Domain Controller Fantasma: Rogue Domain Controller (T1207)

In un contesto di red team autorizzato, la simulazione di T1207 richiede un laboratorio isolato con almeno un DC Windows Server (2016 o superiore) e una workstation attaccante con privilegi amministrativi di dominio. Il presupposto è la già avvenuta escalation a Domain Admin o il recupero dell'hash KRBTGT tramite tecniche come DCSync (T1003.006).

Lo strumento di riferimento è Mimikatz (open source), disponibile nel repository ufficiale di gentilkiwi. L'esecuzione di DCShadow richiede due processi distinti: uno server (con privilegi SYSTEM) che simula il DC fantasma, e uno client che innesca la replica. Sulla macchina attaccante, in una prima console elevata a SYSTEM (ad esempio via PsExec -s -i cmd.exe dalla Sysinternals Suite, gratuita), si lancia:

mimikatz # lsadump::dcshadow /object:CN=target,CN=Users,DC=lab,DC=local /attribute:SidHistory /value:S-1-5-21-...-519

In una seconda console, con privilegi di Domain Admin, si esegue il push della modifica:

mimikatz # lsadump::dcshadow /push

Questo flusso registra temporaneamente il server come DC nella partizione Configuration, esegue la replica e rimuove gli oggetti server e nTDSDSA. L'obiettivo del test è verificare che il SIEM registri correttamente la sequenza.

Per scenari più realistici, Impacket (open source) offre lo script ntlmrelayx.py combinabile con abusi di deleghe, mentre BloodHound (open source) e la Community Edition consentono di mappare preventivamente i percorsi verso Domain Admin e identificare oggetti target ad alto valore (Enterprise Admins, Schema Admins, gruppi con controllo su GPO critiche).

Un red team maturo non si limita all'esecuzione: documenta i timestamp esatti, gli SPN utilizzati (GC/ e il GUID E3514235-4B06-11D1-AB04-00C04FC2DCD2) e le chiamate RPC generate (DrsAddEntry, DrsReplicaAdd, GetNCChanges), fornendo al blue team un ground truth per validare le regole di detection.

Complementari sono PowerView del progetto PowerSploit (open source) per enumerazione preliminare degli oggetti AD, e Rubeus (open source) per manipolazione Kerberos qualora si voglia catenare l'attacco con Golden Ticket. Ogni azione va confinata a un range di indirizzi IP dichiarato nelle Rules of Engagement e monitorata via Wireshark (open source) per cattura del traffico DRSUAPI su porta dinamica RPC.

La detection di T1207 non può basarsi su singoli eventi ma richiede correlazione multi-sorgente. La strategia DET0276 individua quattro pilastri: creazione di oggetti nTDSDSA e server nella partizione Configuration, uso anomalo di SPN di replica, chiamate RPC di replica da host non-DC, e autenticazioni Kerberos con SPN DRS da macchine estranee all'OU Domain Controllers.

La fonte primaria è il WinEventLog:Security sui Domain Controller. Gli eventi chiave sono EventCode 5137 (creazione oggetto directory service) e EventCode 5136 (modifica oggetto directory service), filtrati per ObjectClass uguale a nTDSDSA o server nel container Configuration. Va abilitata la Directory Service Access auditing con SACL specifiche sulla partizione Configuration, altrimenti questi eventi non vengono generati. L'evento 4742 (computer account modificato) e 4662 (operazione su oggetto con GUID) completano il quadro.

Sul fronte Kerberos, l'evento 4769 con Service Name che include GC/ o il GUID E3514235-4B06-11D1-AB04-00C04FC2DCD2, quando il client account non è un computer nell'OU Domain Controllers, è un segnale ad alta fedeltà. La regola dovrebbe mantenere una lista di replication partner legittimi (parametro AllowedReplicationPartners del tuning DET0276) e generare alert solo su deviazioni.

La telemetria di rete (NSM:Flow) va analizzata per identificare traffico RPC verso le porte dinamiche dei DC originato da host non autorizzati. Strumenti come Zeek (open source) con lo script dce-rpc consentono di isolare le chiamate DrsAddEntry, DrsReplicaAdd e GetNCChanges. In ambienti ibridi, il log m365:dirsync può evidenziare anomalie di sincronizzazione downstream verso Entra ID.

La finestra di correlazione suggerita è 300 secondi tra creazione dell'oggetto nTDSDSA e traffico di replica dallo stesso host, come da tuning TimeWindow. Il parametro NonDCObjectCreationAlert eleva la priorità quando l'account che crea l'oggetto non appartiene a Domain Admins o Enterprise Admins, indicando possibile abuso di deleghe o credenziali compromesse.

I falsi positivi principali derivano da promozioni legittime di nuovi DC (dcpromo, Install-ADDSDomainController) e da attività di Azure AD Connect. Una whitelist dinamica basata su change management ticket riduce il rumore. Piattaforme come Microsoft Defender for Identity (a pagamento) includono rilevatori nativi per DCShadow che sfruttano sensori installati direttamente sui DC, ideali come layer complementare al SIEM.

L'analisi forense di un incidente T1207 parte dalla ricostruzione del database Active Directory. Il file ntds.dit, presente su ogni DC in *C:\Windows\NTDS*, contiene i metadati di replica per ciascun attributo modificato. Attraverso il tool repadmin (nativo Windows Server) è possibile interrogare tali metadati:

repadmin /showobjmeta ""

L'output rivela per ogni attributo il DSA originatore, il timestamp di ultima modifica e l'USN. La presenza di un DSA originatore sconosciuto — un GUID che non corrisponde ad alcun DC legittimo attualmente registrato — è il marker forense più forte di DCShadow. Attaccanti sofisticati possono tentare di alterare questi metadati, quindi il cross-check con backup offline di ntds.dit (via ntdsutil snapshot) è fondamentale.

