Guide tecniche 15 min di lettura

Active Directory e movimento laterale: cosa accade dopo la violazione del perimetro esterno?

Penetrare la rete aziendale è soltanto il primo passo dell'intruso. L'obiettivo reale è conquistare l'Active Directory per distribuire il ransomware sull'intera infrastruttura in una manciata di minuti. L'analisi tecnica delle dinamiche di escalation interna.

Autore: Areg Arakelyan
Aggiornato al:
Standard di audit: ISO/IEC 27001

Dinamiche dell'escalation interna

  • Il Domain Controller come bersaglio finale: Controllare il controller di dominio equivale ad avere pieno potere su ogni file e computer aziendale.
  • Tecniche Kerberoasting: Estrazione di hash di account di servizio per craccarli offline senza destare sospetti nei sistemi di log.
  • Architettura a livelli (Tiering): Separare rigidamente le credenziali di amministrazione per impedire la scalata verso il ruolo di Domain Admin.

1. Dal primo accesso a Domain Admin: la catena d'attacco

  1. Reperimento di credenziali in memoria LSASS sulla postazione infetta.
  2. Movimento laterale verso altri server tramite protocolli WMI o SMB.
  3. Estrazione delle credenziali dei controller di dominio con attacchi DCSync.
  4. Distribuzione massiva del payload cifrante tramite policy di gruppo (GPO).
Areg Arakelyan

Areg Arakelyan

Lead Security Analyst, Suisse IT GmbH. Esperto in simulazione d'attacco, analisi delle minacce e protezione di ospedali, comuni e PMI svizzere.