Comprendere gli attacchi pass-the-hash (PtH)

Pass-the-hash è un attacco in cui un avversario ruba la password hash di un utente (hash NTLM/LM) da una macchina e la usa per autenticarsi su altri sistemi.

Cos'è un attacco pass-the-hash?

Un attacco pass-the-hash avviene quando un aggressore ruba la password hashata di un utente (ad esempio, un hash NTLM) da una macchina compromessa e riutilizza quell’hash per autenticarsi su altri sistemi, senza mai aver bisogno della password in chiaro. Molti processi di autenticazione di Windows accettano un hash al posto della password, quindi l’aggressore può impersonare l’utente finché le credenziali dell’account non vengono cambiate o l’hash non viene invalidato.

Questo attacco sfrutta le debolezze nei protocolli di autenticazione di Windows, in particolare NTLM. NTLM e il vecchio protocollo LM utilizzano metodi di autenticazione basati su hash che accettano un hash valido al posto di una password in chiaro. LM è criptograficamente debole (facile da violare) e NTLM consente di riutilizzare lo stesso hash su più servizi di rete.

Il pass-the-hash è comune negli ambienti Windows. Tuttavia, le macchine Linux collegate ad Active Directory, i server di file Samba o i servizi che supportano NTLM/Kerberos possono accettare hash rubati e credenziali riprodotte. Le configurazioni di cloud ibrido e sincronizzazione AD-Entra ID sono anch’esse vulnerabili, specialmente dove l’autenticazione NTLM o la compatibilità legacy sono abilitate. Una volta che un attaccante ottiene accesso a un sistema ed estrae materiale di credenziali dalla memoria o dal disco, può “passare” l’hash per muoversi lateralmente, elevare i privilegi e persino compromettere i controller di dominio.

Come funziona un attacco pass-the-hash?

Un attacco pass-the-hash segue una catena semplice, da quando un attaccante ottiene un punto d'appoggio fino a raggiungere infine obiettivi di alto valore. Ecco le fasi comuni e cosa succede in ciascuna.

Accesso iniziale

L'attaccante ottiene un punto di accesso alla rete tramite phishing, rilascio di malware, sfruttamento di un servizio vulnerabile o uso di credenziali rubate. Questa base su una macchina utente o server gli consente di eseguire codice o leggere la memoria su un host target.

Raccolta di hash

Una volta su un host, l’attaccante estrae materiale di credenziali (hash o altri artefatti di autenticazione) dall’host compromesso o dal dominio. Mirano ai sistemi di archiviazione (il database SAM locale o un NTDS.dit esportato), ai processi residenti in memoria che memorizzano le credenziali nella cache (dump di memoria LSASS attivi), o utilizzano la replica/abuso di AD (come DCSync) per estrarre i dati degli account. Possono anche intercettare il traffico di rete dove vengono utilizzati protocolli legacy di challenge–response.

Autenticazione con l'hash rubato

L'attaccante riutilizza l'hash catturato per autenticarsi a SMB, RPC o altri servizi che accettano l'autenticazione NTLM (o simile), impersonando efficacemente l'account senza decifrare l'hash. Gli strumenti comuni usati per eseguire questa ripetizione includono Mimikatz, Invoke-TheHash, Sharp-SMBExec e framework offensivi come Cobalt Strike.

Movimento laterale

Utilizzando l'hash rubato, l'attaccante si sposta dall'host iniziale ad altre macchine. Usano meccanismi di gestione remota (condivisioni SMB, esecuzione remota tipo PsExec, WMIC, attività pianificate o strumenti amministrativi integrati) per raggiungere ulteriori macchine e raccogliere altre credenziali. Usano anche il furto di token e l'usurpazione per agire come altri utenti. In questo modo, espandono il loro controllo sulla rete mentre si mimetizzano con l'attività amministrativa legittima.

Escalatione dei privilegi

Con l'accesso laterale, gli aggressori prendono di mira account con privilegi più elevati (service accounts, domain admins e SIDs integrati ad alto privilegio come RID-500), abusano di configurazioni errate (service accounts con privilegi eccessivi, archivi di credenziali esposti) e sfruttano servizi vulnerabili per ottenere hash a livello amministrativo. Questo concede loro un controllo più ampio e riduce la necessità di rubare ripetutamente le credenziali.

Persistenza e obiettivi

Dopo aver ottenuto posizioni privilegiate, gli aggressori stabiliscono una persistenza (backdoor, attività pianificate, account di servizio modificati) per rimanere all’interno, anche dopo riavvii e cambi di password. Ora sono posizionati per perseguire obiettivi come il furto di dati, il rilascio di ransomware e lo spionaggio a lungo termine.

Supporto Netwrix

Strumenti come Netwrix Auditor e Netwrix Threat Manager possono aiutare a rilevare l'attività pass-the-hash monitorando continuamente i modelli di autenticazione e accesso. Identificano anomalie come accessi NTLM imprevisti, escalation di privilegi e accessi insoliti a processi sensibili come LSASS. Correlando questi eventi e fornendo avvisi in tempo reale, le organizzazioni possono indagare rapidamente e contenere potenziali movimenti laterali.

Diagramma del flusso di attacco

Diamo un’occhiata a un semplice flusso visivo dell’attacco pass-the-hash e a un esempio di storia dal punto di vista di un’organizzazione che mostra come l’attacco inizi con una violazione della rete che porta all’escalation dei privilegi e alla persistenza.

Presso Archie Corp, un dipendente apre un allegato di fattura dannoso, dando all'attaccante un punto d'appoggio iniziale nella rete. L'attaccante esegue un loader e scarica la memoria LSASS per catturare gli hash NTLM. Usando quegli hash, si autenticano a un file server interno tramite SMB ed eseguono PsExec per raggiungere altri host. Da un jump host, trovano un account di servizio con privilegi elevati e riutilizzano il suo hash per accedere a un controller di dominio. L'attaccante crea un'attività pianificata per la persistenza ed esfiltra file sensibili, quindi distribuisce ransomware.

Esempi di attacchi pass-the-hash

Gli attacchi pass-the-hash si presentano ripetutamente nelle intrusioni reali. Ecco alcuni esempi concreti che illustrano come questa tecnica appare in campagne ransomware e mirate.

Conseguenze degli attacchi pass-the-hash

Gli attacchi pass-the-hash possono avere conseguenze di vasta portata perché concedono agli aggressori l'accesso a livello amministratore. Il danno non si limita all'impatto tecnico. Influisce sulle finanze, sulla continuità aziendale, sulla fiducia dei clienti e persino sulla conformità normativa.

Obiettivi comuni di un attacco pass-the-hash: chi è a rischio?

Gli attacchi pass-the-hash sono più efficaci contro i sistemi che memorizzano, elaborano o accettano hash di autenticazione riutilizzabili. Di seguito vengono discussi alcuni obiettivi comuni.

Valutazione del rischio

Pass-the-hash è un attacco ad alto rischio perché consente agli aggressori di impersonare gli utenti e prendere il controllo completo di un dominio Active Directory con credenziali privilegiate.

Come prevenire gli attacchi pass-the-hash

Gli attacchi pass-the-hash sfruttano pratiche di autenticazione deboli e privilegi eccessivi. Per prevenirli, le organizzazioni devono ridurre l'esposizione delle credenziali, bloccare i diritti di amministratore e monitorare attentamente i segnali di uso improprio. Le seguenti migliori pratiche possono aiutare.

Rafforzamento delle credenziali e dell'autenticazione

• Disabilita o elimina gradualmente NTLM ovunque possibile e applica l'autenticazione basata su Kerberos. NTLM è obsoleto e molto più soggetto ad abusi.
• Se NTLM è ancora necessario, limitare l'uso a NTLMv2 per una protezione crittografica più forte.
• Abilita Windows Defender Credential Guard per isolare LSASS e proteggere il materiale delle credenziali dal furto.
• Attiva la protezione LSA (RunAsPPL) per impedire ai processi non attendibili di leggere la memoria LSASS.
• Disabilita WDigest in modo che le password in testo semplice non vengano memorizzate nella cache della memoria.

Controlli di accesso privilegiato

• Applica il principio del minimo privilegio (PoLP). Gli utenti dovrebbero avere solo l'accesso di cui hanno veramente bisogno e nessun diritto amministrativo non necessario.
• Usa just-in-time (JIT) e Just Enough Administration (JEA) per concedere diritti amministrativi temporanei per attività specifiche.
• Randomizza le password degli amministratori locali con Microsoft LAPS o LAPS2 per prevenire il riutilizzo delle credenziali.
• Non riutilizzare mai le password degli amministratori locali su più macchine.
• Aggiungi account sensibili e di alto valore al gruppo Protected Users.

Sicurezza dell'identità e degli account

• Implementa Privileged Access Management (PAM) o un vault per password per controllare e auditare le credenziali privilegiate.
• Sostituire gli account di servizio statici con account di servizio gestiti di gruppo (gMSA).
• Applica la rotazione regolare e automatica delle password per tutti gli account di alto valore.
• Richiedi l'autenticazione a più fattori (MFA) per l'accesso remoto e privilegiato.
• Eseguire audit continui degli account privilegiati per rimuovere quelli inattivi e obsoleti.

Difese di rete e protocollo

• Blocca il traffico SMB/RPC da workstation a workstation per prevenire movimenti laterali. Puoi farlo applicando la segmentazione est-ovest, come regole firewall o politiche firewall host che negano SMB/RPC tra endpoint.
• Abilita la firma e la crittografia SMB per una maggiore integrità della sessione.
• Usa Remote Credential Guard per proteggere le credenziali durante le sessioni RDP.
• Segmenta gli account amministrativi per livelli (ad esempio, Livello 0 per controller di dominio, Livello 1 per server) per contenere potenziali violazioni.
• Applica restrizioni di accesso in modo che gli account privilegiati possano accedere solo ai sistemi approvati.

Igiene IT e operativa

• Applica patch regolarmente, soprattutto per le vulnerabilità relative all'autenticazione e a NTLM.
• Eseguire regolarmente test di penetrazione e esercitazioni di red team per convalidare le tue difese.
• Forma i dipendenti a riconoscere i tentativi di phishing e i rischi di furto delle credenziali.
• Mantieni immagini golden e backup immutabili o offline per un rapido recupero dopo gli incidenti.
• Passa a un modello Zero Trust in cui verifichi continuamente ogni utente, dispositivo e richiesta.

Come Netwrix può aiutare

Gli attacchi pass-the-hash sono difficili da fermare solo con le difese tradizionali perché sfruttano credenziali valide. Le soluzioni Netwrix rafforzano la sicurezza dell'identità rilevando comportamenti di autenticazione sospetti, controllando l'accesso privilegiato e fornendo piena visibilità sull'attività degli account.

Netwrix Threat Manager

Netwrix Threat Manager aiuta a rilevare l’attività PtH combinando inganno e analisi comportamentale per individuare il furto di credenziali e i movimenti laterali.

• Inganno (honeytokens): Threat Manager consente di distribuire honeytokens come credenziali “esca” nell’ambiente. Se un attaccante tenta di usarle o autenticarsi con esse, è un forte indicatore di raccolta e riutilizzo malevoli delle credenziali. Il sistema genererà un avviso per l’indagine.
• Analisi comportamentale e rilevamento delle anomalie: Il prodotto stabilisce una baseline del comportamento normale di utenti e servizi e quindi segnala anomalie che corrispondono a schemi di furto di credenziali o movimento laterale, ad esempio account che si autenticano da host mai utilizzati prima, picchi improvvisi nel numero di host a cui un account accede o uso insolito di strumenti amministrativi. Questi rilevamenti basati sull'identità sono correlati con eventi di AD, Entra ID e del file system per ridurre i falsi positivi e generare avvisi in tempo reale.

Netwrix Privilege Secure

Privilege Secure riduce il rischio di credenziali rubate e riutilizzate proteggendo gli account privilegiati. Rimuove i privilegi permanenti, applica l’accesso just-in-time, fornisce il vault delle credenziali e monitora l’attività privilegiata. Ciò impedisce agli attaccanti di abusare di password e hash memorizzati, rendendo più difficile il successo degli attacchi pass-the-hash.

• Privilegi permanenti zero con accesso JIT: Privilege Secure concede privilegi elevati solo quando un’attività è approvata e li revoca automaticamente dopo. Ciò elimina gli account amministratore a lunga durata che gli aggressori potrebbero sfruttare.
• Archiviazione delle credenziali: Il prodotto si integra con vaults o può gestire i segreti autonomamente. Centralizza le credenziali privilegiate e riduce le password riutilizzate sugli endpoint. L'archiviazione centrale unita alla rotazione automatica impedisce agli aggressori di trovare credenziali stabili da estrarre e riutilizzare.
• Monitoraggio e audit delle sessioni: Privilege Secure registra e monitora le sessioni e le azioni privilegiate (chi ha accesso a cosa, quando e come) per audit e preparazione forense.
• Controllo granulare dei privilegi e rimozione dei diritti di amministratore locale: Il prodotto consente di rimuovere i diritti di amministratore locale dagli utenti, concedere solo permessi specifici per attività e gestire centralmente l'accesso elevato.
• Scoperta di account privilegiati nascosti: Privilege Secure può eseguire la scansione degli endpoint e identificare account privilegiati nascosti e non gestiti.

Netwrix Auditor

Auditor ti offre una visibilità completa sull’attività degli utenti e sulle modifiche di sistema. Tiene traccia degli accessi, delle modifiche agli account e ai privilegi, e delle modifiche di configurazione nell’intero ambiente. Tutte le azioni sono registrate con dettagli su chi, cosa, quando e dove. Questo facilita i team nell’indagare comportamenti insoliti, rispondere agli incidenti e rispettare le normative.

• Rileva accessi sospetti e attività NTLM: Auditor traccia tutti gli accessi riusciti e falliti (inclusa l'autenticazione NTLM). Fornisce dettagliati audit trail che mostrano orari di accesso, host e utilizzo degli account, aiutando i team a identificare accessi insoliti che potrebbero indicare furto d'identità o un account compromesso.
• Monitora l'uso degli account privilegiati: Il prodotto registra quando gli account privilegiati (come Domain Admins e account di servizio) vengono utilizzati al di fuori dei sistemi e degli orari previsti, e genera avvisi per avvertire i team.
• Verifica le modifiche ad account e gruppi sensibili: Gli aggressori spesso aggiungono account compromessi ai gruppi di amministrazione dopo aver utilizzato PtH. Auditor invia avvisi quando vengono modificati gruppi critici di Active Directory.
• Fornisce tracce di audit forensi: Registri dettagliati di chi ha accesso a cosa e quando consentono agli investigatori di tracciare come sono stati utilizzati gli hash rubati.

Strategie di rilevamento, mitigazione e risposta

Gli attacchi pass-the-hash possono svolgersi silenziosamente. Per questo motivo, la rilevazione precoce e una risposta rapida sono fondamentali. Le tue tattiche di difesa dovrebbero combinare visibilità, gestione rigorosa delle credenziali e una risposta disciplinata per ridurre i danni di tali attacchi.

Rilevamento

La rilevazione precoce dipende dall'individuazione di sottili anomalie di autenticazione e modelli di abuso delle credenziali.

Monitorare gli ID eventi di Windows

I team di sicurezza dovrebbero monitorare gli ID evento di Windows 4624, 4625, 4648, 4672 e 4688 per rilevare accessi insoliti, tentativi falliti e uso di privilegi.

• 4624: Attivato quando un utente o un servizio effettua l'accesso con successo. Utile per individuare accessi insoliti o inattesi (come gli accessi di rete NTLM).
• 4625: Registrato quando un tentativo di accesso fallisce.
• 4648: Si verifica quando un utente o processo tenta di accedere utilizzando credenziali esplicite (ad esempio, runas, unità mappate, connessioni remote). Comune nei tentativi di PtH e movimenti laterali.
• 4672: Indica che una sessione di accesso ha ricevuto privilegi elevati.
• 4688: Registrato quando un processo inizia. Essenziale per rilevare strumenti o script sospetti (come Mimikatz, PsExec e payload di PowerShell).

Tentativi di accesso insoliti a LSASS.exe

Gli aggressori prendono di mira il processo LSASS per estrarre materiale di credenziali dalla memoria. L'ID evento 10 di Sysmon registra i tentativi di accesso diretto a LSASS, ad esempio, quando strumenti di furto di credenziali come Mimikatz o Cobalt Strike cercano di leggere la memoria del processo. Tale accesso è raro nelle normali operazioni, quindi tentativi ripetuti o insoliti di accesso a LSASS dovrebbero far scattare allarmi.

Picchi nelle autenticazioni NTLM remote

Attenzione a picchi insoliti di autenticazione NTLM. I logon NTLM di Tipo 3 (rete) o Tipo 10 (interattivo remoto) mostrano autenticazioni tramite SMB, RPC e RDP. Un improvviso aumento di questi eventi da un singolo account o host può indicare il riutilizzo di hash per movimenti laterali.

Attività NTLM o autenticazione da endpoint insoliti

Un aumento nelle autenticazioni o accessi NTLM provenienti da macchine mai viste prima potrebbe suggerire che un attaccante stia riproducendo hash tra sistemi.

Attività SMB o RPC da workstation a workstation

I normali flussi di lavoro aziendali raramente prevedono che la postazione di un dipendente avvii sessioni SMB e RPC con un’altra postazione. Per questo motivo, tieni d’occhio il traffico insolito est-ovest (ad esempio, tra due laptop degli utenti) poiché può segnalare un movimento laterale.

Completa il monitoraggio dei log con soluzioni EDR, XDR e Identity Threat Detection & Response

Le soluzioni di Endpoint detection and response (EDR), extended detection and response (XDR) e identity threat detection and response (ITDR) possono identificare minacce basate sull'identità in tempo reale. Questi strumenti analizzano il comportamento del sistema e dell'identità su più host. Definiscono i modelli normali di accesso e segnalano quando un account accede da nuove macchine, utilizza metodi di autenticazione obsoleti come NTLM o mostra movimenti laterali coerenti con tattiche PtH.

Distribuire account e token honeypot

Gli account honeypot (detti anche honeytokens) sono account utente falsi o credenziali posizionati in sistemi o aree di memoria che gli attaccanti solitamente sondano. Se questi account vengono utilizzati o autenticati, i difensori sanno immediatamente che qualcuno sta raccogliendo o riproducendo credenziali.

Mitigazione

La mitigazione del pass-the-hash richiede il rafforzamento delle credenziali, il restringimento dei privilegi e la segmentazione dei confini di fiducia.

Protezione delle credenziali

La protezione forte delle credenziali è al centro della mitigazione degli attacchi PtH. Gli aggressori si basano su dati di autenticazione memorizzati o in cache, quindi isolarli e proteggerli limita il loro successo.

• Disabilita NTLM o applica solo NTLMv2: NTLM è un protocollo di autenticazione comunemente abusato. Disabilitarlo completamente costringe i sistemi a utilizzare un'autenticazione Kerberos più forte. Se disabilitarlo non è fattibile a causa di dipendenze legacy, applica NTLMv2 poiché offre una migliore robustezza crittografica e aiuta a ridurre l'esposizione agli attacchi di replay.
• Abilita Credential Guard e LSA Protection: Windows Defender Credential Guard utilizza la sicurezza basata sulla virtualizzazione per isolare segreti come gli hash NTLM e i ticket Kerberos dal resto del sistema operativo. Questo aiuta a prevenire il furto tramite dump di memoria. Allo stesso modo, LSA Protection (RunAsPPL) assicura che solo processi affidabili e firmati possano accedere al processo LSASS, bloccando strumenti come Mimikatz dall’estrarre le credenziali.
• Disabilita WDigest per interrompere la memorizzazione nella cache delle password in testo semplice: I sistemi Windows più vecchi e alcune configurazioni memorizzano le password in testo semplice nella memoria tramite il pacchetto di autenticazione WDigest. Disabilita WDigest per impedire che queste password in testo semplice vengano memorizzate nella cache. Ciò garantisce che, anche se gli aggressori estraggono la memoria LSASS, ottengano solo credenziali crittografate o con hash.

Controlli di rete e protocollo

Le difese a livello di rete possono impedire agli aggressori di utilizzare hash rubati per spostarsi lateralmente tra i sistemi. Segmentare, crittografare e convalidare il traffico assicura che avvengano solo comunicazioni legittime.

• Blocca il traffico SMB/RPC da workstation a workstation: Gli aggressori si diffondono lateralmente riutilizzando gli hash su connessioni SMB o RPC tra workstation degli utenti. Queste connessioni non sono utilizzate per le normali operazioni aziendali. Blocca la comunicazione diretta da workstation a workstation per limitare la capacità di un aggressore di pivotare attraverso la rete dopo una compromissione iniziale.
• Richiedi firma/cifratura SMB: La firma SMB verifica l'integrità dei pacchetti SMB e previene manomissioni, mentre la cifratura SMB garantisce che le credenziali e i dati sensibili non vengano esposti durante il transito. Applica queste funzionalità per impedire agli aggressori di intercettare o riprodurre il traffico di autenticazione.
• Abilita Remote Credential Guard per RDP: Remote Credential Guard impedisce che le credenziali vengano inviate ai sistemi remoti durante le sessioni RDP. Invece, l'autenticazione viene gestita lato client, riducendo il rischio che hash e ticket Kerberos vengano raccolti dalla macchina remota.

