Raccolta di Indirizzi Email: Email Addresses (T1589.002)

Trattandosi di una tecnica di Reconnaissance, in un ingaggio red team l'obiettivo è simulare la raccolta di indirizzi in modo lab-safe, senza toccare persone reali fuori dallo scope autorizzato. Il punto di partenza è l'OSINT passivo, poi si passa all'enumerazione attiva contro le API di autenticazione del target.

Per la raccolta open source, alcuni framework consolidati permettono di correlare domini, indirizzi e fonti pubbliche:

• theHarvester (open source): aggrega email da motori di ricerca e fonti passive, ad esempio theHarvester -d dominio-target -b all.
• Recon-ng (open source): framework modulare con moduli come recipient e contacts per popolare un database di target.
• SpiderFoot (open source, con tier freemium cloud): automatizza la correlazione tra domini, email e leak.
• Maltego (freemium): utile per la visualizzazione delle relazioni tra entità.

Sul fronte Office 365 e Azure AD, il tool di riferimento è AADInternals (S0677) (open source), modulo PowerShell che verifica l'esistenza delle caselle interrogando le API Microsoft. Il cmdlet tipico è Invoke-AADIntUserEnumerationAsOutsider -UserName , che restituisce se l'account esiste sfruttando il comportamento dell'endpoint GetCredentialType. Per la logica autodiscover, script come o365enum e MailSniper (entrambi open source) eseguono enumerazione basata sulle risposte del servizio.

Una catena d'attacco realistica parte dalla definizione del formato email aziendale (ricavato da un singolo indirizzo pubblico su LinkedIn o firma PDF), prosegue con la generazione di una lista di candidati combinando nomi dei dipendenti reperiti da fonti aperte, e culmina nella validazione tramite enumerazione API. Le email confermate diventano input per il password spraying — ad esempio con DomainPasswordSpray (open source) — o per campagne di phishing simulato tramite GoPhish (open source).

Lo stesso approccio si applica cross-platform: su Linux e macOS i tool Python (theHarvester, o365enum) girano nativamente, mentre AADInternals richiede PowerShell, disponibile anche su piattaforme non-Windows. In laboratorio conviene ricreare un tenant M365 di prova e un dominio fittizio, così da osservare le differenze di risposta tra account esistenti e inesistenti senza generare traffico verso infrastrutture reali. Documenta sempre il volume di query: un'enumerazione aggressiva è facilmente distinguibile dal traffico legittimo, un dettaglio prezioso quando il red team collabora con il blue team per calibrare le detection.

La raccolta di indirizzi email è comportamentale e si svolge in larga parte fuori dal perimetro, quindi la detection diretta è limitata. L'unica analitica documentata, AN1946 (PRE), invita a monitorare il traffico di rete sospetto indicativo di enumerazione: grandi quantità di richieste di autenticazione iterative provenienti da una singola sorgente, soprattutto se associata a botnet o infrastruttura avversaria nota.

La fonte di log primaria è quindi il Network Traffic, integrato dai log applicativi dei servizi esposti. In pratica il SOC osserva l'artefatto quando l'infrastruttura di raccolta viene usata contro l'organizzazione, non durante l'acquisizione esterna. Gli indicatori più utili sono:

• Picchi di chiamate agli endpoint autodiscover e GetCredentialType sui tenant Microsoft 365, spesso con user-agent anomalo o assente.
• Errori di autenticazione a bassa frequenza distribuiti su molti username diversi (pattern tipico dell'enumerazione, distinto dal brute force su singolo account).
• Campi HTTP/S rivelatori nei metadati web, come stringhe referer o user-agent riconducibili a tool automatici.

Sul versante identità, in Azure AD/Entra ID i log di sign-in con codici di errore che differenziano "utente inesistente" da "password errata" sono la spia che qualcuno sta validando caselle. Correlare questi eventi con feed di reputazione IP aiuta a filtrare il rumore.

I falsi positivi sono frequenti e vanno gestiti con cura. Scanner di sicurezza legittimi, servizi di verifica deliverability delle email marketing, mail server che effettuano lookup autodiscover e crawler dei motori di ricerca generano pattern simili. Una baseline del traffico normale verso i portali di autenticazione è indispensabile prima di alzare soglie di alert.

Sul fronte preventivo, la mitigazione Pre-compromise (M1056) raccomanda controlli che riducono l'efficacia della raccolta più che bloccarla. Concretamente: applicare policy SPF, DKIM e DMARC per contrastare lo spoofing derivato dagli indirizzi raccolti, adottare soluzioni di email security (Microsoft Defender for Office 365, Proofpoint o Mimecast in modalità a pagamento), monitorare la superficie esterna con piattaforme come Shodan o Censys (freemium) e ridurre l'esposizione di indirizzi su siti e social. Abilitare MFA su tutti gli account rende meno redditizio l'output dell'enumerazione, perché anche una lista di caselle valide non basta a garantire l'accesso. Infine, l'auditing periodico dei dati pubblici — job post, form di contatto, firme email — abbassa il volume di informazioni che l'avversario può correlare.

Nella ricognizione l'attività avviene prevalentemente fuori dall'endpoint, quindi il forensic analyst lavora soprattutto su fonti esterne e su artefatti che emergono solo dopo il primo contatto con l'infrastruttura malevola. Ricostruire questa fase significa partire dai log lato server e dai dataset OSINT, più che dal disco delle vittime.

