Questa cronologia si basa su una simulazione APT reale e anonimizzata in un'azienda media: circa 1.500 oggetti in Active Directory, EDR installato su tutti i terminali, un SOC attivo in orario d'ufficio. L'obiettivo di missione era stretto: esfiltrazione dimostrata di dati dal file server delle Risorse Umane. Nessun zero-day, nessun tooling esotico: 36 ore dalla prima mail di phishing al dominio in mano.
-
Ora 0
Accesso iniziale (T1566, T1078)
Una mail di phishing travestita da notifica interna porta a una pagina di login clonata. L'utente inserisce credenziali valide; la MFA viene attraversata senza scattare, perché l'accesso arriva da un dispositivo riconosciuto come gestito. Per il SOC, un login qualunque.
-
Ora 2
Foothold (T1059, T1105)
Sul portatile, un piccolo impianto avviato dalla memoria apre la sessione senza scrivere nulla su disco. L'agente EDR gira in modalità pass-through su questo host – era in una lista di eccezioni durante l'onboarding. La prima possibilità di fermare l'operazione è sprecata.
-
Ora 6
Scoperta (T1069, T1087)
Ricognizione quasi del tutto con strumenti di sistema: sessioni, condivisioni, elenchi di host. Più un unico eseguibile di enumerazione firmato appoggiato in locale. Nessun allarme.
-
Ora 12
Kerberoasting (T1558.003)
I ticket degli account di servizio vengono estratti e crackati offline. Uno cede in pochi minuti: 22 caratteri, ma costruiti con il nome dell'azienda e l'anno. Le password degli account di servizio sono i segreti meno ruotati di un AD.
-
Ora 18
Movimento laterale (T1021.001)
L'account di servizio è amministratore locale su due server applicativi. Lo spostamento avviene tramite RDP. Da lì: ticket in memoria, una condivisione di file di configurazione, un job di backup che consegna un candidato password di servizio. La segmentazione tra i livelli client, applicativo e di amministrazione esiste solo sulla carta.
-
Ora 26
Escalation (T1098, T1003.006)
Una delega dimenticata permette all'account di gestire i gruppi di una OU. L'account macchina dell'impianto viene inserito in un gruppo operativo privilegiato; dopo la replica, DCSync con il nuovo account. Amministratore di dominio.
-
Ora 36
Missione (T1041)
Dalla posizione di amministratore di dominio la strada verso il server HR è diritta: 1,4 GB vengono appoggiati ed esfiltrati via HTTPS in una finestra notturna di 90 minuti, camuffati da traffico di backup.
Rileggendo la cronologia con il blue team: cinque dei sette passaggi erano allarmabili con gli strumenti già installati – consumo Kerberos anomalo, nuovi membri nei gruppi privilegiati, diritti DCSync comparsi nella notte, l'eccezione EDR, il comportamento di sessione in memoria. Non è stato un zero-day, ma percorsi di identità e configurazione uniti a una rilevazione assente.
Il rapporto conteneva la cronologia completa con tutti gli indicatori di compromissione e raccomandazioni prioritarie su logging, hardening e detection engineering. La lezione fa rima con tutto ciò che scriviamo: il controllo non finisce con l'accesso, finisce con la detection.
Boutique professionale europea di sicurezza per pentesting d'élite, Red Teaming e sviluppo di exploit.