Disabilitazione MFA: Multi-Factor Authentication (T1556.006)

La tecnica T1556.006 — Multi-Factor Authentication descrive lo scenario in cui un avversario, dopo aver ottenuto un primo punto d'appoggio in rete, manomette o disabilita i meccanismi di autenticazione multi-fattore per garantirsi un accesso persistente e silenzioso. È una tecnica trasversale a tre tattiche della kill chain: Credential Access (TA0006), perché la rimozione dell'MFA trasforma credenziali deboli in credenziali valide; Defense Evasion (TA0005), perché un login senza challenge MFA non genera gli alert che un SOC si aspetta; Persistence (TA0003), perché una volta rimosso il requisito MFA, l'attaccante può rientrare indisturbato anche dopo rotazione di password o revoca di sessioni.

Le modalità operative spaziano dalla modifica di Conditional Access Policy in ambienti Entra ID, alla registrazione di token MFA controllati dall'attaccante, fino al patching diretto di librerie o file di configurazione — come il file hosts di Windows reindirizzato verso localhost per far fallire la verifica MFA in ambienti con policy fail-open. Con 1 gruppo APT, 2 software documentati, 3 mitigazioni specifiche e analitiche di detection su 7 piattaforme diverse, questa tecnica rappresenta un nodo critico nella difesa delle identità digitali.

Il cuore di questa tecnica sta nella manipolazione del piano di controllo delle identità, non nel bruteforcing delle credenziali. Per replicarla in laboratorio serve un ambiente con Entra ID (ex Azure AD) configurato con Conditional Access e almeno un metodo MFA attivo.

Scenario 1 — Disabilitazione MFA via AADInternals

Il modulo PowerShell AADInternals (open source) è lo strumento documentato per questa tecnica. Dopo aver compromesso un account con privilegi di Global Admin o Authentication Administrator, la sequenza operativa è lineare:

Install-Module AADInternals Import-Module AADInternals $token = Get-AADIntAccessTokenForAADGraph Set-AADIntUserMFA -UserPrincipalName vittima@dominio.com -State Disabled

Questo comando disabilita l'MFA per l'utente specificato. In un engagement reale il red team dovrebbe documentare lo stato MFA precedente per il ripristino. Il comando Get-AADIntUserMFA consente di enumerare lo stato MFA di tutti gli utenti del tenant, identificando account già privi di protezione.

Scenario 2 — Esclusione da Conditional Access Policy

Con accesso al portale Entra ID o tramite Microsoft Graph API, un attaccante può escludere un utente specifico da una policy che impone l'MFA. Questa operazione non disabilita l'MFA globalmente ma crea un'eccezione chirurgica, molto più difficile da notare. Tramite Graph API (con il modulo PowerShell Microsoft.Graph, open source):

Connect-MgGraph -Scopes "Policy.ReadWrite.ConditionalAccess"

Da qui è possibile aggiornare la policy aggiungendo l'ObjectId dell'utente nella lista delle esclusioni. Il vantaggio per l'attaccante è che la policy rimane attiva per tutti gli altri, rendendo l'anomalia invisibile a un audit superficiale.

Scenario 3 — Manipolazione del file hosts

Su un endpoint Windows, la modifica del file hosts per reindirizzare il server MFA verso 127.0.0.1 è la tecnica più grezza ma efficace in contesti on-premise con autenticazione RADIUS o server MFA dedicati. Un semplice append:

echo 127.0.0.1 mfa-server.dominio.local >> C:\windows\system32\drivers\etc\hosts

Se il sistema è configurato in fail-open, l'autenticazione procede senza il secondo fattore. In laboratorio, verificate il comportamento del vostro MFA provider in caso di timeout o irraggiungibilità del server: molte configurazioni di default sono fail-open.

Scenario 4 — Registrazione token MFA controllato

Replicando il modus operandi di Scattered Spider, dopo aver compromesso le credenziali di un utente si registra un nuovo metodo MFA — ad esempio un'app authenticator su un dispositivo controllato dall'attaccante — prima che la vittima se ne accorga. Questo approccio non richiede privilegi elevati: basta una sessione autenticata valida.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo