Scoperta Utente di Sistema: System Owner/User Discovery (T1033)
La tecnica T1033 - System Owner/User Discovery rientra nella tattica TA0007 (Discovery) e descrive l'insieme di azioni con cui un attaccante, dopo aver ottenuto accesso a un endpoint, cerca di identificare l'utente primario, quello attualmente connesso, gli account che utilizzano abitualmente il sistema o se una sessione è realmente attiva.
Le informazioni raccolte sono pervasive: compaiono nell'ownership dei processi, nella proprietà di file e directory, nelle sessioni RDP e SSH, nei log di sistema. Un attaccante può ottenerle in modi banali — whoami, query user, w, who, dscl . list /Users su macOS — o leggendo variabili d'ambiente come %USERNAME% e $USER. Anche i dispositivi di rete espongono comandi CLI equivalenti come show users e show ssh.
L'impatto operativo è significativo: T1033 è mappata su 38 gruppi APT e implementata in 186 famiglie di malware, oltre a comparire in 7 campagne documentate. È una delle prime azioni post-exploitation perché determina le mosse successive: privilege escalation se l'utente non è admin, credential dumping se lo è, targeting selettivo se l'endpoint appartiene a un profilo di interesse (sviluppatore, sysadmin, dirigente). La sua discrezione — usa binari nativi e produce rumore minimo — la rende un pilastro del living-off-the-land.
In un red team engagement, T1033 è tipicamente la prima azione eseguita dopo l'ottenimento della shell. Su Windows la sequenza standard combina whoami /all, che restituisce SID, gruppi e privilegi, con query user (o l'alias quser) per elencare le sessioni interattive attive. Se serve enumerare utenti locali si ricorre a net user e net localgroup administrators, mentre per il dominio net user /domain e net group "Domain Admins" /domain.
Per contesti stealth, PowerShell offre alternative meno rumorose: [System.Security.Principal.WindowsIdentity]::GetCurrent() restituisce l'identità senza spawn di processi figli, e Get-WmiObject Win32_ComputerSystem | Select UserName interroga WMI. In scenari post-Volt Typhoon, Get-EventLog security -instanceid 4624 consente di ricostruire chi si è autenticato di recente sfruttando i log come fonte di intelligence.
Su Linux e macOS i comandi di riferimento sono whoami, id, w, who, last -a e la lettura diretta di /etc/passwd. Su macOS dscl . list /Users | grep -v '_' filtra gli account di servizio esponendo solo utenti reali. Per network device (Cisco IOS, Juniper) le CLI show users, show ssh e show aaa sessions replicano lo stesso pattern.
Sul fronte tooling, Empire (open source, PowerShell/Python) integra moduli come situational_awareness/network/powerview/get-netloggedon per l'enumerazione di sessioni remote. BloodHound con il collector SharpHound (open source) mappa sessioni utente-host per costruire path di attacco verso account privilegiati. Koadic (open source) e SILENTTRINITY (open source) offrono capacità equivalenti in memoria. Per operazioni cross-platform, Pupy (open source) enumera utenti loggati su Windows e info locali su Linux con un'unica sintassi.
In un attack chain realistico, T1033 alimenta decisioni immediate: se whoami restituisce NT AUTHORITY\SYSTEM si passa direttamente a persistence e credential access; se l'utente è standard si valutano tecniche di privilege escalation come token impersonation o UAC bypass; se l'host appartiene a un utente non prioritario si può decidere di abbandonarlo per ridurre l'esposizione. Framework come Metasploit (freemium) con post/windows/gather/enum_logged_on_users e Cobalt Strike (a pagamento) con net logons automatizzano questa fase all'interno di playbook di post-exploitation.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo