Dumping Credenziali: OS Credential Dumping (T1003)
OS Credential Dumping rappresenta una delle tecniche più impattanti dell'intero framework MITRE ATT&CK, catalogata sotto la tattica TA0006 (Credential Access). L'obiettivo dell'avversario è estrarre materiale d'autenticazione — hash NTLM, ticket Kerberos, password in chiaro, chiavi SSH — dalle strutture del sistema operativo dove tali segreti risiedono: memoria di processi privilegiati, database SAM, cache LSA, keychain macOS o file di configurazione Linux.
La tecnica agisce da moltiplicatore nella kill chain. Una volta ottenute credenziali valide, l'attaccante transita naturalmente verso Lateral Movement, Privilege Escalation e Persistence, spesso senza generare rumore anomalo perché opera con identità legittime. Non a caso i dati MITRE censiscono 13 gruppi APT e 7 famiglie malware che integrano moduli di credential dumping come componente standard del loro arsenale.
L'impatto è duplice. Sul piano tattico consente movimento silenzioso dentro il perimetro; sul piano strategico compromette la fiducia stessa dell'infrastruttura identity: quando un hash del krbtgt viene esfiltrato, l'intero dominio Active Directory diventa territorio ostile fino a doppia rotazione della chiave. Le 9 mitigazioni codificate spaziano dall'hardening di LSASS via Protected Process Light all'isolamento tramite Credential Guard, passando per la segmentazione degli account privilegiati.
L'operatore red team affronta il credential dumping come esercizio di precisione più che di forza bruta. Su Windows il riferimento resta Mimikatz (open source), utilizzato con moduli come sekurlsa::logonpasswords per estrarre credenziali dalla memoria LSASS, lsadump::sam per il database SAM offline e lsadump::dcsync per simulare replica AD dai domain controller. In alternativa Impacket (open source) offre secretsdump.py che, con credenziali di dominio, estrae hash NTDS.dit remotamente senza toccare disco sul target — la stessa catena documentata per Storm-0501 e BlackByte.
Un approccio più stealth evita di caricare Mimikatz in memoria. Il metodo classico consiste nel generare un dump del processo LSASS tramite strumenti firmati Microsoft: procdump.exe -ma lsass.exe lsass.dmp (Sysinternals, gratuito) oppure rundll32.exe C:\Windows\System32\comsvcs.dll, MiniDump con PID di LSASS. Il file .dmp viene poi processato offline su macchina attaccante con pypykatz lsa minidump lsass.dmp (open source), riducendo drasticamente la superficie di detection endpoint.
Su Linux la logica cambia. Le credenziali si trovano in /etc/shadow (richiede root), nella memoria di sshd leggibile via /proc/PID/mem, o nei keyring GNOME. Strumenti come mimipenguin (open source) e LaZagne (open source) automatizzano l'estrazione da browser, client email e keyring. Per SSH keys l'harvesting si limita a find / -name id_rsa -readable 2>/dev/null seguito da tentativi di riuso, pattern osservato in Ember Bear.
Su macOS il target è il Keychain: security dump-keychain -d login.keychain richiede interazione utente, mentre approcci offensivi usano Chainbreaker (open source) sul file login.keychain-db estratto. Su ESXi invece si punta a /etc/shadow dell'host e ai file di configurazione per credenziali vCenter.
In simulazione red team conviene incastrare il dumping in catene realistiche: initial access via phishing, esecuzione con Cobalt Strike (a pagamento) o Sliver (open source) come C2, dump LSASS con tecnica Silent Process Exit, pass-the-hash con impacket-wmiexec verso host adiacenti. La combinazione replica fedelmente TTP osservate in APT28, APT32 e APT39, permettendo al blue team di validare detection su scenari end-to-end.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo