Acquisizione Infrastruttura: Acquire Infrastructure (T1583)

Trattandosi di una tecnica pre-compromise, l'obiettivo in un ingaggio red team non è "attaccare" ma simulare in modo lab-safe la costruzione di un'infrastruttura offensiva realistica, così che il blue team possa esercitarsi sul suo utilizzo.

Il punto di partenza è la registrazione di domini plausibili. In laboratorio si acquistano domini economici e li si configura con DNSSEC e privacy WHOIS per replicare la mimetizzazione osservata negli avversari reali. Per generare varianti typosquatting utili a un test di phishing autorizzato, dnstwist (open source) produce permutazioni di un dominio bersaglio e ne verifica la disponibilità:

dnstwist --registered esempio-cliente.com

Sul fronte hosting, il tradecraft prevede di distribuire i ruoli: un redirector davanti al vero teamserver. Strumenti come Cobalt Strike (a pagamento) o l'alternativa Sliver (open source) supportano profili malleable e listener HTTPS che imitano traffico legittimo. Un redirector Apache o Nginx filtra le richieste in base a User-Agent e URI, inoltrando solo il traffico dell'operazione verso il C2.

Per l'anonimizzazione dell'ultimo hop verso la vittima, i gruppi documentati impiegano VPN commerciali e Tor. In esercizio si replica il comportamento instradando il traffico attraverso una VPN dedicata all'ingaggio o tramite torsocks per validare le detection lato difesa:

torsocks curl -s https://

Alcuni avversari ricorrono a servizi di proxy residenziale per far apparire le connessioni come traffico domestico legittimo, e a piattaforme di email marketing per nascondere il vero mittente delle campagne di phishing. In un test controllato, l'invio va effettuato solo verso caselle di proprietà del cliente, con esplicita autorizzazione scritta.

La catena tipica che si costruisce in lab segue questa sequenza:

• Registrazione dominio e categorizzazione (per superare i web filter)
• Certificato TLS valido tramite una CA gratuita
• Deploy di redirector cloud e teamserver separati
• Profilo C2 che imita un servizio web legittimo
• Ultimo hop dietro VPN o rete di anonimizzazione

Per la ricognizione dell'infrastruttura da simulare, Recon-ng (open source) e SpiderFoot (freemium) automatizzano la raccolta OSINT. È essenziale documentare ogni asset provvisionato in un runbook, così che al termine dell'ingaggio tutto venga dismesso senza lasciare risorse orfane esposte.

Poiché l'acquisizione avviene fuori dal perimetro, la rilevazione è indiretta: non si osserva l'acquisto, ma il momento in cui l'infrastruttura viene usata contro l'organizzazione, tipicamente nelle fasi di Initial Access e Command and Control. Gli artefatti digitali su cui concentrarsi sono Domain Name, DNS Record, i certificati TLS e le connessioni di rete in uscita.

Le fonti di log indicate per questa tecnica sono Internet Scan e Domain Name. In pratica, i motori di scansione internet permettono di scoprire proattivamente server C2 avversari cercando pattern riconoscibili: servizi in ascolto su porte anomale, certificati riutilizzati, feature di negoziazione SSL/TLS o banner riconducibili a framework offensivi noti. Piattaforme come Shodan (freemium) e Censys (freemium) supportano questa caccia sull'external attack surface.

Sul versante DNS, conviene monitorare sia le query registrate sui resolver interni sia i dati di registrazione dei domini. L'ispezione dei log DNS (via Sysmon EventID 22 per DNS query sugli endpoint Windows, o log del resolver aziendale) evidenzia risoluzioni verso domini di recente creazione o con reputazione assente. Correlare questi eventi con i dati WHOIS aiuta a segnalare domini appena registrati, un forte indicatore quando combinato con traffico da parte di pochi host.

Sul piano preventivo (Harden), la mitigazione M1056 (Pre-compromise) raccomanda un ventaglio di controlli. Sul fronte email, l'enforcement di SPF, DKIM e DMARC riduce l'efficacia dei domini spoofati, mentre soluzioni come Microsoft Defender for Office 365, Proofpoint o Mimecast filtrano le campagne. Per i domini lookalike è utile un monitoraggio continuo tramite servizi di brand protection come DomainTools.

Alcuni indicatori comportamentali meritano regole dedicate:

• Connessioni verso VPN commerciali o proxy residenziali da host che non dovrebbero usarle
• Traffico verso piattaforme di email marketing usate come vettore di phishing
• Beaconing regolare verso domini di recente registrazione

Attenzione ai falsi positivi: l'uso di VPN e servizi di anonimizzazione, così come le piattaforme di marketing, è ampiamente legittimo. La discriminante è il contesto — quale host, quale utenza, quale periodicità. Un servizio come HubSpot o MailerLite non è di per sé malevolo, lo diventa quando è il canale di consegna di email di phishing indirizzate ai dipendenti. La detection efficace nasce dalla correlazione, non dal singolo evento.

L'analisi forense di questa tecnica richiede uno sguardo che parte all'esterno del perimetro. Poiché l'infrastruttura viene acquisita presso terze parti, gli artefatti più preziosi risiedono in fonti pubbliche e storiche: dati WHOIS storici, passive DNS e i registri di Certificate Transparency. Ricostruire quando un dominio è stato registrato, con quale registrar, quali name server e quali certificati sono stati emessi consente di datare la fase di preparazione e di collegare più asset alla stessa campagna.

Gli elementi da inserire in timeline sono principalmente il Domain Name, i relativi DNS Record e i certificati TLS. La correlazione temporale tra data di registrazione del dominio, prima emissione del certificato e primo contatto osservato con la vittima produce una sequenza narrativa solida. Servizi come il database Certificate Transparency di crt.sh (gratuito) permettono di enumerare i certificati emessi per un dominio sospetto, spesso rivelando sottodomini di staging non altrimenti visibili.

Lato endpoint gli artefatti emergono dopo il contatto con l'infrastruttura malevola. Su Windows la cache DNS locale, interrogabile con

ipconfig /displaydns

conserva risoluzioni recenti verso i domini avversari. I log Sysmon EventID 22 documentano le query DNS con processo di origine, mentre EventID 3 registra le connessioni di rete verso gli IP dell'infrastruttura. L'analisi della cronologia browser e dei file scaricati in %USERPROFILE%\Downloads può ricondurre a pagine ospitate su domini appena registrati.

Su Linux e macOS l'attenzione si sposta sui log di sistema: /var/log/ per le connessioni, la cronologia della shell e, dove presente Sysmon for Linux, gli eventi di connessione di rete. Le connessioni uscenti verso range di VPN commerciali o proxy residenziali aiutano a caratterizzare l'ultimo hop dell'attaccante, elemento tipico dei gruppi documentati.

Ricostruendo campagne reali, il pattern ricorrente è l'uso di piattaforme legittime come camuffamento: servizi di email marketing per nascondere il vero mittente del phishing, oppure accessi provenienti da reti di provider VPN. In sede forense questo significa che l'IP di origine spesso non è dell'attaccante ma di un intermediario, e la vera attribuzione richiede la correlazione di più indicatori indipendenti — riutilizzo di certificati, pattern di registrazione, infrastruttura condivisa tra campagne — piuttosto che un singolo indirizzo.

I nove gruppi documentati per questa tecnica mostrano come l'acquisizione di infrastruttura sia una pratica trasversale, adottata sia da attori statali sia da ecosistemi criminali, con finalità che vanno dall'anonimizzazione al mascheramento delle campagne.

Sul fronte dell'anonimizzazione dell'ultimo hop, emerge un cluster di gruppi che si affidano a VPN commerciali e servizi di rete anonima. Ember Bear (G1003) combina IVPN, SurfShark e Tor per stratificare l'occultamento delle proprie operazioni. Agrius (G1030) predilige VPN commerciali come ProtonVPN per l'anonimizzazione del traffico verso le reti bersaglio. Contagious Interview (G1052) ricorre a servizi come Astrill VPN, mentre Sea Turtle (G1041) accede alle reti vittima direttamente dalle infrastrutture di provider VPN. Questo pattern condiviso indica una convergenza sul tradecraft: usare servizi di anonimizzazione legittimi e diffusi rende il traffico difficile da distinguere da quello di un normale utente remoto.

Un secondo raggruppamento sfrutta piattaforme legittime per il phishing. Sandworm Team (G0034) impiega servizi terzi di gestione campagne email per recapitare le proprie esche, e Star Blizzard (G1033) usa HubSpot e MailerLite per nascondere il vero mittente delle email malevole. Qui la logica è la reputazione: sfruttare l'affidabilità di un provider di marketing per superare i filtri anti-spam.

Un terzo approccio riguarda l'acquisto di accessi e infrastruttura finanziata illecitamente. Indrik Spider (G0119) compra accessi a VPN delle vittime per penetrare gli ambienti target, un ponte tra resource development e initial access. Kimsuky (G0094) finanzia l'acquisizione di infrastruttura operativa con criptovaluta rubata e riciclata, un modello che salda operazioni finanziarie e capacità offensive.

Infine TeamPCP (G1056) rappresenta la dimensione dell'ecosistema criminale: la rivendicata co-proprietà del forum BreachForums, con responsabilità su gestione della piattaforma, risoluzione delle dispute, vetting del personale e hosting di contest monetari. Un caso che illustra come l'infrastruttura acquisita possa essere l'intera economia di supporto al cybercrime.

Il trend complessivo è chiaro: l'infrastruttura tende a essere rapidamente provvisionabile e usa-e-getta, scelta per la difficoltà di attribuzione fisica. Per un analista di intelligence, il valore sta nel tracciare gli overlap — riutilizzo di provider VPN, certificati o piattaforme di marketing — che permettono di collegare campagne apparentemente scollegate allo stesso attore.

MITRE ATT&CK: T1583 (Acquire Infrastructure), tattica TA0042. Mitigazione M1056. Detection DET0895 (AN2027). Gruppi G0034, G0094, G0119, G1003, G1030, G1033, G1041, G1052, G1056. Tool di detection e supporto citati: Shodan, Censys, dnstwist, SpiderFoot, Recon-ng, crt.sh, Sysmon, DomainTools. Per comandi, artefatti forensi e procedure operative è stata integrata conoscenza professionale di cybersecurity in aggiunta ai dati MITRE ATT&CK forniti.