Autenticazione Alternativa: Use Alternate Authentication Material (T1550)

L'obiettivo in un ingaggio red team è dimostrare che il possesso di materiale secondario è equivalente al possesso della password. La catena tipica parte da un host compromesso con privilegi amministrativi locali e prosegue con estrazione di credenziali cached, seguita da riuso su target remoti.

Su Windows, Mimikatz (open source) resta lo strumento di riferimento. Per Pass-the-Hash si estrae l'hash NTLM da LSASS con sekurlsa::logonpasswords e lo si riutilizza con sekurlsa::pth /user:Administrator /domain:corp.local /ntlm: /run:cmd.exe, ottenendo una shell che presenta il ticket al DC senza mai digitare la password. Per Pass-the-Ticket si esportano i ticket con sekurlsa::tickets /export e si iniettano con kerberos::ptt ticket.kirbi. Rubeus (open source) offre alternative più moderne: Rubeus.exe asktgt /user:svc_sql /rc4: /ptt richiede un TGT e lo carica in memoria, mentre Rubeus.exe s4u abusa di delega vincolata per impersonare account privilegiati.

Per il movimento laterale con hash o ticket si usano Impacket (open source) da linux — psexec.py, wmiexec.py, smbexec.py accettano il parametro -hashes LM:NTLM — oppure CrackMapExec e il successore NetExec (open source) con nxc smb -u admin -H per validare rapidamente il raggio d'azione dell'hash.

Su Linux e macOS lo scenario dominante è il furto di chiavi SSH da ~/.ssh/id_rsa o l'abuso di ticket Kerberos nel keyring: strumenti come keytabextract (open source) parsano i file krb5.keytab per estrarre chiavi di lungo termine riutilizzabili.

In ambiente cloud e SaaS la disciplina cambia. TokenTactics e TokenTacticsV2 (open source) automatizzano il furto e refresh di token Azure AD; AADInternals (open source) di Nestori Syynimaa consente forging di token SAML se si compromette la chiave di firma di AD FS — la stessa tecnica sfruttata in SolarWinds. Su AWS, dopo aver estratto ~/.aws/credentials o rubato token SSM/EC2 instance metadata via SSRF, Pacu (open source) valida rapidamente le credenziali e mappa i permessi con whoami e iam__enum_permissions.

Per l'abuso di cookie di sessione web, Cookie-Editor (freemium) o l'importazione manuale in un browser controllato permettono di bypassare il logon di applicazioni SaaS finché il cookie non scade.

La rilevazione di T1550 richiede correlazione tra eventi di autenticazione e attività successive, perché l'atto di riusare materiale valido è per definizione indistinguibile a livello di singolo evento da un logon legittimo. La strategia vincente è cercare il contesto mancante: logon senza le premesse che dovrebbero precederlo.

Su Windows le detection produttive combinano EventCode 4624 (logon riuscito) di tipo 3 o 9 con l'assenza di EventCode 4768 (richiesta TGT) o 4769 (richiesta TGS) coerenti nello stesso intervallo temporale — indicatore classico di Pass-the-Ticket. Un TGT presentato senza pre-authentication (EventCode 4768 con Ticket Encryption Type 0x17 RC4-HMAC quando l'ambiente è a norma AES) suggerisce ticket forgiati o downgrade. Per Pass-the-Hash, EventCode 4624 Logon Type 3 con Authentication Package NTLM verso host che dovrebbero usare Kerberos è un segnale forte, specialmente se l'account sorgente è privilegiato. Sysmon Event ID 10 con GrantedAccess 0x1010 o 0x1410 su lsass.exe individua il precursore (dump di credenziali) che precede l'abuso.

Su Linux la correlazione utile è tra auditd SYSCALL per execve di shell interattive e assenza di eventi PAM (pam_unix in /var/log/auth.log) — una sessione SSH stabilita senza il corrispondente sshd: Accepted publickey indica sostituzione di chiavi o riuso anomalo. I log NSM su connessioni verso porte 22 da IP fuori dai bastion approvati completano il quadro.

In ambienti Identity Provider (Azure AD, Okta) i segnali più rilevanti sono azure signinlogs con AuthenticationRequirement=singleFactorAuthentication per account che hanno policy MFA obbligatorie, refresh token riutilizzati da geolocalizzazioni distanti in finestre brevi, e m365 unified con UserAgent riconducibili a librerie script (Python requests, curl) invece che browser. Il caso Golden SAML si riconosce da token con Issuer corretto ma senza corrispondente evento di autenticazione lato AD FS: la mancanza di EventCode 1200/1202 nel log AD FS è l'anomalia chiave.

Su AWS CloudTrail monitorare AssumeRole con token di instance metadata usati da IP esterni all'account, e riuso di sts:GetSessionToken cross-account. Falsi positivi frequenti: pipeline CI/CD con service principal, scanner di vulnerabilità autenticati, tool di backup con service account — vanno inseriti in allowlist puntuali con controllo di source IP e user-agent, mai per nome utente soltanto.

L'analisi forense di T1550 ruota attorno a tre domande: dove è stato rubato il materiale, dove è stato riutilizzato, e quale materiale specifico è stato compromesso. La timeline deve legare l'evento di credential access iniziale al primo utilizzo del materiale alternativo.

Su endpoint Windows gli artefatti primari sono il Security Event Log (%SystemRoot%\System32\winevt\Logs\Security.evtx) con particolare attenzione a 4624/4625/4648/4672/4768/4769, il System.evtx per servizi installati come PsExec (EventCode 7045 con nome servizio pseudo-casuale), e i log di Sysmon se presenti — soprattutto Event 10 per accesso a LSASS e Event 1 per esecuzione di binari sospetti come mimikatz.exe, rubeus.exe, o loro varianti rinominate. Il file NTUSER.DAT dell'utente compromesso può contenere in Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU comandi digitati, mentre i Prefetch in C:\Windows\Prefetch datano l'esecuzione. Per Pass-the-Ticket, il ticket cache è volatile ma un dump di memoria con WinPMEM (open source) o Magnet RAM Capture (gratuito) permette recupero offline via Volatility 3 (open source) con plugin windows.lsadump e windows.hashdump.

Su Linux la timeline si costruisce da /var/log/auth.log, /var/log/secure, journal di systemd (journalctl -u ssh) e da ~/.ssh/authorized_keys modificati. I file ~/.bash_history e /root/.bash_history, se non cancellati, mostrano comandi ssh con opzioni -i verso chiavi non standard. La verifica di modifiche recenti a ~/.ssh/ tramite stat e confronto con baseline identifica sostituzioni di chiavi.

Per ambienti cloud, i log Azure AD Sign-in e Audit conservano il CorrelationId che lega richieste di token successive alla stessa sessione: token emessi senza corrispondente evento UserAuthenticationEvent con MFA indicano riuso o forging. Su AWS, CloudTrail con userIdentity.type=AssumedRole e sessionContext.sessionIssuer rivela l'origine del token; il campo sourceIPAddress combinato con userAgent discrimina tra uso legittimo da pipeline e abuso.

La campagna C0024 SolarWinds Compromise offre un caso di studio prezioso: APT29 dopo aver esfiltrato la chiave di firma SAML da AD FS ha forgiato token con claim arbitrari, accedendo a Microsoft 365 e ad altre applicazioni federate senza generare eventi di logon interattivo lato on-premise. L'unico artefatto discriminante era la discrepanza tra IssueInstant dei token e assenza di richieste di autenticazione tracciabili. FoggyWeb (S0661), impiantato sui server AD FS compromessi, esfiltrava configurazioni e materiale crittografico necessario alla forgiatura persistente.

Il panorama degli attori che abusano di T1550 è dominato da gruppi state-sponsored con maturità operativa elevata, capaci di combinare furto di credenziali e riuso silenzioso in operazioni di lungo respiro. I dati MITRE per questa tecnica principale evidenziano un caso emblematico ma il pattern è ricorrente nell'ecosistema APT russo, cinese e nordcoreano.

La campagna C0024 SolarWinds Compromise (agosto 2019 – gennaio 2021) condotta da APT29 — attribuita ufficialmente da Stati Uniti e Regno Unito nell'aprile 2021 al Servizio di Intelligence Estero russo (SVR), con alias industriali NOBELIUM, Dark Halo, UNC2452, StellarParticle, Cozy Bear, The Dukes — rappresenta l'esemplare di riferimento per l'abuso di token SAML forgiati. Dopo aver compromesso il processo di build di SolarWinds Orion inserendo codice malevolo distribuito via aggiornamento software legittimo, APT29 ha ottenuto accesso iniziale a circa 18.000 organizzazioni, selezionando poi un sottoinsieme di target di alto valore per lo sfruttamento successivo. Le vittime includevano enti governativi, società di consulenza, aziende tech e telecom in Nord America, Europa, Asia e Medio Oriente.

La fase T1550 dell'operazione è particolarmente istruttiva: forgiando token SAML con la chiave rubata da AD FS, gli operatori impersonavano utenti arbitrari e bypassavano MFA per accedere ad Azure AD, Microsoft 365 e altre applicazioni federate. Questa tecnica — battezzata Golden SAML dai ricercatori — non genera eventi di logon interattivo tracciabili on-premise, rendendola estremamente difficile da rilevare senza monitoraggio del sign-in cloud.

A supporto della persistenza APT29 ha impiegato FoggyWeb (S0661), un backdoor .NET installato sui server AD FS compromessi che consentiva esfiltrazione continuativa della configurazione del token service e del materiale crittografico necessario a mantenere la capacità di forgiatura anche dopo eventuali rotazioni. La combinazione FoggyWeb + Golden SAML rappresenta un modello di supply chain compromise che si estende dall'on-premise al cloud sfruttando la fiducia federata come vettore laterale.

Il trend più significativo osservabile è lo spostamento del baricentro dall'abuso di hash NTLM e ticket Kerberos on-premise verso l'abuso di token OAuth, refresh token e cookie SaaS. Man mano che le organizzazioni adottano Zero Trust e MFA universale, gli attaccanti investono in tecniche che aggirano il fattore umano intercettando o forgiando il materiale post-autenticazione. Il perimetro difensivo si sposta di conseguenza verso il monitoraggio del ciclo di vita dei token, la validazione del contesto (device binding, conditional access) e la riduzione della finestra di validità come mitigazioni strutturali.

MITRE ATT&CK: tecnica T1550 e sotto-tecniche .001-.004, tattiche TA0005 e TA0008, campagna C0024 (SolarWinds Compromise), software S0661 (FoggyWeb), mitigazioni M1013, M1015, M1018, M1026, M1027, M1036, M1047. MITRE D3FEND per mapping difensivo. Detection set DET0338 con analytics AN0954-AN0960. Il contenuto include conoscenza professionale di cybersecurity per comandi operativi, sintassi di tool open source (Mimikatz, Rubeus, Impacket, NetExec, Pacu, AADInternals, Volatility 3) e artefatti forensi Windows/Linux/cloud verificabili nella documentazione ufficiale dei rispettivi progetti.