Localizzazione Fisica: Determine Physical Locations (T1591.001)

In un ingaggio red team, la localizzazione fisica va simulata con approccio OSINT lab-safe, raccogliendo solo dati già pubblici e documentando ogni fonte nel report di scoping. L'obiettivo non è violare nulla, ma dimostrare quanto contesto geografico un attaccante può assemblare senza toccare l'infrastruttura del cliente.

Il punto di partenza sono le fonti aperte. Con theHarvester (open source) si aggregano email, host e riferimenti a domini che spesso includono sedi regionali, mentre SpiderFoot (freemium) automatizza la correlazione tra domini, indirizzi fisici e profili dei dipendenti. Recon-ng (open source) offre moduli modulari per interrogare registri societari e dataset pubblici in modo ripetibile.

Una catena tipica di simulazione procede così:

• Enumerazione dei sottodomini e delle pagine istituzionali per estrarre indirizzi delle sedi.
• Analisi dei metadati nei documenti pubblici scaricati dal sito, con exiftool (open source) per leggere eventuali campi GPS o autore residui: exiftool -gps:all documento.pdf
• Raccolta dei riferimenti geografici dai profili professionali dei dipendenti e dagli annunci di lavoro.

Gli annunci di lavoro sono una miniera: rivelano sedi operative, tecnologie in uso e talvolta il piano dell'edificio dove opera un team. La correlazione con mappe satellitari pubbliche e street view consente di ricostruire i punti di accesso fisico senza mai avvicinarsi al sito.

Sul fronte dell'elicitazione diretta, un esercizio autorizzato può includere un pretesto telefonico o una pagina di phishing controllata che raccoglie la geolocalizzazione dei visitatori tramite header HTTP e API del browser. È esattamente il comportamento osservato in Magic Hound (G0059), che raccoglieva informazioni di posizione dai visitatori dei propri siti di phishing.

Per strutturare i dati raccolti, Maltego (freemium) permette di visualizzare le relazioni tra sedi, persone e domini in un grafo navigabile, utile per presentare al cliente l'attack surface fisico in modo comprensibile.

Regola d'oro dell'ingaggio: nessuna ricognizione fisica sul posto senza autorizzazione scritta esplicita nel documento di rules of engagement. La simulazione si ferma alla dimostrazione della raccolta informativa, evidenziando quali dati andrebbero rimossi o sanitizzati per ridurre l'esposizione.

Rilevare direttamente la raccolta di posizioni fisiche è, di fatto, impossibile per un SOC: l'attività avviene su fonti esterne fuori dalla visibilità aziendale. Come indica la nota di detection AN1938, l'attività ha un tasso di occorrenza e di falsi positivi molto elevato e spesso si svolge al di fuori del perimetro monitorato. La strategia vincente è quindi la detection indiretta, spostando l'attenzione sulle fasi in cui le informazioni raccolte vengono usate.

Quando le coordinate fisiche confluiscono in un tentativo di Initial Access, il primo segnale osservabile arriva dai sistemi di posta. Un'email di spear phishing che cita una sede specifica, un edificio o un evento locale suggerisce ricognizione geografica pregressa. Le fonti di log rilevanti sono i gateway email (Proofpoint, Microsoft Defender for Office 365 o Mimecast, tutti a pagamento) e i log di autenticazione web.

Un secondo vettore riguarda i siti di phishing che raccolgono la geolocalizzazione dei visitatori, comportamento attribuito a Magic Hound (G0059). Se disponete di threat intelligence su domini lookalike, monitorate le richieste in uscita verso tali domini nei log del proxy e del DNS. Indicatori utili includono:

• Connessioni verso domini registrati di recente e simili al brand aziendale.
• Chiamate ad API di geolocalizzazione da pagine sospette linkate in email.
• Spike di traffico verso pagine "Contatti" o mappe da IP esterni anomali.

Sul piano preventivo, la mitigazione M1056 (Pre-compromise) raccomanda controlli che il SOC può presidiare. Anzitutto il monitoraggio esterno continuo con Shodan e Censys (entrambi freemium) per verificare quali informazioni sulle sedi trapelano dai servizi esposti. In parallelo, l'uso di piattaforme di monitoraggio OSINT come SpiderFoot (freemium) permette di rilevare fughe di dati geografici da fonti pubbliche.

L'igiene del dominio riduce la superficie sfruttabile: applicare DNSSEC, la privacy WHOIS e sorvegliare domini sosia tramite servizi come DomainTools (a pagamento). Sul fronte email, l'applicazione rigorosa di SPF, DKIM e DMARC rende più difficile lo spoofing che sfrutta il contesto geografico.

Infine, integrare feed di threat intelligence tramite MISP (open source) consente di correlare infrastrutture avversarie note con i tentativi di contatto. Il SOC deve accettare che qui il valore non sta nell'alert singolo, ma nella capacità di collegare un pretesto geografico credibile a una campagna più ampia in fase iniziale.

Per l'analista forense la localizzazione fisica pone una sfida netta: la raccolta informativa avviene su fonti esterne e non lascia artefatti sull'endpoint della vittima. La timeline si costruisce quindi su due binari distinti, quello delle fonti esterne e quello degli artefatti che emergono dopo il contatto con l'infrastruttura malevola.