Sul Domain Controller compromesso, il Security Event Log va estratto con wevtutil o KAPE (gratuito per uso non commerciale) e analizzato per gli eventi 5137, 5136, 5141 (eliminazione oggetto directory), 4662 e 4742. La sequenza tipica di DCShadow mostra creazione dell'oggetto server, creazione dell'oggetto nTDSDSA figlio, replica, ed eliminazione degli stessi entro pochi minuti. Timestamp inferiori a 5 minuti tra creazione ed eliminazione sono altamente sospetti.

Gli artefatti di endpoint sulla macchina attaccante includono tracce di Mimikatz in memoria (analizzabili con Volatility 3, open source, tramite plugin windows.pslist e windows.malfind), voci nel Prefetch (*C:\Windows\Prefetch*), e potenzialmente entry in Amcache.hve e ShimCache. Se PowerShell è stato usato come loader, i log Microsoft-Windows-PowerShell/Operational (EventCode 4104 per script block logging) contengono i comandi eseguiti, purché la logging fosse abilitata prima dell'incidente.

La timeline dell'incidente va costruita correlando: timestamp di creazione oggetti nella partizione Configuration, autenticazioni Kerberos 4769 con SPN DRS anomali, traffico RPC catturato da NetFlow o packet capture retrospettivo, e USN gap nei metadati di replica dei DC legittimi.

Sul piano dell'impatto, è essenziale enumerare tutte le modifiche potenzialmente iniettate: nuove entry in SIDHistory, modifiche a AdminSDHolder, alterazioni di nTSecurityDescriptor su oggetti privilegiati, aggiunte a gruppi Domain Admins o Enterprise Admins. Il tool PingCastle (freemium) e Purple Knight (gratuito) forniscono baseline utili per identificare deviazioni post-incidente. La rotazione della password KRBTGT (doppia, con intervallo di 10 ore) è passo obbligato di remediation.

I dati MITRE ATT&CK forniti per T1207 non attribuiscono la tecnica a specifici gruppi APT documentati, riflettendo una caratteristica reale del panorama threat intelligence: DCShadow è tecnicamente sofisticata ma raramente osservata in the wild rispetto a tecniche adiacenti come DCSync (T1003.006) o Golden Ticket (T1558.001). Ciò non implica assenza di rischio, ma piuttosto una barriera d'ingresso più alta e una minore necessità operativa: un attaccante che ha già ottenuto Domain Admin dispone di molteplici alternative meno rumorose per persistenza e credential access.

L'unico software mappato è Mimikatz (S0002), l'implementazione di riferimento di DCShadow attraverso il modulo LSADUMP::DCShadow. Mimikatz è ampiamente adottato sia da attori state-sponsored sia da cybercriminali, ed è integrato in framework offensivi come Cobalt Strike (a pagamento, ampiamente pirata) e Empire (open source, versione BC-Security). L'uso della funzionalità DCShadow specifica richiede tuttavia expertise avanzata su Active Directory internals, restringendo di fatto la platea di attori capaci di operarla in modo efficace e stealthy.

Dal punto di vista dell'analisi strategica, la tecnica va considerata parte di un pattern più ampio di abuse of legitimate replication mechanisms. Attori con obiettivi di persistenza a lungo termine — tipicamente APT allineati a interessi statuali con mandato di espionage prolungato — hanno maggiore incentivo a investire in DCShadow rispetto a gruppi ransomware, che privilegiano velocità e impatto immediato. I gruppi ransomware moderni tendono a utilizzare DCSync per estrarre credenziali e procedere rapidamente alla cifratura, senza necessità di persistenza sofisticata.

Un trend rilevante è l'integrazione crescente di detection per DCShadow nelle piattaforme Identity Threat Detection and Response (ITDR) come Microsoft Defender for Identity (a pagamento), Semperis DSP (a pagamento) e Tenable Identity Exposure (a pagamento, ex Alsid). Questa maturazione difensiva potrebbe spingere attori sofisticati verso varianti che manipolano ulteriormente i metadati di replica per aggirare rilevatori basati su USN gap.

Sul piano della threat modeling, le organizzazioni con foreste AD legacy multi-domain o multi-forest presentano superficie d'attacco maggiore, dato che percorsi di trust complessi offrono più opportunità di escalation verso i privilegi richiesti da T1207. Il monitoraggio degli oggetti nella partizione Configuration andrebbe considerato controllo di base per qualsiasi ambiente AD-centrico, indipendentemente da specifiche attribuzioni APT. La combinazione di PingCastle (freemium) per assessment periodici e sensori ITDR per detection real-time rappresenta lo standard difensivo emergente.

MITRE ATT&CK: tecnica T1207 (Rogue Domain Controller), tattica TA0005, software S0002 (Mimikatz), detection strategy DET0276 con analytic AN0770. Framework MITRE D3FEND per mapping controlli difensivi su replicazione AD. Per comandi operativi, sintassi tool e artefatti forensi è stata utilizzata conoscenza professionale verificabile su documentazione ufficiale Microsoft (repadmin, ntdsutil, wevtutil), repository pubblici di Mimikatz, Impacket, BloodHound, PowerSploit, Rubeus, Volatility, KAPE, PingCastle e Purple Knight.