Enumerazione Gruppi e Permessi: Permission Groups Discovery (T1069)
La tecnica T1069 - Permission Groups Discovery descrive il tentativo di un avversario di enumerare gruppi, ruoli e permessi associati a utenti o servizi in un ambiente compromesso. Rientra nella tattica TA0007 (Discovery) e rappresenta uno degli snodi fondamentali della fase post-compromise, quando l'attaccante ha già stabilito un accesso iniziale e deve orientarsi rapidamente per identificare account privilegiati, gruppi amministrativi e strutture di delega.
Conoscere la mappa dei permessi consente all'avversario di pianificare il movimento laterale, individuare target per il furto di credenziali e selezionare account che minimizzino il rischio di detection. Le informazioni raccolte alimentano decisioni operative su chi impersonare, quali sistemi attaccare e come mantenere persistenza con il minimo attrito.
I dati MITRE riportano 6 gruppi APT, 6 famiglie di malware e 1 campagna documentata che utilizzano attivamente questa tecnica. Tra gli attori figurano gruppi con motivazioni molto diverse: APT3, APT41, TA505, Scattered Spider, FIN13 e Volt Typhoon, a testimonianza di quanto sia trasversale il ricorso all'enumerazione dei gruppi. La stessa campagna SolarWinds Compromise (C0024) attribuita ad APT29 mostra come anche operazioni di supply chain estremamente sofisticate si affidino a comandi PowerShell per mappare i ruoli Exchange una volta ottenuto il foothold.
In un ingaggio red team, l'enumerazione dei gruppi è tra le prime attività dopo aver ottenuto una shell su un endpoint. Su Windows i comandi nativi restano lo strumento più discreto perché sono già presenti nel sistema e generano rumore inferiore rispetto a tool custom.
Su un host joinato al dominio, i comandi classici sono net group /domain per elencare i gruppi di dominio, net group "Domain Admins" /domain per estrarre i membri di un gruppo specifico, e net localgroup Administrators per enumerare gli amministratori locali. Per un approccio PowerShell nativo si utilizzano i cmdlet del modulo ActiveDirectory: Get-ADGroup -Filter * e Get-ADGroupMember -Identity "Domain Admins" -Recursive. Nel caso Exchange, come documentato nella campagna SolarWinds, il cmdlet Get-ManagementRoleAssignment eseguito da Exchange Management Shell permette di enumerare i ruoli amministrativi della piattaforma.
Quando i cmdlet AD non sono disponibili, PowerView (open source, parte di PowerSploit) offre funzioni come Get-NetGroup, Get-NetGroupMember e Find-LocalAdminAccess. BloodHound con il collector SharpHound (open source) mappa in modo grafico relazioni di gruppo, sessioni utente e percorsi di attacco verso Domain Admins; l'esecuzione tipica è SharpHound.exe -c All,GPOLocalGroup. Per ambienti virtualizzati Scattered Spider ha dimostrato l'utilità di enumerare gruppi come vSphere Admins ed ESX Admins, ottenibili via PowerCLI (freemium, VMware) con Get-VIRole e Get-VIPermission.
Su Linux i comandi id, groups, getent group e la lettura di /etc/group forniscono l'equivalente. Per l'enumerazione di sudoers si usa sudo -l nel contesto dell'utente corrente. LinPEAS (open source) automatizza gran parte di queste verifiche in un unico script.
Su macOS il directory service si interroga con dscl . -list /Groups e dscl . -read /Groups/admin GroupMembership, mentre dscacheutil -q group fornisce output cache-based.
In ambienti Kubernetes, come mostrato dal malware Siloscape, l'attaccante verifica i permessi del nodo con kubectl auth can-i --list e kubectl get roles,rolebindings,clusterroles,clusterrolebindings -A. Durante un red team è buona prassi correlare queste query con la successiva scelta del target, così da simulare fedelmente il pattern osservato in gruppi come APT41 e TA505, che dopo net group /domain passano rapidamente a fasi di lateral movement.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo