Raccolta Configurazioni Client: Client Configurations (T1592.004)
La sottotecnica T1592.004 descrive la raccolta di informazioni sulle configurazioni dei sistemi client della vittima, un'attività che rientra nella tattica Reconnaissance (TA0043), la fase in cui l'attaccante colleziona dati utili a pianificare le operazioni successive. Per configurazione client si intende un insieme di dettagli tecnici: sistema operativo e versione, presenza di virtualizzazione, architettura (32 o 64 bit), lingua impostata e fuso orario.
Questi attributi possono sembrare marginali, ma per chi pianifica un attacco sono preziosi: conoscere in anticipo l'OS e l'architettura permette di selezionare l'exploit corretto, mentre lingua e fuso orario aiutano a costruire esche di phishing credibili e a temporizzare le campagne.
La raccolta avviene con modalità diverse: scansione attiva di porte, banner dei server e stringhe user agent, richieste di informazioni tramite phishing, oppure compromissione di siti legittimi arricchiti con contenuti che profilano i visitatori. Spesso i dati emergono anche da fonti pubbliche come annunci di lavoro, mappe di rete, report di assessment, curriculum o fatture d'acquisto.
Trattandosi di una tecnica pre-compromise, gran parte dell'attività si svolge fuori dal perimetro difensivo dell'organizzazione. Il valore strategico sta nel fatto che apre la strada a fasi successive del ciclo di vita offensivo: ulteriore ricognizione, sviluppo di capacità e infine l'accesso iniziale, ad esempio tramite compromissione della supply chain o servizi remoti esposti.
In un ingaggio red team, la profilazione delle configurazioni client si simula lavorando sia sul versante passivo sia su quello attivo, sempre nel rispetto delle regole d'ingaggio. L'obiettivo è dimostrare quanto un attaccante possa apprendere prima ancora di toccare i sistemi bersaglio.
Sul fronte passivo, l'analisi delle stringhe user agent raccolte dai log web o da un sito civetta rivela OS, browser e architettura dei visitatori. Un laboratorio realistico prevede il deploy di una landing page che registra header HTTP e attributi di navigazione tramite JavaScript di fingerprinting, replicando la tattica del sito compromesso che profila i visitatori.
Per la ricognizione dell'attack surface esterno si usano motori come Shodan (freemium) e Censys (freemium), che restituiscono banner di servizio, versioni software e configurazioni esposte senza inviare pacchetti diretti all'obiettivo. La correlazione OSINT si automatizza con SpiderFoot (open source) e Recon-ng (open source), che aggregano dati da annunci di lavoro e profili tecnici in cui spesso trapelano stack tecnologici e versioni.
La scansione attiva controllata si esegue con Nmap (open source), sfruttando il fingerprinting dello stack TCP/IP:
nmap -O -sV --version-intensity 5
Il flag -O tenta il riconoscimento dell'OS mentre -sV interroga i banner di servizio per estrarre versioni. Per la profilazione via banner HTTP e header di sicurezza è utile:
whatweb
dove WhatWeb (open source) identifica tecnologie server, CMS e framework applicativi.
La catena d'attacco tipica parte dalla raccolta passiva di user agent e annunci di lavoro, prosegue con la validazione via Shodan e Censys e culmina nella preparazione di payload calibrati sull'architettura rilevata. Un dettaglio operativo importante emerge dalla campagna C0062, in cui l'automazione di agenti ha permesso di orchestrare ricognizione e profilazione di sistemi ad alto valore su larga scala: replicare questo scenario in laboratorio significa concatenare tool di raccolta tramite scripting per aggregare i risultati.
Anche il gruppo HAFNIUM ha interagito con tenant Office 365 per raccogliere dettagli sugli ambienti bersaglio, uno spunto per simulare l'enumerazione autenticata di configurazioni cloud in un tenant di test dedicato, così da valutare quali metadati un attaccante potrebbe estrarre da un'identità compromessa.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo