Enumerazione Proprietà Dominio: Domain Properties (T1590.001)

Trattandosi di una tecnica pre-compromise, l'obiettivo in un esercizio red team è simulare la raccolta OSINT sul dominio bersaglio in modo lab-safe, senza toccare direttamente i sistemi della vittima. Il punto di partenza è l'interrogazione WHOIS.

Su Linux e macOS il comando nativo whois esempio-target.tld restituisce registrar, date di registrazione, contatti e name server. Per l'enumerazione DNS dei name server si usa dig NS esempio-target.tld oppure host -t ns esempio-target.tld. Su Windows moderno nslookup -type=ns esempio-target.tld fornisce l'equivalente. Questi comandi sono la base per capire chi gestisce la zona DNS e dove è ospitata.

Per automatizzare la ricognizione conviene affidarsi a framework OSINT consolidati:

• theHarvester (open source): raccoglie email, sottodomini e host da fonti pubbliche; utile per correlare i contatti WHOIS con indirizzi reali.
• Recon-ng (open source): framework modulare con moduli dedicati alle interrogazioni WHOIS e alla mappatura dei contatti; si lancia con recon-ng e si carica il workspace del target.
• SpiderFoot (open source, con tier freemium via SpiderFoot HX): orchestra decine di fonti, WHOIS incluso, e produce grafici di correlazione.
• Amass (open source): eccellente per l'enumerazione dei name server e la mappatura dell'infrastruttura DNS associata.

Negli ambienti cloud Microsoft, la simulazione può sfruttare AADInternals (S0677, open source), un modulo PowerShell che interroga le API pubbliche Microsoft per enumerare i domini di un tenant. Il cmdlet Get-AADIntTenantDomains -Domain esempio-target.tld restituisce l'elenco dei domini verificati associati al tenant, senza necessità di autenticazione. Allo stesso modo, una richiesta all'endpoint GetUserRealm rivela se un dominio è gestito (federato) o managed, informazione preziosa per pianificare un phishing credibile.

La catena d'attacco tipica parte dal WHOIS per identificare registrar e contatti, prosegue con l'enumerazione dei name server e dei domini tenant, e culmina nella costruzione di un pretesto di phishing che sfrutti i nomi degli amministratori e il branding coerente. Per l'analisi dei certificati e la scoperta di domini correlati, il database Certificate Transparency consultabile via crt.sh (gratuito) integra bene il quadro. In laboratorio, popolate un dominio civetta con dati WHOIS fittizi e verificate quali strumenti li recuperano, così da misurare la vostra reale esposizione.

La detection diretta di questa tecnica è notoriamente difficile: come segnala l'analitica AN1979, gran parte dell'attività di raccolta avviene fuori dalla visibilità dell'organizzazione bersaglio, presenta un'altissima frequenza di eventi legittimi e genera quindi un tasso di falsi positivi elevatissimo. Interrogazioni WHOIS e query DNS sono operazioni quotidiane e assolutamente normali. Per questo la strategia difensiva non punta a intercettare la ricognizione in sé, ma a rilevarne gli effetti nelle fasi successive del ciclo di attacco.

Gli artefatti digitali rilevanti sono i record DNS, i nomi di dominio e le richieste verso endpoint cloud. Un SOC dovrebbe concentrare l'attenzione sugli endpoint esposti dai provider cloud: negli ambienti Microsoft 365, un volume anomalo di richieste verso GetUserRealm o autodiscover provenienti da IP esterni non associati a client legittimi può indicare enumerazione del tenant. Questi accessi si osservano nei log di Azure AD (Entra ID) sign-in e nei log applicativi Exchange Online.

Le log source utili includono:

• Query DNS autoritative sui vostri name server pubblici, per individuare pattern di enumerazione massiva della zona.
• Log del web server e del WAF, per richieste ripetute verso autodiscover o endpoint di realm discovery.
• Log di Entra ID e Unified Audit Log di Microsoft 365 per accessi anomali agli endpoint pubblici del tenant.

Sul fronte preventivo (controlli di tipo Harden), la mitigazione M1056 (Pre-compromise) indica misure concrete: abilitare DNSSEC, attivare la WHOIS privacy protection per mascherare i contatti amministrativi, e monitorare la comparsa di domini sosia (lookalike) tramite servizi di brand protection come DomainTools (a pagamento) o RiskIQ. È buona pratica applicare policy SPF, DKIM e DMARC per ridurre l'efficacia dello spoofing che spesso segue la ricognizione.

Per il monitoraggio proattivo della superficie esterna sono validi Shodan (freemium) e Censys (freemium), che mostrano cosa un attaccante vede dei vostri asset. Piattaforme OSINT come SpiderFoot (open source) e Recon-ng (open source) andrebbero usate in ottica difensiva, per scoprire quali informazioni sensibili sono già trapelate.

Sul piano della threat intelligence, correlare le richieste sospette con feed di infrastruttura malevola gestiti tramite MISP (open source) aiuta a distinguere il rumore di fondo da una ricognizione mirata. In sintesi, l'alert efficace nasce dalla combinazione di anomalie sugli endpoint cloud e correlazione con eventi di accesso iniziale, non dall'interrogazione WHOIS isolata.

Nell'analisi forense di questa tecnica occorre accettare un limite strutturale: la raccolta delle proprietà di un dominio non lascia quasi mai tracce sugli endpoint della vittima, perché avviene interrogando fonti esterne. L'indagine, quindi, si concentra su fonti esterne e su artefatti che emergono solo dopo il contatto con l'infrastruttura malevola.

