, ma nessuna elimina il rischio residuo derivante dalla sostituzione di binari legittimi come KeePass trojanizzato, uno schema già osservato in operazioni finanziariamente motivate.
Un red team che voglia emulare T1556 deve pianificare catene distinte per ciascuna piattaforma, perché il punto di iniezione cambia radicalmente.
Su Windows, il vettore classico è il Security Support Provider (SSP) malevolo. In laboratorio si può registrare una DLL personalizzata modificando la chiave HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Security Packages e forzando LSASS a caricarla al riavvio; Mimikatz (open source) implementa direttamente questa logica con il comando misc::memssp, che inietta un SSP in memoria intercettando le credenziali dei successivi login. Un secondo scenario è il Password Filter DLL: si compila una DLL che esporta InitializeChangeNotify e PasswordFilter, la si copia in *C:\Windows\System32* e la si registra sotto HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Notification Packages. Ogni cambio password verrà notificato in chiaro alla DLL.
Su Linux, l'obiettivo tipico è PAM. In un lab controllato si modifica /etc/pam.d/sshd aggiungendo un modulo custom che logga PAM_AUTHTOK prima di passare il controllo al modulo legittimo. Progetti come linux-pam-backdoor (open source, uso didattico) mostrano come una modifica di poche righe in pam_unix.c possa introdurre una master password. Un'alternativa è la trojanizzazione di OpenSSH, pattern osservato in Ebury e Kessel: si patcha ssh-add o user-auth_pubkey per esfiltrare chiavi private via DNS.
Su macOS, si opera sui SecurityAgentPlugins in /Library/Security/SecurityAgentPlugins/, sostituendo o affiancando bundle che intercettano il flusso di authorization.
Su dispositivi Cisco e apparati di rete, la campagna ArcaneDoor ha dimostrato la manomissione del sottosistema AAA per bypassare l'autenticazione amministrativa. Emulare questo scenario in lab richiede immagini firmware modificate su GNS3 o Cisco Modeling Labs (a pagamento).
Per scenari post-exploitation più ampi, SILENTTRINITY (open source) offre moduli che creano backdoor in KeePass tramite file di configurazione malevoli e in TortoiseSVN tramite hook di registro, replicando la tattica di FIN13 che ha sostituito binari legittimi di KeePass con versioni trojanizzate.
Le attività vanno sempre condotte in ambienti isolati, con snapshot pre-esecuzione, e documentate con hash pre/post modifica per validare le regole di detection difensive.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo