Creazione di Account: Establish Accounts (T1585)
Establish Accounts descrive la pratica con cui un attaccante crea e coltiva account presso servizi legittimi per costruire un'identità falsa da sfruttare nelle fasi successive di un'operazione. Rientra nella tattica TA0042 (Resource Development), la fase in cui l'avversario predispone le risorse — infrastrutture, account, capacità — che alimenteranno l'intero ciclo d'attacco.
A differenza del furto di credenziali, qui l'obiettivo è generare persone digitali dall'aspetto credibile: profili su social network, repository di codice, forum tecnici o provider di posta. Lo sviluppo di una persona richiede tempo e coerenza — sezioni biografiche, foto, reti di contatti, cronologia di attività — perché la sua legittimità verrà scrutinata dalla vittima nel corso dell'ingegneria sociale.
Gli account creati diventano il trampolino per fasi come Initial Access tramite phishing, per il reclutamento di vittime, per la distribuzione di payload malevoli su piattaforme di condivisione codice, o per l'abuso di servizi gratuiti (periodi di prova) al fine di acquisire ulteriore infrastruttura.
L'impatto operativo è rilevante: i dati MITRE associano questa tecnica a 5 gruppi APT, 1 campagna documentata e una sola mitigazione praticabile. La difficoltà chiave è che l'attività si svolge quasi interamente al di fuori del perimetro difensivo aziendale, rendendo la prevenzione diretta pressoché impossibile e spostando il baricentro della difesa sul monitoraggio esterno e sulla detection delle fasi successive.
Trattandosi di una tecnica pre-compromissione (TA0042), il valore per un red team sta nel simulare in modo realistico la costruzione di persone digitali durante un'operazione autorizzata, mantenendo il lavoro confinato in un contesto lab-safe e nel perimetro delle regole d'ingaggio.
Il primo passo è la persona development: definire un'identità coerente con nome, ruolo, foto e cronologia. Per generare volti sintetici non riconducibili a persone reali si usano immagini prodotte da reti GAN (il servizio This Person Does Not Exist è gratuito). La coerenza va poi distribuita su più piattaforme — profili social, un account su forum tecnici, un repository su piattaforme di condivisione codice — replicando esattamente ciò che i gruppi reali hanno fatto: sezioni biografiche, partecipazione a thread, contributi apparentemente legittimi.
Per l'automazione della raccolta e verifica dell'impronta di una persona esistente da impersonare, oppure per validare quanto sia scopribile la persona costruita, tornano utili:
- Sherlock (open source): cerca la presenza di uno username su centinaia di piattaforme.
- Maltego (freemium): mappa relazioni tra identità, email e domini.
- theHarvester (open source): raccoglie email e sottodomini associati a un'organizzazione target.
- SpiderFoot (open source): automatizza la correlazione OSINT su una persona o dominio.
Sul fronte email, un red team predispone account presso provider gratuiti da usare come mittenti nelle campagne di phishing simulato. Per orchestrare l'invio in modo controllato si adottano framework come GoPhish (open source), che permette di gestire template, landing page e tracciamento delle interazioni in un ambiente di test isolato.
La catena d'attacco tipica che ne discende parte dalla persona coltivata, prosegue con un contatto verso il target — connessioni su reti professionali, un messaggio diretto, o la pubblicazione di un progetto "utile" su un repository — e culmina nella consegna del payload o nella raccolta di informazioni. È lo schema osservato con Contagious Interview, che ha mantenuto persone su repository di codice per distribuire payload malevoli, e con Ember Bear, che ha creato account su forum del dark web per procurarsi tool e malware.
Un dettaglio operativo rilevante emerge dalla campagna Salesforce Data Exfiltration: la registrazione di account di prova (trial) su piattaforme SaaS legittime consente di ospitare o registrare applicazioni malevole. In un esercizio, simulare l'abuso di un tier gratuito per registrare un'app OAuth aiuta a testare i controlli di consenso e la governance delle integrazioni di terze parti.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.