Contenuti Audio-Visivi Sintetici: Audio-Visual Content (T1683.002)

Poiché questa tecnica appartiene al Resource Development, per un red team l'obiettivo non è "bucare" un sistema ma simulare la produzione di media sintetici in modo controllato e lab-safe, per misurare la resilienza umana della vittima autorizzata all'ingegneria sociale.

La catena tipica parte dalla raccolta di materiale sorgente: foto pubbliche, campioni vocali da webinar o podcast, video da piattaforme aziendali. In un ingaggio autorizzato questo si limita ai profili concordati nel rules of engagement, evitando dati di terzi non consenzienti.

Per la generazione di volti fittizi utili a personas OSINT, il servizio web thispersondoesnotexist (gratuito) produce ritratti GAN non riconducibili a persone reali. Per clonazione vocale e sintesi text-to-speech esistono soluzioni come ElevenLabs (freemium) o il progetto Coqui TTS (open source), utili a creare messaggi vocali di test per una campagna di vishing simulato. Per il face-swapping in video demo, DeepFaceLab (open source) e Roop/faceswap (open source) sono i riferimenti tecnici più documentati.

Una sequenza operativa di laboratorio tipica:

• Costruzione della persona con volto sintetico e biografia coerente su account di prova isolati.
• Sintesi di un breve messaggio vocale di test con un tool TTS, senza clonare voci di persone reali fuori scope.
• Confezionamento del pretesto (falso recruiter, finto video-colloquio) da veicolare solo verso i bersagli concordati.

Questo scenario ricalca quanto documentato per Contagious Interview (G1052), che ha usato l'IA per clonare applicazioni di video-conferenza e distribuire il malware BeaverTail, oltre a creare deepfake video. In un test di simulazione si può replicare il pretesto del finto colloquio tecnico usando un'app di video-call fittizia in ambiente sandbox, senza payload reali ma con un beacon innocuo per misurare i click.

Sul fronte payload, ricordiamo che il contenuto audio-visivo è solo l'esca: il red team deve poi mappare il passaggio a Phishing e Initial Access. Per l'orchestrazione della campagna e il tracking delle interazioni si usano framework come GoPhish (open source), che gestisce landing page e metriche di apertura. Un accorgimento etico fondamentale è filigranare o etichettare ogni artefatto sintetico prodotto, così da distinguerlo con certezza da materiale malevolo reale al termine dell'ingaggio.

Per un SOC la sfida è netta: la fabbricazione di media sintetici avviene fuori dal perimetro, quindi non genera log endpoint direttamente osservabili. La detection, come indica l'analitica AN2061 (PRE) della detection DET0918, va spostata sulle fasi in cui il contenuto viene usato: Initial Access, phishing, ingegneria sociale.

In pratica il monitoraggio si concentra sull'infrastruttura di consegna e sui comportamenti anomali che circondano un'interazione basata su media falsi. Le fonti di log più utili sono i gateway di posta, i proxy web, i log di autenticazione e i sistemi di video-conferenza.

Alcuni segnali comportamentali da correlare:

• Email o messaggi che veicolano link a false pagine di login bancarie o portali di reclutamento, coerenti con quanto osservato per APT-C-36 (G0099), che ha usato pagine di phishing simili a portali bancari legittimi.
• Inviti a video-colloqui che richiedono di installare app di video-conferenza "clonate", pattern collegato a Contagious Interview (G1052) e al malware BeaverTail.
• Nuovi processi lanciati subito dopo un video-call da dominio non aziendale, o esecuzione di installer scaricati durante un colloquio.

Sul piano preventivo la mitigazione Pre-compromise (M1056) suggerisce controlli di posta come Microsoft Defender for Office 365, Proofpoint o Mimecast (a pagamento) e l'applicazione rigorosa di SPF/DKIM/DMARC per ridurre lo spoofing che accompagna l'uso di personas fittizie. Il monitoraggio di domini lookalike tramite servizi come DomainTools (a pagamento) aiuta a intercettare l'infrastruttura di supporto.

Dal punto di vista delle contromisure difensive, l'accento va posto su rilevamenti comportamentali e non su indicatori atomici, perché un deepfake non lascia una firma statica riutilizzabile. Utile costruire regole nel SIEM che correlino l'evento "utente ha ricevuto invito esterno a video-call" con "download ed esecuzione di eseguibile non firmato" entro una finestra temporale ristretta.

Sul controllo degli endpoint, l'esecuzione di installer provenienti da app di conferenza non autorizzate è tracciabile con Sysmon EventCode 1 (process creation) e EventCode 11 (file create), abbinati ai log di download del proxy. Il falso positivo più frequente è il colloquio legittimo con recruiter esterni o l'uso di piattaforme di conferenza non standard ma autorizzate: per questo la verifica out-of-band dell'identità del chiamante e la formazione anti-phishing del personale restano i controlli più efficaci contro l'inganno audio-visivo.

Nell'analisi forense di questa tecnica bisogna accettare un limite strutturale: la produzione del contenuto sintetico non lascia tracce sui sistemi della vittima, perché avviene su infrastruttura dell'attaccante. L'analista lavora quindi su due fronti: le fonti esterne che documentano la persona o l'infrastruttura fittizia e gli artefatti endpoint che emergono dopo il contatto con l'esca audio-visiva.

Sul fronte esterno, la ricostruzione della timeline parte dai metadati del media stesso. L'estrazione EXIF/XMP da immagini e video con ExifTool (open source) può rivelare software di editing, timestamp incoerenti o assenza sospetta di metadati tipica dei contenuti rigenerati da IA. L'analisi degli errori di compressione con tool di error level analysis aiuta a evidenziare manipolazioni, mentre la ricerca inversa di immagini su portali come TinEye o Google Immagini (gratuiti) può smascherare foto profilo riutilizzate o volti GAN.

Per l'infrastruttura di supporto della persona fittizia sono preziosi il WHOIS storico e il passive DNS, oltre ai Certificate Transparency logs (consultabili tramite il database di crt.sh, gratuito) per correlare domini lookalike usati nelle pagine di login false stile APT-C-36 (G0099).

Sul fronte endpoint, quando il media sintetico ha veicolato un attacco, la timeline si costruisce sugli artefatti standard. Nel caso di Contagious Interview (G1052) e dell'app di video-conferenza clonata che distribuiva BeaverTail, gli elementi da cercare includono:

• Download dell'installer nella cronologia del browser e nel file Downloads, con relativo Zone.Identifier (Mark-of-the-Web) su Windows.
• Chiavi di persistenza in Run/RunOnce del registro e file eseguiti da directory utente non standard.
• Su macOS, artefatti in ~/Library/LaunchAgents e log unificati; su Linux, unità systemd utente e file in ~/.config.

La correlazione temporale tra l'evento di comunicazione (invito al colloquio, messaggio vocale ricevuto) e la prima esecuzione del payload è l'ancora della timeline. I registri delle piattaforme di conferenza, i log del client di posta e i Prefetch di Windows aiutano a datare la prima esecuzione dell'app fasulla.

Infine, l'analista dovrebbe preservare il contenuto audio-visivo originale come reperto, calcolandone l'hash, perché rappresenta la prova diretta dell'inganno e può essere condiviso con team di threat intelligence per correlazioni su campagne più ampie basate su media sintetici.

Dal punto di vista dell'intelligence, i dati MITRE associano a questa tecnica due gruppi con profili operativi distinti ma accomunati dall'uso di contenuti fabbricati come leva d'inganno.

Contagious Interview (G1052) è il caso più rappresentativo dell'evoluzione verso i media sintetici assistiti da IA. Il gruppo ha impiegato l'intelligenza artificiale per clonare applicazioni di video-conferenza usate poi come vettore per distribuire il malware BeaverTail, e ha prodotto video deepfake. Lo schema operativo ruota attorno al pretesto del falso colloquio di lavoro: la vittima viene attirata in un processo di reclutamento fittizio e indotta a installare un'app di conferenza manomessa. Questo lega direttamente la tecnica alle tattiche di Initial Access ed Establish Accounts, mostrando come la persona fittizia (recruiter, azienda) sia costruita a monte in fase di Resource Development.

APT-C-36 (G0099) rappresenta invece l'uso più "classico" dell'inganno visivo: il gruppo ha realizzato pagine di phishing che imitano portali di login bancari legittimi per sottrarre credenziali. Qui il contenuto fabbricato è l'interfaccia grafica clonata, che sfrutta la fiducia visiva dell'utente nel brand riprodotto.

Il pattern comune tra i due attori è chiaro: la fabbricazione di artefatti visivi credibili — sia un'intera app clonata, sia un video deepfake, sia una landing page bancaria — precede e abilita il furto di credenziali o la compromissione iniziale. Cambia il livello di sofisticazione tecnologica: G1052 sfrutta l'IA generativa per scalare e rendere l'inganno più difficile da smascherare, mentre G0099 si affida a repliche grafiche tradizionali.

Il trend che emerge è la democratizzazione dei tool sintetici: la disponibilità di generatori di volti, clonazione vocale e face-swapping abbassa la barriera d'ingresso e sposta l'inganno dal testo (email di phishing) al canale audio-visivo dal vivo, molto più persuasivo. Per un Threat Intelligence Officer questo significa che gli indicatori atomici tradizionali perdono efficacia: la difesa va costruita su comportamenti e su verifica d'identità out-of-band.

Sul piano del rischio aziendale, la finalità documentata spazia dal furto finanziario alla raccolta di credenziali. Il monitoraggio proattivo dell'infrastruttura di supporto — domini lookalike, personas ricorrenti, riutilizzo di foto profilo — tramite piattaforme di threat intelligence come MISP (open source) o Recorded Future (a pagamento) resta il modo più efficace per anticipare l'uso operativo di questi media fabbricati.

MITRE ATT&CK: tecnica T1683.002 (Audio-Visual Content), tattica TA0042; gruppi G0099 (APT-C-36), G1052 (Contagious Interview); mitigazione M1056 (Pre-compromise); detection DET0918 e analitica AN2061. Tool di detection e OSINT citati: ExifTool, MISP, SpiderFoot, Recon-ng, DomainTools, crt.sh, GoPhish, DeepFaceLab, Coqui TTS. Parte dei comandi, artefatti forensi e procedure operative deriva da conoscenza professionale di cybersecurity, non dai dati MITRE forniti.