Le fonti esterne più preziose per ricostruire la raccolta sono i log applicativi dei servizi di autenticazione esposti. Nei tenant Microsoft 365, i sign-in log di Entra ID e gli unified audit log conservano le richieste verso GetCredentialType e autodiscover, con timestamp, IP sorgente e user-agent che permettono di distinguere l'enumerazione da traffico legittimo. Analizzare la cadenza temporale delle query — sequenze rapide e ordinate alfabeticamente — è spesso l'elemento che rivela l'uso di un tool automatizzato.

Sul versante infrastrutturale, il WHOIS storico, i record di passive DNS e i log di Certificate Transparency (consultabili tramite servizi come crt.sh) aiutano a correlare i domini usati per ospitare form di contatto scrapati o pagine di phishing successive. Questi elementi costruiscono la timeline che collega la fase di raccolta a quella di weaponization.

Sull'endpoint gli artefatti compaiono a valle. Il caso di TA551 (G0127) è emblematico: il gruppo ha acquisito indirizzi email direttamente dai client di posta di host precedentemente infettati, per colpire altri individui. In scenari analoghi l'analista cerca tracce di accesso ai file PST/OST di Outlook, alle rubriche esportate e ai database dei client di posta, oltre a eventuali script di scraping nella cronologia PowerShell (ConsoleHost_history.txt) o nei log di esecuzione. La presenza di moduli come AADInternals si riflette nei log di Script Block Logging (EventCode 4104) quando la telemetria PowerShell è attiva.

Sul lato server web, i log IIS o Apache conservano le richieste verso i form di contatto e le pagine "chi siamo", utili quando l'attaccante — come nel caso di EXOTIC LILY (G1011) — raccoglie indirizzi tramite ricerca open source e moduli di contatto del sito. Correlare i campi referer e user-agent con gli IP consente di isolare il crawling malevolo.

È importante non forzare artefatti inesistenti: quando la raccolta è puramente passiva (ricerche pubbliche, social media), sull'infrastruttura della vittima non resta nulla. In questi casi la timeline si ancora al primo evento osservabile, tipicamente l'email di spearphishing recapitata agli indirizzi enumerati, e da lì si retrocede tramite le fonti esterne disponibili.

La raccolta di indirizzi email è trasversale a un panorama di 14 gruppi che coprono spionaggio statale, cybercrime e hacktivismo, segno di una tecnica a bassissima barriera d'ingresso ma ad alto valore strategico.

Lazarus Group (G0032), riconducibile alla Corea del Nord, ha raccolto indirizzi appartenenti a vari dipartimenti di un'organizzazione bersaglio per alimentare successive campagne di phishing. Sulla stessa area geografica si colloca Kimsuky (G0094), che ha accumulato indirizzi validi inclusi account personali, poi sfruttati per spearphishing e social engineering, e Moonstone Sleet (G1036), che ha raccolto informazioni email in preparazione di attività di phishing. Questa concentrazione nordcoreana evidenzia un pattern operativo: la ricognizione mirata come preludio quasi sistematico all'accesso iniziale via posta.

Sul fronte russo, Sandworm Team (G0034) ha ottenuto indirizzi validi durante la ricerca sulle organizzazioni target, poi impiegati in campagne di spearphishing, mentre Saint Bear (G1031) raccoglie informazioni email in anticipo rispetto a operazioni di phishing mirato. L'iraniano Magic Hound (G0059) ha individuato account email di alto valore in ambito accademico, giornalistico, ONG, politica estera e sicurezza nazionale, e HEXANE (G1001) ha preso di mira dirigenti, personale HR e IT.

Interessante il caso cinese di Volt Typhoon (G1017), che punta alle email personali dello staff chiave di rete e IT delle vittime, e di HAFNIUM (G0125), che raccoglie indirizzi degli utenti da colpire. APT32 (G0050) ha invece raccolto indirizzi di attivisti e blogger per distribuire spyware, mentre Silent Librarian (G0122) attinge da ricerche Internet aperte. Sul versante criminale spiccano LAPSUS$ (G1004), che sfrutta indirizzi aziendali e personali per social engineering e accesso iniziale, EXOTIC LILY (G1011), che usa ricerca open source e form di contatto, e TA551 (G0127), che ricicla indirizzi estratti dai client di posta di host già compromessi.

Due campagne mostrano l'uso operativo. In Water Curupira Pikabot Distribution (C0037), attiva nel 2023 e collegata alla distribuzione del ransomware BlackBasta, il thread spoofing di conversazioni email esistenti veicola spearphishing, con overlap tecnici con QakBot. In Quad7 Activity (C0055), la rete di router SOHO compromessi nota anche come CovertNetwork-1658, gli indirizzi raccolti alimentano tentativi di password spraying sfruttati da Storm-0940. Sul piano tooling, AADInternals (S0677) è l'unico software mappato: verifica l'esistenza degli indirizzi tramite le API pubbliche Microsoft, confermando la centralità dell'ecosistema Office 365 come terreno di enumerazione.

MITRE ATT&CK, tecnica T1589.002 (Email Addresses), tattica TA0043. Gruppi G0032, G0034, G0050, G0059, G0094, G0122, G0125, G0127, G1001, G1004, G1011, G1017, G1031, G1036; software S0677; campagne C0037 e C0055; mitigazione M1056; detection DET0814 (AN1946). Comandi e tool di enumerazione (theHarvester, Recon-ng, SpiderFoot, AADInternals, MailSniper, o365enum, GoPhish) descritti tramite conoscenza professionale di cybersecurity, con sintassi verificabile su documentazione ufficiale e repository pubblici.