Account Validi: Valid Accounts (T1078)
La tecnica T1078 - Valid Accounts descrive l'abuso di credenziali legittime già esistenti nell'ambiente vittima per ottenere accesso, mantenere persistenza, elevare privilegi ed eludere le difese. È una delle tecniche più insidiose dell'intero framework MITRE ATT&CK perché attraversa quattro tattiche contemporaneamente: TA0001 Initial Access, TA0003 Persistence, TA0004 Privilege Escalation e TA0005 Defense Evasion. La copertura trasversale la rende un vero e proprio jolly nella kill chain: un attaccante che dispone di credenziali valide può saltare interamente le fasi rumorose di exploit e vivere off the land, mimetizzandosi nel traffico legittimo.
I numeri raccontano la portata del fenomeno: 44 gruppi APT tracciati, 6 famiglie malware, 10 campagne documentate e 8 mitigazioni ufficiali. Tra i vettori più sfruttati emergono VPN, RDP, Citrix, VNC, OWA e portali IAM cloud, spesso protetti da un solo fattore. Il fenomeno degli account dormienti (dipendenti usciti dall'organizzazione, service account dimenticati) rappresenta un ulteriore moltiplicatore di rischio, così come la sovrapposizione di permessi tra account locali, di dominio e cloud, che consente movimenti laterali fino a raggiungere privilegi di domain admin o enterprise admin. La particolarità operativa è l'assenza di malware nella fase iniziale: l'attaccante che si autentica come utente legittimo produce eventi indistinguibili dall'attività normale, spostando l'onere della detection dalla firma al comportamento.
In un esercizio red team, l'abuso di Valid Accounts parte quasi sempre dalla raccolta credenziali. Le tecniche più comuni includono password spraying contro portali esposti (OWA, Microsoft 365, VPN gateway), estrazione da dump pubblici e credential stuffing. Strumenti come CrackMapExec/NetExec (open source) restano il coltellino svizzero per il testing su reti Windows: nxc smb
Per l'enumerazione Active Directory dopo l'accesso, BloodHound con collector SharpHound (open source) mappa i percorsi di attacco: si esegue SharpHound.exe -c All,GPOLocalGroup e si importa il file zip nel database Neo4j per identificare kill chain verso Domain Admins. Rubeus (open source) gestisce le operazioni Kerberos, incluso il ticket harvesting con Rubeus.exe dump e il pass-the-ticket con Rubeus.exe ptt /ticket:
Su Linux, l'accesso via SSH con credenziali riciclate rimane il vettore preferito. Hydra (open source) supporta il brute force controllato in lab: hydra -L users.txt -P pass.txt ssh://
Per il cloud, ROADtools (open source) e AADInternals (open source) enumerano tenant Azure/Entra ID partendo da credenziali valide, mentre Pacu (open source) esegue attacchi post-exploitation su AWS. La simulazione di impossible travel si ottiene routando l'autenticazione attraverso VPN commerciali (a pagamento) in geografie diverse, utile per validare le regole di conditional access.
Un engagement realistico dovrebbe includere test su account di servizio con interactive logon non ristretto, verifica dell'esposizione di credenziali in repository interni tramite TruffleHog (open source) o Gitleaks (open source), e prova di persistenza tramite creazione di scheduled task con account compromesso, replicando pattern osservati in Chimera e in campagne ransomware recenti.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo