Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Acquisizione di Domini Malevoli: Domains (T1583.001)
L'acquisizione di domini è una delle fondamenta operative di qualsiasi campagna offensiva strutturata. Catalogata nella fase di Resource Development (TA0042), questa tecnica descrive il processo con cui un avversario registra, acquista o riutilizza nomi di dominio per sostenere l'intera catena d'attacco — dal phishing iniziale alla persistenza del canale di comando e controllo.
Il meccanismo è semplice nella forma, sofisticato nell'applicazione. Un attaccante può registrare domini che imitano organizzazioni legittime attraverso typosquatting, homoglyph attacks con set di caratteri internazionalizzati (IDN), o semplici variazioni del TLD. Può anche recuperare domini scaduti che conservano una reputazione positiva nelle allowlist dei difensori, oppure generare dinamicamente URI usa-e-getta per servire contenuti malevoli una sola volta.
Il volume di attività documentata è significativo: 40 gruppi APT, 3 famiglie malware, 15 campagne e una sola mitigazione ufficiale confermano che questa tecnica resta un pilastro dell'arsenale offensivo. La difficoltà nel contrastarla risiede nella natura stessa del sistema DNS: la registrazione di un dominio è un'azione legittima, e l'abuso diventa evidente solo quando il dominio entra in contatto con le vittime. Per questo la detection si concentra quasi interamente sulle fasi successive della kill chain — Initial Access e Command and Control — dove l'infrastruttura acquisita viene finalmente esposta.
Simulare questa tecnica in laboratorio richiede di riprodurre il flusso completo: dall'enumerazione dei domini simili alla registrazione effettiva, fino alla configurazione dell'infrastruttura C2.
Il primo passo è generare permutazioni del dominio target per identificare quelli ancora disponibili. Lo strumento dnstwist (open source) è il riferimento per questa operazione. Lanciando:
dnstwist --registered -f csv example.com
si ottiene una lista di varianti — typosquatting, omoglifi, bit-flipping, inserimenti e trasposizioni — con indicazione di quali sono già registrate. L'output CSV permette di alimentare direttamente il report dell'assessment. Per espandere l'analisi agli IDN homograph, il flag --idn genera permutazioni con caratteri internazionalizzati cirillici, greci e altri set che producono glifi visivamente identici ai caratteri latini.
Una volta identificate le varianti disponibili, il red teamer può registrare il dominio scelto tramite API dei registrar. Per ambienti cloud, la simulazione può replicare ciò che fanno realmente gli avversari in ambienti AWS compromessi: utilizzare il servizio Route53 per registrare domini e creare hosted zone che puntano a infrastruttura controllata dall'attaccante.
La fase successiva è rendere il dominio operativo. Con Caddy (open source) o nginx si configura un reverse proxy con certificato TLS automatico tramite Let's Encrypt, replicando l'aspetto di un portale di login legittimo. Per il canale C2 vero e proprio, framework come Sliver (open source) o Cobalt Strike (a pagamento) supportano listener HTTPS su dominio custom. La configurazione di un listener Sliver su dominio dedicato si avvia con:
sliver > https --domain phishing-domain.com --lport 443
Per la componente di credential harvesting, Gophish (open source) consente di orchestrare campagne di phishing realistiche associando il dominio registrato a template di login clonati. L'integrazione con Evilginx (open source) aggiunge la capacità di intercettare sessioni con MFA bypass tramite proxy inverso trasparente.
Un aspetto spesso trascurato è l'OPSEC del dominio stesso. Gli avversari reali usano servizi WHOIS privacy, registrar multipli e informazioni di registrazione variabili. In un red team engagement è utile replicare questo pattern: registrare attraverso provider diversi, attivare la protezione WHOIS, e utilizzare DNS hosting separato dal registrar, così da testare la capacità del blue team di correlare infrastruttura frammentata.
Per la registrazione di domini lookalike difensivi — quelli che l'organizzazione registra preventivamente per bloccare il typosquatting — dnstwist stesso genera l'elenco delle varianti prioritarie da presidiare.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo