Ricognizione Firmware: Gather Victim Host Information - Firmware (T1592.003)

In un ingaggio red team, la simulazione di questa fase è puramente OSINT e non tocca ancora i sistemi del cliente. L'obiettivo è dimostrare quanto sia facile ricostruire il profilo firmware dell'organizzazione partendo da fonti pubbliche.

Inizia dalla raccolta passiva. Gli annunci di lavoro sono una miniera: cerca offerte che citano modelli specifici ("esperienza con Dell PowerEdge R740", "HPE iLO", "Supermicro BMC") per inferire il parco hardware e quindi le famiglie di firmware presenti. Curriculum su piattaforme professionali e case study dei vendor offrono gli stessi indizi.

Per l'automazione della raccolta puoi orchestrare i moduli di Recon-ng (open source) e SpiderFoot (open source, con tier freemium in versione HX), che aggregano documenti, metadati e menzioni tecniche. I metadati dei documenti pubblici sono particolarmente ricchi: scarica PDF, DOCX e immagini dal dominio target ed estrai i campi con exiftool (open source):

exiftool -a -G1 documento.pdf

per leggere produttore e a volte riferimenti hardware. Per il download massivo di file indicizzati è utile metagoofil (open source).

Quando ti sposti verso l'esposizione internet, host con interfacce di management fuori posto rivelano il firmware direttamente. Usa Shodan (freemium) e Censys (freemium) per identificare banner di BMC, iDRAC, iLO o UEFI web server. Una query mirata su Shodan filtra per prodotto e organizzazione:

shodan search "org:"Nome Azienda" iLO"

tramite la CLI ufficiale shodan (installabile via pip). Le interfacce IPMI esposte spesso dichiarano versione firmware nel banner.

La componente di elicitazione diretta va concordata nelle regole d'ingaggio: un pretesto di phishing mirato può indurre un tecnico a rivelare modelli e versioni, ad esempio simulando un survey di un fornitore. Per costruire e tracciare la campagna in laboratorio si usa GoPhish (open source).

Una volta ricostruito il profilo firmware, la catena d'attacco prosegue mappando le CVE note per quelle versioni: strumenti come CHIPSEC (open source) servono in fase successiva per validare la superficie UEFI su hardware di test, mai in produzione senza autorizzazione. In lab, uno spoke completo replica host con firmware datato per dimostrare come l'informazione raccolta abiliti un exploit supply-chain. Mantieni tutta l'attività documentata e lab-safe: questa fase è ricognizione, non intrusione.

Il monitoraggio diretto di questa tecnica è intrinsecamente difficile, perché la raccolta di informazioni sul firmware avviene per lo più al di fuori del perimetro aziendale, su motori di ricerca, annunci di lavoro e archivi pubblici che il SOC non controlla. La stessa detection ufficiale (AN1950) avverte che l'attività ha altissima frequenza e tasso di falsi positivi, spesso invisibile all'organizzazione bersaglio.

La strategia realistica è la detection indiretta: concentrare gli sforzi sulle fasi successive del ciclo d'attacco, quando l'informazione raccolta viene sfruttata. Se un attaccante ha profilato il firmware per preparare un accesso iniziale, il segnale osservabile arriva durante l'Initial Access o il primo contatto con l'infrastruttura esposta.

Monitora i log delle interfacce di management fuori banda. Accessi anomali verso iDRAC, iLO, IPMI o console UEFI/BMC vanno correlati: raccogli i log di autenticazione di questi controller nel SIEM e genera alert su tentativi di login da IP esterni o geolocalizzazioni inattese. Sui web server pubblici, cerca pattern di scanning che enumerano banner e versioni: user-agent tipici di Shodan e Censys, richieste ripetute a endpoint di management, e fingerprinting HTTP verso porte 623 (IPMI) o interfacce amministrative.

Sul fronte della raccolta OSINT contro la tua organizzazione, adotta un approccio di attack surface management. Piattaforme come SpiderFoot (open source) e Recon-ng (open source) usate in ottica difensiva ti mostrano quali dati firmware trapelano da annunci di lavoro e documenti; Shodan Monitor e Censys (entrambi freemium) segnalano quando un tuo host espone banner con versioni firmware.

Sul piano preventivo, la mitigazione M1056 (Pre-compromise) raccomanda di ridurre l'esposizione informativa: audit periodico di annunci di lavoro e siti pubblici per rimuovere riferimenti a modelli hardware specifici, sanitizzazione dei metadati dei documenti prima della pubblicazione, e segmentazione delle interfacce di management in VLAN isolate mai raggiungibili da internet.

Attenzione ai falsi positivi: gran parte del traffico di scanning è rumore di fondo internet, condotto da ricercatori e servizi legittimi di indicizzazione. Non trattare ogni hit di Shodan come attacco imminente; correla invece la ricognizione con anomalie di autenticazione o con tentativi di exploit contemporanei. La email security (Proofpoint, Microsoft Defender for Office 365, Mimecast, tutti a pagamento) e policy SPF/DKIM/DMARC riducono l'elicitazione via phishing mirato ai tecnici.

Trattandosi di una tecnica pre-compromissione, l'analisi forense classica dell'endpoint offre pochi appigli diretti: la raccolta di informazioni sul firmware non lascia artefatti sui sistemi della vittima, perché avviene su fonti esterne. Il lavoro dell'analista si sposta quindi verso fonti esterne e verso gli artefatti che emergono dopo il primo contatto con l'infrastruttura malevola.

Sul versante esterno, ricostruisci quali dati firmware erano pubblicamente disponibili al momento dell'operazione. Consulta il WHOIS storico e il passive DNS per capire quali host e interfacce erano esposti, e verifica gli archivi di indicizzazione come la cache dei motori di ricerca e la Wayback Machine per recuperare annunci di lavoro o documenti tecnici che citavano modelli hardware e versioni firmware. I Certificate Transparency logs, consultabili tramite il database di crt.sh, possono rivelare hostname di interfacce di management (iLO, iDRAC) che l'attaccante ha potuto scoprire e profilare.

Quando la ricognizione si traduce in contatto con l'infrastruttura, gli artefatti diventano concreti. Sui controller BMC/IPMI conserva ed esamina i log di autenticazione e di sessione: timestamp di accesso, IP sorgente e comandi impartiti costruiscono la timeline del momento in cui il profilo firmware raccolto viene messo alla prova. Sugli host Windows, se l'attaccante progredisce verso l'accesso, gli artefatti UEFI/firmware si leggono con CHIPSEC (open source) per dumpare e confrontare le regioni SPI, e le informazioni firmware baseline si estraggono con Get-WmiObject Win32_BIOS o wmic bios get per documentare versione e data di rilascio.

Su Linux, la versione firmware degli host compromessi si preserva leggendo dmidecode -t bios e ispezionando /sys/class/dmi/id/; per il firmware dei componenti, fwupdmgr get-devices elenca versioni e stato. Questi valori vanno correlati con le finestre temporali della ricognizione OSINT per dimostrare la corrispondenza tra ciò che era pubblicamente inferibile e ciò che l'attaccante ha effettivamente colpito.

Costruisci una timeline su due binari paralleli: la linea esterna (comparsa e rimozione di dati firmware pubblici, snapshot d'archivio, record CT) e la linea interna (primi accessi alle interfacce di management, tentativi di exploit su versioni firmware note vulnerabili). L'intersezione tra i due binari è la prova che la fase di raccolta ha guidato l'operazione. Documenta hash e catena di custodia di ogni dump firmware e di ogni log BMC esportato, perché il firmware è un vettore di persistenza che sopravvive alla reinstallazione del sistema operativo.

I dati MITRE ATT&CK forniti per questa sottotecnica non associano alcun gruppo APT, software o campagna documentata: le statistiche riportano zero gruppi, zero software e zero campagne. Questa assenza non va letta come irrilevanza operativa, ma come conseguenza della natura della tecnica. La raccolta di informazioni sul firmware è un'attività di ricognizione silenziosa, condotta fuori dal perimetro difeso e raramente attribuibile a un attore specifico, perché non lascia le tracce che permettono di ricondurla a una campagna nominata.

Dal punto di vista dell'intelligence, il valore di questa tecnica sta nel suo ruolo di abilitatore. Profilare il firmware di un bersaglio serve a preparare operazioni ad alto impatto: gli attacchi alla catena di fornitura (Supply Chain Compromise) e lo sfruttamento di applicazioni esposte (Exploit Public-Facing Application) beneficiano enormemente di sapere in anticipo quali versioni BIOS/UEFI e quali controller embedded sono in uso. Un impianto a livello firmware garantisce persistenza sotto il sistema operativo, resistente a reinstallazioni e cambi di disco, il che spiega l'interesse di attori sofisticati e sponsorizzati da stati verso questa superficie.

Il pattern ricorrente che l'analista deve tracciare è la sequenza logica: ricognizione firmware, poi consultazione di database tecnici pubblici per mappare le CVE, poi sviluppo o acquisizione di capacità mirate a quelle versioni. Questa catena è il segnale che un attore sta investendo in un'operazione pianificata e non opportunistica.

Sul piano difensivo strategico, la mitigazione M1056 (Pre-compromise) indica gli strumenti per tenere sotto controllo l'esposizione: piattaforme di threat intelligence come MISP (open source), Recorded Future (a pagamento) e Anomali (a pagamento) per tracciare infrastruttura e attività avversarie, affiancate da monitoraggio della superficie esterna con Shodan e Censys (freemium). Il monitoraggio di domini e DNS con servizi come DomainTools (a pagamento) e l'adozione di DNSSEC completano il quadro.

Il trend rilevante per un Threat Intelligence Officer è la crescente attenzione degli avversari verso i livelli più bassi dello stack: quando le difese endpoint maturano, l'interesse si sposta verso firmware e management controller, dove la visibilità difensiva è storicamente carente. Investire in intelligence sull'esposizione firmware significa anticipare le fasi iniziali di operazioni che, se completate, sarebbero tra le più difficili da rilevare e rimuovere.

MITRE ATT&CK: tecnica T1592.003 (Gather Victim Host Information: Firmware), tattica TA0043 (Reconnaissance), mitigazione M1056 (Pre-compromise), detection DET0818 e analitica AN1950. Tool di detection e monitoraggio citati: SpiderFoot, Recon-ng, Shodan, Censys, MISP, exiftool, metagoofil, CHIPSEC, GoPhish, dmidecode, fwupd. Parte del contenuto operativo (comandi, artefatti forensi e procedure) deriva da conoscenza professionale di cybersecurity, nel rispetto delle regole su tool reali e verificabili.