Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Condivisioni Amministrative SMB: SMB/Windows Admin Shares (T1021.002)
La tecnica T1021.002 descrive l'abuso del protocollo Server Message Block per interagire con condivisioni di rete remote utilizzando credenziali valide, tipicamente amministrative. Windows espone di default condivisioni nascoste come C$, ADMIN$ e IPC$, pensate per l'amministrazione remota ma sfruttate dagli avversari per copiare payload, eseguire binari e propagarsi lateralmente attraverso il dominio.
La tecnica ricade sotto la tattica TA0008 (Lateral Movement) e rappresenta uno dei meccanismi di movimento laterale più consolidati nel panorama offensivo Windows. Si combina spesso con Pass the Hash, permettendo l'accesso alle share amministrative sfruttando direttamente gli hash NTLM senza necessità di conoscere la password in chiaro. Una volta stabilita la sessione SMB autenticata, l'attaccante può orchestrare esecuzione remota tramite Scheduled Task, Service Control Manager o WMI.
L'impatto è documentato in modo estensivo: 26 gruppi APT, 30 famiglie malware e 8 campagne tracciate da MITRE ne fanno uso, inclusi operatori ransomware di primo piano come Conti, Ryuk, LockBit 2.0/3.0, BlackByte e Royal, oltre a wiper distruttivi come NotPetya e Shamoon. Contromisure specifiche sono raccolte in sole 4 mitigazioni MITRE, segno che la superficie d'attacco è difficile da eliminare senza impattare l'operatività IT legittima.
Un red team che simuli T1021.002 parte dall'ottenimento di credenziali con privilegi di amministratore locale sul target: dump LSASS con Mimikatz (open source), estrazione hash da SAM/SYSTEM tramite secretsdump.py della suite Impacket (open source), oppure kerberoasting seguito da cracking offline con Hashcat (open source).
La verifica preliminare dell'accesso amministrativo sulle share nascoste avviene con comandi nativi. Da prompt Windows:
net use \\target\C$ /user:DOMAIN\admin password
dir \\target\ADMIN$
Da Linux, con smbclient (open source, parte di Samba) l'enumerazione è immediata:
smbclient -L //target -U DOMAIN/admin
Per scenari Pass the Hash, il tool di riferimento è pth-winexe o l'ecosistema Impacket. Con psexec.py l'esecuzione remota via ADMIN$ è diretta:
psexec.py DOMAIN/admin@target -hashes :NTLMHASH
Alternative meno rumorose sono smbexec.py (crea un servizio temporaneo che scrive output su share) e wmiexec.py (esecuzione via WMI senza toccare ADMIN$ per il payload, riducendo l'impronta su disco). Tutti questi tool appartengono al pacchetto Impacket.
Per chi opera in framework C2, Cobalt Strike (a pagamento) implementa la primitiva jump psexec e jump psexec64 che scrivono un beacon in ADMIN$ e lo eseguono tramite Service Control Manager. Brute Ratel C4 (a pagamento) offre funzionalità equivalenti di SMB pivoting. Alternative open source includono Sliver (open source) con il comando psexec, e Metasploit (freemium) con il modulo exploit/windows/smb/psexec.
La catena tipica di un esercizio red team prevede: enumerazione delle share con CrackMapExec o il successore NetExec (open source) tramite nxc smb
In ambienti hardened con SMB signing obbligatorio e Protected Users group attivo, molte di queste tecniche falliscono: il red team dovrebbe testare in laboratorio isolato le condizioni di successo prima di operare sul target.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.