La ricostruzione della timeline parte dalle fonti pubbliche. Il WHOIS storico permette di ricostruire come i dati del dominio della vittima erano esposti nel periodo di interesse, informazione utile per capire cosa l'attaccante poteva aver visto. Il passive DNS — accessibile tramite servizi come SecurityTrails (freemium) o VirusTotal (freemium) — consente di mappare le risoluzioni storiche dei name server e di individuare eventuali domini sosia registrati in prossimità dell'attacco. I Certificate Transparency logs, consultabili gratuitamente via crt.sh, rivelano certificati emessi per domini simili al vostro, spesso preludio a campagne di phishing.

Gli artefatti digitali chiave in questa fase sono i record DNS e i nomi di dominio. Sul lato server, se l'organizzazione gestisce i propri name server autoritativi o endpoint cloud, i log di query rappresentano l'unica traccia diretta della fase di enumerazione: vanno preservati e correlati temporalmente. Negli ambienti Microsoft 365, lo Unified Audit Log conserva le interazioni con gli endpoint del tenant e può documentare tentativi di enumerazione tramite le API pubbliche sfruttate da strumenti come AADInternals.

Gli artefatti endpoint utili emergono a valle, quando la ricognizione si traduce in accesso iniziale. In quel momento diventano rilevanti:

• I log di posta e le intestazioni complete dei messaggi di phishing, che possono contenere domini sosia coerenti con i dati WHOIS raccolti.
• Gli artefatti di navigazione (cronologia, cache) su host compromessi, che testimoniano il contatto con l'infrastruttura malevola.
• I record DNS locali e la cache DNS dell'host, esaminabili con ipconfig /displaydns su Windows, per correlare risoluzioni verso domini fraudolenti.

Un riferimento concreto arriva dai dati MITRE: il gruppo Sandworm Team (G0034) ha condotto ricognizione tecnica sul dominio internet ufficiale del Parlamento della Georgia prima dell'attacco del 2019. Questo caso illustra il ruolo della fase di enumerazione come precursore documentato, e suggerisce all'analista di cercare a ritroso, nei registri esterni, le tracce preparatorie che precedono l'intrusione vera e propria. La correlazione tra WHOIS storico, passive DNS e artefatti endpoint post-compromissione è la chiave per ricostruire l'intera sequenza.

Dal punto di vista dell'intelligence sulle minacce, l'enumerazione delle proprietà di un dominio è una tessera del mosaico che precede operazioni più ampie. I dati MITRE associano a questa tecnica un unico attore, ma il suo profilo è particolarmente istruttivo.

Sandworm Team (G0034) è l'unico gruppo mappato su questa tecnica. Secondo i dati forniti, ha condotto ricognizione tecnica sul dominio internet ufficiale del Parlamento della Georgia prima dell'attacco del 2019. Questo dettaglio è significativo perché mostra come un attore statuale integri la raccolta passiva di informazioni sul dominio nella pianificazione di operazioni ad alto impatto: la conoscenza del name server e dei contatti amministrativi del bersaglio è funzionale a selezionare il vettore d'ingresso più efficace. Il caso georgiano evidenzia un pattern geografico coerente con l'interesse verso obiettivi governativi nell'area post-sovietica e caucasica, dove la ricognizione precede spesso azioni distruttive o di defacement su larga scala.

Sul fronte degli strumenti, i dati citano AADInternals (S0677), un toolkit in grado di raccogliere informazioni sui domini di un tenant tramite le API pubbliche di Microsoft. La rilevanza di questo tool per la threat intelligence sta nella sua trasversalità: è utilizzato sia da red team legittimi sia da attori malevoli per enumerare tenant Microsoft 365 senza autenticazione, sfruttando endpoint come GetUserRealm. Il tool overlap tra ricerca difensiva e abuso offensivo rende difficile attribuire l'attività alla sola comparsa dello strumento, e impone di correlare l'uso con altri indicatori.

Il trend osservabile è lo spostamento della ricognizione verso le superfici cloud. Man mano che le organizzazioni migrano verso Office 365 e infrastrutture SaaS, gli endpoint pubblici dei provider diventano una fonte privilegiata di enumerazione dei domini, spesso più ricca e affidabile del WHOIS tradizionale, ormai frequentemente oscurato da servizi di privacy protection.

Per un Threat Intelligence Officer, il valore operativo sta nel tracciare l'infrastruttura preparatoria: piattaforme come MISP (open source), Recorded Future (a pagamento) e Anomali (a pagamento) permettono di monitorare domini sosia, registrazioni sospette e correlazioni con attori noti. Poiché questa tecnica non genera indicatori endpoint diretti, la disciplina intelligence-driven — che collega ricognizione, acquisizione di infrastruttura e successivo accesso iniziale — è ciò che trasforma un segnale debole e rumoroso in un allarme precoce accionabile. L'assenza di campagne codificate nei dati ricorda che l'enumerazione dei domini resta un abilitatore silenzioso, raramente documentato in modo autonomo ma quasi sempre presente a monte delle intrusioni mirate.

MITRE ATT&CK: T1590.001 (Domain Properties), tattica TA0043 (Reconnaissance). Gruppo G0034 (Sandworm Team). Software S0677 (AADInternals). Mitigazione M1056 (Pre-compromise). Detection DET0847, analitica AN1979. Tool di detection e OSINT citati: theHarvester, Recon-ng, SpiderFoot, Amass, Shodan, Censys, MISP, DomainTools, crt.sh, SecurityTrails, VirusTotal. Parte dei comandi e delle procedure operative deriva da conoscenza professionale di cybersecurity, nel rispetto delle regole su tool reali e verificabili.