Preparazione Watering Hole: Drive-by Target (T1608.004)

La tecnica T1608.004 - Drive-by Target descrive la fase preparatoria in cui un avversario allestisce l'infrastruttura web necessaria a compromettere le vittime tramite normale navigazione. Rientra nella tattica TA0042 (Resource Development) e precede logicamente il momento dell'exploit vero e proprio, che avviene con il Drive-by Compromise in fase di Initial Access.

L'attaccante può muoversi su più fronti: iniettare JavaScript malevolo in siti legittimi compromessi, modificare file script serviti da bucket cloud scritti in modo permissivo, oppure acquistare spazi pubblicitari attraverso ad network legittimi per veicolare malvertising. Una variante particolarmente insidiosa è il watering hole strategico, in cui l'aggressore identifica siti frequentati da una comunità specifica — governativa, industriale o geografica — e li trasforma in trappole mirate.

Spesso lo script iniettato non lancia subito l'exploit ma esegue un fingerprinting del browser, verificando versione, plugin, sistema operativo e indirizzo IP della vittima. Solo se il profilo corrisponde al target atteso viene servito il payload, riducendo la superficie di rilevamento e proteggendo l'exploit da analisti e sandbox.

I dati MITRE censiscono 8 gruppi APT che hanno utilizzato questa tecnica, spaziando da attori cinesi come Threat Group-3390 ad operatori iraniani come CURIUM, oltre alla campagna documentata C0010 contro il settore shipping israeliano. L'impatto operativo è alto: una singola pagina compromessa può infettare centinaia di visitatori in poche ore.

In un ingaggio red team, la simulazione di T1608.004 richiede un ambiente isolato e autorizzazione scritta, dato che si opera su infrastruttura web che sarà poi visitata da utenti reali (tipicamente in un phishing simulation controllato).

Il primo passo è la scelta del vettore. Per un watering hole simulato, si allestisce una copia clone del sito bersaglio in laboratorio usando HTTrack (open source) con un comando del tipo httrack "https://sito-target.local" -O ./clone -%v. In alternativa wget --mirror --convert-links --page-requisites produce un mirror navigabile. Il clone viene poi ospitato su un dominio di typosquatting registrato per l'esercizio, con certificato TLS valido ottenuto via Let's Encrypt attraverso certbot certonly --standalone -d dominio-esercizio.tld (open source).

Per la parte di browser fingerprinting, il framework di riferimento è BeEF - Browser Exploitation Framework (open source), che si avvia con ./beef dopo aver clonato il repository. BeEF genera un hook JavaScript da iniettare nella pagina clone () e restituisce in dashboard versione browser, plugin, OS, risoluzione schermo, cookie accessibili e sessioni attive verso siti terzi. Utile per dimostrare al cliente quali informazioni un attaccante estrae prima ancora di lanciare un exploit.

Per la parte di profilazione lato client senza framework completo, si può ricorrere a FingerprintJS (freemium, versione open source disponibile) integrata con poche righe di script per raccogliere canvas fingerprint, WebGL renderer e audio context — dati sufficienti a distinguere un endpoint reale da una sandbox.

La catena tipica in laboratorio si articola così:

  • registrazione dominio lookalike e provisioning TLS
  • clonazione sito target con HTTrack o wget
  • iniezione di uno stager JavaScript che invia il fingerprint a un endpoint di raccolta
  • decisione condizionale server-side: se il profilo matcha, serve il payload di secondo stadio (in ambiente autorizzato tipicamente un beacon Cobalt Strike a pagamento, o Sliver open source), altrimenti restituisce contenuto benigno

Per la componente malvertising simulata, senza toccare ad network reali, si costruisce un iframe locale che carica creatività ospitate su un secondo dominio controllato, replicando il pattern di redirect a catena tipico di TDS - Traffic Direction Systems come Keitaro (a pagamento) o l'open source BlackTDS (progetto documentato ma verificarne la manutenzione attiva).

Ogni artefatto va documentato con hash, timestamp e URL per il report finale.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.