Igiene operativa

Una buona igiene della sicurezza mantiene le credenziali, i sistemi e le configurazioni resilienti contro lo sfruttamento.

• Ruotare le password degli account di servizio o sostituirle con gMSA: Le credenziali statiche o condivise degli account di servizio sono un obiettivo comune di attacco. Le Group Managed Service Accounts automatizzano la rotazione delle password e una rotazione frequente rende rapidamente inutilizzabili per gli aggressori gli hash rubati.
• Applica regolarmente patch ai sistemi per rimuovere vulnerabilità sfruttabili: Molti attacchi di furto di credenziali, incluso PtH, iniziano con exploit di escalation dei privilegi che concedono accesso SYSTEM o amministratore locale. Mantieni i sistemi patchati in modo che gli aggressori non possano utilizzare vulnerabilità note per raggiungere LSASS o estrarre dati delle credenziali.
• Eseguire regolarmente test di penetrazione e red teaming: I test di penetrazione periodici e gli esercizi di red team simulano catene di attacco reali, comprese le tecniche PtH. Queste valutazioni aiutano a identificare configurazioni deboli, punti ciechi nel rilevamento e lacune nelle difese contro i movimenti laterali.
• Forma il personale sulla consapevolezza di phishing e furto di credenziali: Molte campagne PtH iniziano con l’ingegneria sociale, dove un allegato o un link malevolo in un’email fornisce il primo accesso. La formazione regolare aiuta i dipendenti a riconoscere i tentativi di phishing, capire perché le credenziali non devono mai essere riutilizzate e segnalare tempestivamente le email sospette.

Risposta

Quando compaiono indicatori di attività PtH, il contenimento rapido e l'indagine forense sono fondamentali per minimizzare l'impatto.

Azioni immediate

Quando viene rilevato un attacco pass-the-hash, contenerlo rapidamente. L'obiettivo è limitare i danni, fermare i movimenti dell'attaccante e preservare le prove per l'indagine.

• Reimpostare gli account compromessi per invalidare gli hash rubati: Poiché gli attacchi PtH si basano su hash di password riutilizzati, è necessario reimpostare immediatamente gli account interessati per invalidare tali credenziali.
• Metti in quarantena gli endpoint interessati per l'indagine forense: Isola i sistemi compromessi dalla rete per impedire agli aggressori di usarli come punti pivot per movimenti laterali. Analizza i dispositivi in quarantena per determinare come sono state rubate le credenziali e se altri sistemi sono a rischio.
• Contieni il movimento laterale segmentando i sistemi infetti: La segmentazione della rete può bloccare la capacità dell’attaccante di muoversi lateralmente nell’ambiente. Colloca i sistemi infetti in zone di rete ristrette, limita le condivisioni amministrative e disabilita i protocolli remoti non necessari (SMB/RDP) per contenere la violazione.

Indagine forense

Dopo il contenimento, l'analisi forense aiuta i team a comprendere l'entità della violazione.

• Analizza i dump LSASS, SAM, NTDS.dit per indicatori di compromissione: Esamina i dump di memoria LSASS, il database Security Account Manager (SAM) e il database NTDS.dit di Active Directory per scoprire se sono state estratte credenziali e quali account sono interessati.
• Review authentication logs to map attacker movement: Event logs provide a timeline of logons and privilege escalations. By correlating these events, analysts can reconstruct how the attacker authenticated across systems, identify lateral movement paths, and locate the initial access point.
• Identificare i meccanismi di persistenza (nuovi utenti, attività pianificate, modifiche GPO): Gli aggressori creano backdoor per riconquistare l'accesso dopo il reset delle password o la ricostruzione del sistema. Cercare account utente non autorizzati, attività pianificate dannose, elementi di avvio e Oggetti Criteri di Gruppo modificati per garantire che i metodi di persistenza vengano rimossi prima del recupero.

Recupero e indurimento

Once the investigation concludes, focus shifts to restoring operations and strengthening defenses to prevent recurrence.

