CISA ha condotto due simulazioni di attacco simultanee su organizzazioni critiche USA: entrambe compromesse, ma solo una ha rilevato l'intrusione. L'agenzia evidenzia come processi e persone siano decisivi per la difesa, più degli strumenti.
La U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha pubblicato i risultati di due valutazioni Red Team condotte in parallelo su due organizzazioni di infrastrutture critiche statunitensi, utilizzando tecniche simili ma riscontrando risposte difensive molto diverse. In entrambi i casi, i team di CISA sono riusciti a compromettere completamente il dominio e ad accedere a sistemi aziendali sensibili e risorse cloud. L'avviso, identificato come AA26-237A e intitolato "A Tale of Two SOCs", è stato diffuso il 25 agosto 2026.
Organizzazione A: compromissione totale e nessuna rilevazione
La prima vittima, denominata Organization A e appartenente al settore Government Services and Facilities, ha subito una compromissione completa senza accorgersi dell'attacco. Il Red Team ha ottenuto l'accesso iniziale sfruttando credenziali di default su un'applicazione web, riuscendo così a inviare email di phishing interne e a compromettere quattro workstation. L'escalation dei privilegi è avvenuta tramite abuso del Machine Account Quota lasciato al valore predefinito e di un template Active Directory Certificate Services (AD CS) mal configurato, simile alla tecnica Certighost recentemente emersa.
Il team ha poi raggiunto tre sistemi aziendali sensibili grazie a credenziali in chiaro, tra cui file di configurazione database decriptati e chiavi AWS statiche senza scadenza. In ambiente cloud, sono stati sottratti un Primary Refresh Token e sfruttate applicazioni Entra ID con permessi elevati per leggere le email del team di sicurezza e verificare la presenza di attività sospette. Nessuna di queste azioni è stata rilevata da Organization A.
CISA attribuisce la mancata rilevazione a migliaia di falsi positivi generati dalle normali attività aziendali, spesso classificati come ad alta gravità, che hanno oscurato gli alert reali. Inoltre, la presenza di più SOC e strumenti endpoint senza visibilità condivisa, la mancanza di procedure di escalation e l'autorità limitata degli analisti hanno impedito una risposta efficace. Un alert autentico relativo all'attività Red Team su un server SCCM è stato ignorato perché i difensori non sono riusciti a identificarne il proprietario.
Le principali vulnerabilità sfruttate
- Machine Account Quota lasciato al valore di default, consentendo a qualsiasi utente di dominio di aggiungere account macchina.
- Template AD CS configurati in modo errato, permettendo richieste di certificati da parte di qualsiasi utente (ESC1).
- Credenziali in chiaro per account di servizio e database su sistemi accessibili.
- Chiavi di accesso cloud statiche senza scadenza e assenza di revoca dei token.
- Applicazioni Entra ID con permessi eccessivi in grado di leggere la posta di tutti gli utenti.
Organization B: rilevazione tempestiva e contenimento
Nel caso di Organization B, appartenente al settore Water and Wastewater Systems, la situazione è stata opposta. Il SOC ha rilevato i payload di phishing non appena eseguiti, isolando le workstation compromesse in un intervallo tra 2 e 20 minuti e interrompendo le comunicazioni di comando e controllo prima che l'intrusione si propagasse.
Poiché il punto d'appoggio iniziale è stato eliminato, gli agenti di fiducia di CISA hanno eseguito manualmente un payload Red Team su un host non privilegiato per simulare l'accesso che sarebbe stato ottenuto. Anche qui sono emerse vulnerabilità simili: credenziali in chiaro per un account di servizio di dominio in un file SCCM, con privilegi su un domain controller, sfruttate per un attacco DCSync e l'estrazione del segreto krbtgt. Il team ha raggiunto anche un bastion host nella zona demilitarizzata OT, ma l'assenza di accesso internet in uscita ha impedito la creazione di un canale C2 e l'accesso ai sistemi OT veri e propri.
Persone e processi fanno la differenza
CISA sottolinea che la differenza tra i due casi non risiede negli strumenti, ma nelle persone e nei processi che li supportano: "Detection tools are only as effective as the people, processes, and procedures supporting them". La lezione è che la tecnologia, senza una governance efficace e personale formato, non basta a garantire la sicurezza.
Il tema della gestione dei permessi e delle configurazioni errate nei sistemi cloud e SaaS è stato recentemente al centro anche di altri attacchi, come quello che ha coinvolto portali Salesforce e ServiceNow, dove un'unica infrastruttura ha esfiltrato dati da più aziende sfruttando permessi eccessivi concessi agli utenti guest: un approfondimento su questa tecnica è disponibile qui.
