Rubate i Segreti dal Vault: Password Managers (T1555.005)
I password manager custodiscono le credenziali più preziose di un'organizzazione, ma possono trasformarsi nel punto di rottura perfetto per un attaccante. Questa tecnica sfrutta la natura centralizzata di questi strumenti per accedere a decine o centinaia di credenziali con un singolo colpo.
La tecnica si manifesta nella fase Credential Access (TA0006) della kill chain, quando l'avversario ha già stabilito una presenza nel sistema e cerca di espandere il proprio controllo. Il database crittografato diventa accessibile dopo l'inserimento della master password, momento in cui le credenziali vengono decriptate in memoria.
L'impatto è devastante: 7 gruppi APT documentati hanno utilizzato questa tecnica, tra cui attori di alto profilo come LAPSUS$ e Scattered Spider. La campagna Operation Wocao ha dimostrato come questa tecnica possa essere integrata in operazioni di spionaggio su larga scala, colpendo organizzazioni governative e aziende in oltre 10 paesi tra il 2017 e il 2019.
Il primo passo è identificare i password manager presenti sul sistema target. Su Windows, cerca i processi caratteristici con:
Get-Process | Where-Object {$_.ProcessName -match "KeePass|1Password|Bitwarden|LastPass"}
Una volta individuato KeePass, il tool più comune in ambiente enterprise, puoi localizzare il database con:
Get-ChildItem -Path C:\ -Recurse -Filter ".kdbx" -ErrorAction SilentlyContinue*
L'estrazione della master password richiede un approccio mirato alla memoria del processo. Storm-0501 ha dimostrato l'efficacia di PowerShell per questo scopo, utilizzando script come Find-KeePassConfig.ps1 che analizza la memoria alla ricerca di pattern specifici.
Su Linux, l'approccio cambia leggermente. KeePassXC memorizza temporaneamente le credenziali decriptate, rendendo possibile l'estrazione tramite:
gdb -p $(pgrep keepassxc) -batch -ex "dump memory keepass.dump 0x00000000 0xFFFFFFFF" -ex quit
L'analisi del dump richiede pazienza ma può rivelare credenziali in chiaro. Tools come mimikatz su Windows o LaZagne multipiattaforma automatizzano questo processo, cercando pattern noti nei dump di memoria.
Per i browser che integrano password manager, l'approccio è diverso. Chrome e Firefox memorizzano le credenziali in database SQLite locali, accessibili quando il browser è in esecuzione. InvisibleFerret ha dimostrato come questi dati possano essere esfiltrati via Telegram o FTP utilizzando comandi personalizzati come ssh_zcp.
Il brute forcing della master password rappresenta l'ultima risorsa quando l'estrazione dalla memoria fallisce. Hashcat supporta il formato KeePass con:
hashcat -m 13400 keepass.hash wordlist.txt
La velocità dipende dalla complessità della password e dalla potenza computazionale disponibile.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo