Relazioni di Business: Business Relationships (T1591.002)

In un ingaggio red team, la mappatura delle relazioni di business si simula come fase OSINT lab-safe, senza toccare i sistemi del cliente. L'obiettivo è ricostruire l'ecosistema di fornitori e partner per identificare il percorso di minor resistenza verso il bersaglio principale.

Il punto di partenza sono i siti aziendali e le pagine "partner", "clienti", "case study" e i comunicati stampa, dove le organizzazioni elencano spontaneamente i propri fornitori. Un approccio strutturato usa framework OSINT dedicati:

• SpiderFoot (open source): automatizza la correlazione tra domini, sottodomini, email e menzioni di terze parti; il modulo sfp_names e i moduli di correlazione aiutano a estrarre entità collegate.
• Recon-ng (open source): con moduli come recon/domains-hosts e recon/companies-contacts si costruisce un database relazionale di contatti e organizzazioni.
• Maltego CE (freemium): eccellente per la visualizzazione grafica dei legami tra entità aziendali, domini e persone.

La catena tipica parte dall'enumerazione del dominio principale, prosegue con l'identificazione dei fornitori tecnologici tramite header HTTP, certificati e footer dei siti, e culmina nella profilazione dei MSP che gestiscono l'infrastruttura.

Per scoprire relazioni tecniche nascoste, i Certificate Transparency logs interrogabili su crt.sh (gratuito) rivelano certificati emessi per sottodomini condivisi con fornitori. Un esempio di enumerazione passiva:

curl -s "<endpoint-crt.sh>?q=%25.target.com&output=json" | jq '.[].name_value' | sort -u

Le piattaforme di threat intelligence come Shodan (freemium) e Censys (freemium) permettono di identificare asset esposti riconducibili a terze parti tramite banner, favicon hash e certificati condivisi. La query Shodan ssl.cert.subject.cn:"target.com" aiuta a trovare host correlati.

Sul versante attivo, l'elicitazione via phishing informativo si simula solo previa autorizzazione scritta: si costruiscono pretesti credibili impersonando un fornitore noto per verificare la resistenza del personale alla divulgazione di dettagli sui rapporti commerciali.

A livello operativo, i tre gruppi documentati offrono modelli replicabili in laboratorio: la ricerca su portali di partnership ufficiali (Sandworm Team e il sito dei partner olimpici), la correlazione open source tra organizzazioni (Dragonfly) e la profilazione dettagliata della supply chain (LAPSUS$). Il deliverable finale è una mappa delle dipendenze fiduciarie che orienta le fasi successive del test verso i trusted relationship più fragili.

Rilevare direttamente la raccolta di informazioni sulle relazioni di business è quasi impossibile: l'attività avviene su fonti pubbliche, fuori dalla visibilità del SOC. Come indica la logica di detection DET0855 / AN1987, l'occorrenza è altissima e il tasso di falsi positivi rende impraticabile un alerting diretto. La strategia vincente è spostare la detection sulle fasi correlate del ciclo di attacco, quando l'infrastruttura o la conoscenza acquisita viene messa in uso.

Il segnale più concreto emerge quando la relazione fiduciaria viene sfruttata (Trusted Relationship, Supply Chain Compromise). Monitorare gli accessi provenienti da fornitori e MSP è quindi prioritario:

• Log di autenticazione VPN e federata: autenticazioni da account di terze parti fuori orario, da geolocalizzazioni anomale o da nuovi ASN. In ambienti Microsoft, gli EventCode 4624 e 4625 correlati agli account di servizio dei partner, e i sign-in log di Entra ID per le identità B2B.
• Accessi privilegiati esterni: sessioni RMM (tool di remote monitoring usati dagli MSP) che deviano dalle baseline orarie o di volume.
• Email gateway: campagne di phishing informativo che impersonano fornitori noti, individuabili tramite discrepanze SPF/DKIM/DMARC e domini lookalike.

Sul piano preventivo, la mitigazione M1056 (Pre-compromise) suggerisce controlli che il SOC può presidiare: audit periodico dei dati pubblicamente esposti, monitoraggio dei domini lookalike con servizi come DomainTools (a pagamento), sorveglianza della superficie esterna con Shodan (freemium) e Censys (freemium), e correlazione di threat intelligence su piattaforme come MISP (open source) o Anomali (a pagamento).

L'enforcement rigoroso di SPF, DKIM e DMARC riduce l'efficacia dell'elicitazione via email spoofing, mentre soluzioni di email security come Microsoft Defender for Office 365 (a pagamento), Proofpoint (a pagamento) o Mimecast (a pagamento) intercettano i pretesti di phishing rivolti ai dipendenti.

Un falso positivo tipico è il traffico legittimo di onboarding di un nuovo fornitore o l'attività di due diligence commerciale, che genera picchi di ricerche e contatti del tutto benigni. Per questo l'analista deve costruire baseline degli accessi di terze parti e trattare le anomalie come innesco di indagine, non come incidente confermato.

La raccomandazione difensiva chiave è la segmentazione: applicare il principio del minimo privilegio agli accessi dei partner e registrare ogni sessione, così che l'eventuale abuso della relazione fiduciaria diventi visibile a valle.

Sul piano forense, questa tecnica di ricognizione non lascia artefatti sugli endpoint della vittima nella fase di raccolta, perché l'attività si svolge interamente su fonti esterne. L'analista costruisce quindi la timeline a partire da fonti esterne e correla gli artefatti endpoint solo quando la relazione fiduciaria viene successivamente sfruttata.