Sul binario esterno, l'indagine ricostruisce cosa era pubblicamente disponibile al momento della ricognizione. Le fonti utili comprendono il WHOIS storico e il passive DNS per capire quali domini e sedi erano esposti, i log di Certificate Transparency (consultabili tramite il servizio crt.sh) per individuare certificati emessi su domini sosia, e le versioni archiviate del sito aziendale che mostravano indirizzi e pagine "Contatti". Questi dati permettono di stabilire una finestra temporale in cui l'attaccante poteva aver raccolto le coordinate fisiche.

Sul binario endpoint, gli artefatti emergono solo dopo che il bersaglio interagisce con il phishing costruito sulla base della ricognizione. In un sistema Windows l'analista esamina:

• La cronologia del browser e la cache in WebCacheV01.dat per identificare visite a pagine di phishing che raccoglievano geolocalizzazione, comportamento noto per Magic Hound (G0059).
• Gli allegati e i messaggi di posta nei file .ost/.pst o nei database di Outlook, alla ricerca di email con pretesti geografici.
• I metadati dei documenti scaricati, dove exiftool (open source) può estrarre campi GPS o autore residui.

Su sistemi Linux o macOS l'attenzione si sposta sui log del browser, sulla cronologia della shell e sui file scaricati nella cartella Downloads, correlando i timestamp con l'eventuale email di ingaggio.

Un elemento centrale della timeline è la geolocalizzazione raccolta lato server dall'attaccante: se si recupera l'infrastruttura di phishing durante un incident più ampio, i log del server possono contenere indirizzi IP, header e coordinate dei visitatori, restituendo la prospettiva speculare rispetto a quella dell'endpoint.

Dal punto di vista degli artefatti digitali rilevanti, il lavoro ruota attorno a record DNS, nomi di dominio, certificati e file scaricati. La correlazione tra la comparsa di un dominio lookalike nei log CT e la successiva ricezione di un'email geograficamente mirata consente di dimostrare la sequenza ricognizione-arma-contatto. Poiché la fase di raccolta è invisibile all'endpoint, l'analista deve documentare esplicitamente quali conclusioni derivano da inferenza su fonti esterne e quali da evidenza diretta sui sistemi.

Nel panorama della ricognizione geografica, i dati disponibili indicano un attore di riferimento: Magic Hound (G0059). Il gruppo ha raccolto informazioni di posizione dai visitatori dei propri siti di phishing, integrando la geolocalizzazione direttamente nel proprio flusso operativo di ricognizione. Questo dettaglio è significativo perché mostra come la localizzazione fisica non sia sempre profilazione passiva: può essere ottenuta attivamente, sfruttando l'interazione della vittima con infrastruttura controllata dall'attaccante.

Il pattern operativo di Magic Hound fonde due tecniche in un'unica azione. La pagina di phishing serve simultaneamente come strumento di raccolta credenziali o informazioni e come sensore di geolocalizzazione. Per un analista di intelligence, questo suggerisce che l'attore integri la posizione fisica nella fase di targeting per prioritizzare i bersagli o adattare i pretesti successivi alla giurisdizione della vittima.

Sul piano dell'attribuzione, i dati forniti non elencano campagne o software specifici associati a questa tecnica, il che riflette la natura pre-compromissione dell'attività: raramente lascia tracce attribuibili in modo pulito, perché si appoggia a comportamenti eseguiti fuori dal perimetro difensivo. L'analista deve quindi trattare la localizzazione fisica come un abilitatore trasversale piuttosto che come un indicatore di per sé attribuibile.

Dal comportamento documentato emergono alcune indicazioni per il lavoro di tracciamento:

• La geolocalizzazione raccolta lato server rappresenta un punto di raccolta dell'infrastruttura avversaria che, se sequestrata, offre visibilità sui bersagli reali.
• L'uso combinato di phishing e raccolta posizione indica un attore che investe nell'automazione della profilazione delle vittime.
• La finalità giurisdizionale della localizzazione suggerisce operazioni con motivazioni allineate a interessi statuali o legali.

Sul fronte difensivo, la mitigazione M1056 (Pre-compromise) definisce il terreno di contrasto. Il tracciamento dell'infrastruttura avversaria tramite piattaforme come MISP (open source), Recorded Future (a pagamento) o Anomali (a pagamento) consente di correlare domini di phishing geo-abilitati a campagne più ampie. Il monitoraggio dei domini sosia con servizi come DomainTools (a pagamento) aiuta a intercettare l'infrastruttura prima che venga armata.

La raccomandazione strategica per un CISO che legge questa analisi è ridurre la sensibilità dei dati geografici esposti pubblicamente e integrare l'intelligence sui domini lookalike nel ciclo di difesa, poiché la localizzazione fisica alimenta silenziosamente le fasi di accesso iniziale più costose da rilevare a valle.

MITRE ATT&CK: T1591.001 (Determine Physical Locations), tattica TA0043 (Reconnaissance). Gruppo G0059 (Magic Hound). Mitigazione M1056 (Pre-compromise). Detection DET0806, analitica AN1938. Tool di ricognizione e detection citati: theHarvester, SpiderFoot, Recon-ng, Maltego, exiftool, Shodan, Censys, DomainTools, MISP, Recorded Future, Anomali. Parti relative a comandi, tool forensi e procedure operative derivano da conoscenza professionale di cybersecurity, nel rispetto dei vincoli di verificabilità.