• Ricostruisci gli host compromessi con immagini golden: I sistemi coinvolti nell’attacco devono essere cancellati e ricostruiti utilizzando immagini golden affidabili. Questo rimuove completamente malware nascosti, rootkit e modifiche del registro lasciate dagli aggressori.
• Ripristina da backup offline/immutabili: I backup disconnessi dalla rete o archiviati in storage immutabile sono fondamentali per un recupero pulito. Ripristina da backup verificati e non manomessi per riportare rapidamente i sistemi online senza reintrodurre dati o configurazioni compromessi.
• Ruota le credenziali di alto valore (Domain Admin, account di servizio, KRBTGT): Le credenziali con privilegi elevati sono un obiettivo principale nelle campagne PtH. Ruota queste password, in particolare l'account KRBTGT che emette i ticket Kerberos, per invalidare password e token rubati.
• Implementa difese di identità più forti (Privileged Access Management, MFA, EDR/Identity Threat Detection & Response): Introduci Privileged Access Management per sessioni amministrative controllate, MFA per prevenire l'uso improprio a singolo fattore e soluzioni EDR/Identity Threat Detection & Response per rilevare comportamenti di autenticazione anomali e tentativi di uso improprio delle credenziali.

Impatto specifico del settore

Gli attacchi pass-the-hash interessano quasi tutti i settori, ma le loro conseguenze variano a seconda del tipo di dati, sistemi e normative coinvolti. Ecco come vengono colpiti i diversi settori.

Evoluzione degli attacchi e tendenze future

Lanciare attacchi pass-the-hash una volta richiedeva competenze tecniche avanzate. Oggi, toolkit automatizzati facilmente disponibili consentono agli aggressori di utilizzare questa tecnica come parte di catene di attacco più ampie.

Statistiche chiave e infografiche

Questa sezione discute alcune statistiche e dati che mostrano come gli attacchi pass-the-hash influenzano e prevalgono nella vita reale. Dai risultati di indagini globali alle investigazioni sulle violazioni, il furto e il riutilizzo delle credenziali giocano un ruolo centrale negli incidenti informatici.

• Secondo il 2026 Verizon Data Breach Investigations Report (DBIR), l'uso di credenziali rubate è stato coinvolto nel 36% delle violazioni, mentre il 62% di tutte le violazioni includeva un elemento umano come l'ingegneria sociale, l'abuso di privilegi e il furto di credenziali. Questi risultati evidenziano come la compromissione delle credenziali rimanga un fattore persistente e significativo negli attacchi informatici.
• Le credenziali compromesse sono state la causa principale del 23% degli attacchi ransomware, secondo il rapporto The State of Ransomware 2025 di Sophos. Le tecniche di attacco basate sulle credenziali, incluso il pass-the-hash, sono tra i metodi che contribuiscono a questo vettore. Quando combinate con altri vettori di attacco basati sulle credenziali, le credenziali rubate o utilizzate in modo improprio rimangono uno dei principali abilitatori delle distribuzioni di ransomware.
• Secondo il Sophos Active Adversary Report 2025, le credenziali compromesse sono state la causa principale nel 41% dei casi di risposta agli incidenti investigati nel 2024. Microsoft e altri fornitori di sicurezza continuano a mettere in guardia sul fatto che il dumping delle credenziali LSASS, un passaggio chiave negli attacchi PtH, rimane uno dei modi più comuni con cui gli aggressori ottengono le credenziali necessarie per muoversi lateralmente negli ambienti aziendali.

Ripartizione del vettore di accesso iniziale (2025)

I seguenti dati, tratti dal rapporto M-Trends 2026 di Mandiant, mostrano che le credenziali rubate rappresentavano il 9% dei vettori di accesso iniziale identificati nel 2025, sottolineando il loro ruolo continuo come punto di ingresso utilizzato dagli aggressori per muoversi lateralmente e aumentare i privilegi una volta all'interno.

Dai dati di Mandiant del 2025:

• Sfruttamento delle vulnerabilità: 32%
• Phishing vocale: 11%
• Compromesso precedente: 10%
• Credenziali rubate: 9%
• Altri metodi: 38%

Considerazioni finali

Gli attacchi pass-the-hash esistono da decenni e funzionano ancora perché sfruttano qualcosa di fondamentale nel funzionamento dell'autenticazione di Windows. Non puoi semplicemente risolvere il problema con una patch o sperare che non accada a te. Le difese contro PtH sono ben comprese e sono efficaci. Le workstation di Privileged Access, la gerarchia delle credenziali e il monitoraggio dei movimenti laterali sono controlli che funzionano nella pratica.

Le credenziali memorizzate nella cache sono un obiettivo reale e accessibile. Blocca i percorsi che vi conducono. Non aspettare di essere nella risposta agli incidenti per scoprire dove sono le lacune.