Le fonti esterne utili a ricostruire cosa l'avversario poteva conoscere sono principalmente open source. I Certificate Transparency logs, consultabili su crt.sh (gratuito), documentano certificati condivisi tra l'organizzazione e i suoi fornitori, rivelando relazioni tecniche implicite. Il passive DNS (tramite servizi come SecurityTrails, freemium) e il WHOIS storico aiutano a ricostruire quali domini di terze parti erano collegati al bersaglio al momento dell'attacco. Gli snapshot archiviati su Wayback Machine (gratuito) permettono di verificare quali pagine di partnership, elenchi clienti o comunicati stampa erano pubblicamente esposti nel periodo di interesse — esattamente il tipo di fonte usata da Sandworm Team contro i partner delle Olimpiadi di PyeongChang.

Quando la ricognizione sfocia in un accesso via Trusted Relationship o Supply Chain Compromise, gli artefatti endpoint diventano centrali per la timeline:

• Su Windows, i Security event log (EventCode 4624/4672) documentano logon interattivi e privilegiati da account di fornitori; i log RMM e i RDP event (EventCode 4778/4779) tracciano sessioni remote di terze parti.
• I registri di connessione VPN e i sign-in log dell'identity provider ricostruiscono l'origine geografica e temporale degli accessi partner.
• Su Linux, i log auth.log e secure, insieme agli entry wtmp/btmp, registrano le sessioni SSH provenienti da infrastrutture di fornitori.

La correlazione temporale è l'elemento chiave: allineare il momento in cui una relazione era pubblicamente esposta con il primo accesso anomalo attribuibile a quel fornitore consente di dimostrare l'ipotesi di compromissione della supply chain. Il caso di LAPSUS$, che raccoglieva conoscenza dettagliata delle relazioni di supply chain, e quello di Dragonfly, che correlava informazioni open source tra organizzazioni per il targeting, illustrano come la fase di ricognizione preceda di settimane o mesi l'intrusione effettiva.

L'analista dovrebbe inoltre preservare copie forensi dei contenuti web pubblici (siti partner, pagine LinkedIn aziendali) come evidenza dello stato informativo esposto, poiché tali pagine vengono spesso rimosse o modificate dopo un incidente, cancellando il contesto della ricognizione originale.

I dati MITRE associano a questa tecnica tre gruppi con profili operativi molto diversi, accomunati dalla volontà di sfruttare le dipendenze fiduciarie del bersaglio per aprire il varco iniziale.

Sandworm Team (G0034) rappresenta il modello di ricognizione mirata a un evento. In preparazione dell'attacco alle Olimpiadi Invernali del 2018, il gruppo condusse ricerche online sulle organizzazioni partner elencate su un sito ufficiale di partnership di PyeongChang. Questo comportamento illustra come una fonte pubblica e legittima — la pagina che celebra gli sponsor — diventi la mappa delle vittime secondarie. Il pattern è tipico degli attori a matrice statale focalizzati su operazioni distruttive con tempistiche vincolate a un evento.

Dragonfly (G0035) adotta un approccio più sistematico e persistente, raccogliendo informazioni open source per identificare le relazioni tra organizzazioni a fini di targeting. Questo gruppo è storicamente associato a operazioni contro il settore energetico e industriale, dove la supply chain di integratori e fornitori tecnologici è particolarmente estesa: mappare quei legami consente di raggiungere obiettivi altrimenti ben protetti passando attraverso partner meno difesi.

LAPSUS$ (G1004) porta un profilo differente, orientato all'estorsione e alla notorietà. Il gruppo ha acquisito conoscenza dettagliata delle relazioni di supply chain delle proprie vittime, sfruttando questa comprensione per colpire fornitori di identità e servizi con l'obiettivo di ottenere accessi a cascata verso decine di clienti a valle.

Il pattern comune ai tre attori è chiaro: la raccolta di informazioni sulle relazioni di business è un abilitatore trasversale, non un fine in sé. Sia un gruppo statale distruttivo, sia un attore di spionaggio industriale, sia un collettivo di estorsione convergono sulla stessa logica — la terza parte fidata è il punto debole strutturale. La sovrapposizione tecnica sta nell'uso di fonti pubbliche (siti di partnership, dati open source) piuttosto che in strumenti proprietari, coerentemente con l'assenza di software dedicati nei dati.

Per un Threat Intelligence Officer, il trend operativo da monitorare è la crescente centralità della supply chain come vettore: la conoscenza delle relazioni commerciali abilita direttamente Supply Chain Compromise e Trusted Relationship. La contromisura strategica è il threat modeling esteso ai fornitori, con la mappatura delle dipendenze fiduciarie trattata come asset da proteggere quanto i dati stessi. Prioritizzare la difesa dei partner con accesso elevato riduce la superficie sfruttabile da tutti e tre i profili di attore.

MITRE ATT&CK: T1591.002 (Business Relationships), tattica TA0043 Reconnaissance. Gruppi G0034 (Sandworm Team), G0035 (Dragonfly), G1004 (LAPSUS$). Mitigazione M1056 (Pre-compromise). Detection DET0855 e analytic AN1987. Tool di detection e OSINT citati: SpiderFoot, Recon-ng, Maltego CE, Shodan, Censys, crt.sh, MISP, DomainTools, Anomali, Microsoft Defender for Office 365, Proofpoint, Mimecast. La pagina D3FEND della tecnica non ha restituito contenuto consultabile; le sezioni difensive integrano conoscenza professionale di cybersecurity verificabile su documentazione ufficiale dei tool citati.