Registrazione Domini Malevoli: Domains (T1583.001)
La registrazione di domini rientra nella tattica TA0042 (Resource Development), la fase in cui l'avversario costruisce l'infrastruttura che sosterrà le operazioni successive. Un nome a dominio è l'etichetta leggibile che rappresenta uno o più indirizzi IP: può essere acquistato presso un registrar oppure, in alcuni casi, ottenuto gratuitamente su TLD come .tk, .ml, .ga, .cf e .gq.
Una volta acquisito, il dominio alimenta le fasi successive della kill chain: phishing e credential harvesting durante l'Initial Access, drive-by compromise e, soprattutto, Command and Control. Gli attaccanti prediligono nomi che ricordano brand legittimi tramite omoglifi, TLD alternativi o typosquatting, spingendosi fino agli IDN homograph attack che sfruttano set di caratteri cirillici o greci per generare lookalike visivamente identici.
L'impatto si misura nella scala del fenomeno: 46 gruppi, 3 famiglie malware e 15 campagne documentate ricorrono a questa tecnica. Le tattiche di offuscamento sono raffinate: servizi WHOIS privati che nascondono l'intestatario, informazioni di registrazione variate su registrar diversi, riutilizzo di domini scaduti già inseriti in allowlist grazie a una reputazione preesistente, e registrazione dinamica dentro ambienti cloud compromessi (ad esempio via AWS Route53). Trattandosi di attività condotta fuori dal perimetro difensivo, la mitigazione preventiva è limitata: la detection efficace si sposta sulle fasi in cui l'infrastruttura viene effettivamente utilizzata.
In un ingaggio red team la registrazione di domini va simulata in modo lab-safe, isolando l'infrastruttura di test e coordinandola con le regole d'ingaggio. L'obiettivo è riprodurre le catene osservate in campagne reali: dominio lookalike per il phishing, staging del payload e canale C2.
La fase di ricognizione dei nomi candidati si appoggia a strumenti maturi. dnstwist (open source) genera permutazioni typosquatting, omoglifi e variazioni di TLD a partire dal dominio bersaglio, verificando registrazione e risoluzione:
dnstwist --registered --format csv dominio-target.com
Per valutare le tecniche IDN homograph è utile urlcrazy (open source), incluso in Kali, che produce varianti di dominio con calcolo della somiglianza visiva. La generazione di sottodomini dinamici tramite Dynamic DNS — pattern osservato in gruppi che usano provider DDNS per creare host dall'aspetto legittimo — è replicabile con account di test su servizi No-IP o DuckDNS (freemium).
Sul fronte offensivo controllato, il categorization del dominio è cruciale per evadere i filtri di reputazione. La pratica di acquisire domini scaduti già categorizzati come "business" o "finance" si simula consultando marketplace di domini scaduti e verificando la reputazione residua. Framework di phishing come Gophish (open source) e Evilginx (open source, reverse proxy per credential/session harvesting) consumano poi il dominio registrato per ospitare portali clone.
Una catena d'attacco tipica in laboratorio: registrazione di un lookalike con TLD alternativo (.co, .biz, .us), attivazione di un certificato TLS gratuito Let's Encrypt per aumentare la credibilità, deploy di una pagina di login clonata via Evilginx e configurazione del dominio come listener C2 in Cobalt Strike (a pagamento) o nell'alternativa open source Sliver (open source). Il redirect intermedio verso storage cloud controllato — tecnica vista in campagne che appoggiavano l'eseguibile finale su servizi Dropbox-like — si riproduce con un semplice HTTP 302 verso un bucket di test.
Per la componente cloud, in un tenant AWS di laboratorio si può esercitare la registrazione via Route53 e la creazione di hosted zone puntate a risorse dell'operatore, replicando l'abuso descritto in ambienti compromessi. Documenta ogni dominio registrato per garantirne il de-provisioning a fine ingaggio, evitando che infrastruttura orfana resti sfruttabile.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.