Raccolta Info Host Vittima: Gather Victim Host Information (T1592)

Trattandosi di una tecnica pre-compromissione, in un esercizio red team l'obiettivo è simulare la profilazione degli host bersaglio in modo lab-safe, senza toccare infrastrutture reali fuori scope.

La raccolta passiva parte da motori come Shodan (freemium) e Censys (freemium), che indicizzano banner di servizio, versioni SO e software esposti su Internet: interrogandoli per un dominio autorizzato si ricostruisce la superficie d'attacco esterna senza generare traffico verso il target. Per l'automazione OSINT, SpiderFoot (open source) e Recon-ng (open source) orchestrano decine di moduli che correlano host, IP e tecnologie a partire da un dominio.

Sul fronte della fingerprinting attiva in laboratorio, lo strumento di riferimento resta Nmap (open source). La rilevazione del sistema operativo si effettua con

nmap -O

mentre il rilevamento di versioni di servizio si ottiene con

nmap -sV

Per profilare tecnologie web e header, whatweb (open source) e Wappalyzer (freemium) identificano CMS, framework e librerie lato server.

La parte più caratteristica di T1592 è la profilazione via User-Agent. In un lab controllato si può allestire un web server che ispeziona l'header User-Agent delle richieste in arrivo e serve payload differenziati per sistema operativo. Un semplice server Flask o Nginx con logica condizionale sul campo User-Agent replica il comportamento reale di un watering hole: si legge la stringa client, si distingue Windows da macOS o Linux, e si condiziona la risposta. Framework come BeEF (open source) raccolgono automaticamente browser, OS e plugin delle vittime che caricano un hook JavaScript.

La catena d'attacco tipica prevede: profilazione passiva con Shodan/Censys per mappare host e servizi; enumerazione OSINT con SpiderFoot per correlare i dati; fingerprinting mirato con Nmap solo su asset autorizzati; e infine, per emulare la variante watering hole, il deployment di una landing page che filtra i visitatori tramite User-Agent prima di consegnare il finto payload.

Questo tipo di ricognizione fornisce all'operatore le informazioni necessarie per selezionare exploit compatibili con il SO rilevato, aumentando l'efficacia della fase di accesso iniziale e riducendo il rumore prodotto da tentativi su piattaforme non vulnerabili.

Per un SOC la sfida principale è che T1592 avviene in larga parte fuori dalla visibilità aziendale: la profilazione passiva su Shodan o dataset pubblici non genera alcun log lato vittima. La detection efficace, come indica l'analitica AN1958, deve quindi concentrarsi sui segnali osservabili e sulle fasi successive del ciclo di attacco, in particolare l'accesso iniziale.

La fonte di log primaria secondo i dati MITRE è l'Internet Scan: scanner esterni possono cercare pattern associati a contenuto malevolo progettato per raccogliere informazioni dai visitatori. Va però considerato che questa attività ha un volume elevatissimo e un tasso di falsi positivi molto alto, perché il rumore di scansione di fondo su Internet è costante e indistinguibile dalla ricognizione mirata.

Sul perimetro, il monitoraggio dei log del web server (IIS, Apache, Nginx) e del WAF è il terreno più concreto. Vale la pena istituire alert comportamentali su header User-Agent anomali, malformati o riconducibili a tool di scansione noti (stringhe che dichiarano Nmap, masscan, o librerie di scripting), e su pattern di richieste che enumerano risorse diverse in rapida sequenza da uno stesso IP. Un artefatto tipico è la richiesta di risorse inesistenti o di endpoint di fingerprinting.

La correlazione con i log DNS aiuta a individuare risoluzioni verso domini lookalike o infrastrutture di ricognizione, mentre i log di posta possono rivelare il phishing informativo usato per estrarre dati di configurazione degli host.

Sul piano dei controlli preventivi allineati alla mitigazione M1056 (Pre-compromise), il SOC dovrebbe supportare la riduzione della superficie informativa: monitoraggio continuo dell'esposizione esterna con Shodan e Censys sui propri asset, deployment di scanner di vulnerabilità esterni, e integrazione di threat intelligence tramite piattaforme come MISP (open source) per tracciare infrastruttura avversaria. Sul canale email vanno applicate policy SPF, DKIM e DMARC per contrastare lo spoofing usato nelle campagne di raccolta informazioni.

Un suggerimento operativo è normalizzare gli header User-Agent nei log SIEM e costruire baseline per famiglia di client legittimi, così da far emergere per contrasto le stringhe forgiate o incoerenti. Poiché la certezza di attribuzione è bassa in questa fase, gli alert su T1592 dovrebbero alimentare arricchimento contestuale e threat hunting piuttosto che risposte automatiche, riservando l'escalation ai casi correlati con indicatori di accesso iniziale.

Nell'analisi forense di T1592 l'analista lavora principalmente su fonti esterne e su artefatti che emergono solo dopo il contatto tra la vittima e l'infrastruttura di ricognizione, poiché la raccolta passiva di informazioni non lascia tracce sugli endpoint bersaglio.

Le fonti esterne più utili per ricostruire la timeline sono i dataset di passive DNS, i log di Certificate Transparency consultabili tramite database pubblici come crt.sh, e lo storico WHOIS dei domini coinvolti. Questi elementi permettono di correlare quando un'infrastruttura di scansione o un dominio lookalike è stato registrato e attivato rispetto agli eventi osservati in azienda. Servizi di monitoraggio della superficie esterna come Shodan e Censys forniscono snapshot storici che documentano quali servizi e versioni SO erano esposti nel periodo della ricognizione.

Sul lato endpoint e server, gli artefatti più rilevanti sono i log del web server. In ambiente Windows con IIS, i file di log in %SystemDrive%\inetpub\logs\LogFiles registrano indirizzo IP sorgente, timestamp, risorsa richiesta e soprattutto l'header User-Agent, elemento centrale in questa tecnica. In ambiente Linux, i log di Apache in /var/log/apache2/access.log o di Nginx in /var/log/nginx/access.log offrono le stesse informazioni. L'analisi di queste stringhe consente di individuare User-Agent forgiati o incoerenti usati per profilare gli host e per servire payload condizionati al sistema operativo.

La ricostruzione della timeline dovrebbe intrecciare tre livelli: gli eventi esterni (registrazione domini, comparsa certificati, prime scansioni rilevate dai dataset passivi), le richieste HTTP anomale nei log del server, e gli eventuali indicatori di fasi successive come il download di malware differenziato per OS. La correlazione tra l'header User-Agent registrato e il payload effettivamente servito è spesso l'evidenza chiave che distingue una scansione generica da una ricognizione mirata di tipo watering hole.

È importante che l'analista non forzi l'esistenza di artefatti endpoint dove non ce ne sono: in molti casi la traccia forense di T1592 resta confinata ai log perimetrali e alle fonti OSINT. Dove disponibili, i log DNS aziendali e i registri di posta elettronica completano il quadro, documentando rispettivamente le risoluzioni verso infrastruttura sospetta e i tentativi di phishing informativo. La conservazione a lungo termine di questi log è determinante, perché la finestra tra ricognizione e compromissione effettiva può estendersi per settimane o mesi.

I dati MITRE associano a T1592 un unico gruppo documentato, ma si tratta di un attore di primissimo piano nel panorama delle minacce a infrastrutture critiche.

Volt Typhoon (G1017) ha condotto ricognizione pre-compromissione per raccogliere informazioni sugli host delle vittime. Questo comportamento è coerente con il profilo operativo del gruppo, caratterizzato da un approccio estremamente cauto e paziente, in cui la fase di raccolta informativa precede di molto qualsiasi azione intrusiva. La profilazione accurata degli host — sistema operativo, funzione, configurazione — permette a un attore come Volt Typhoon di selezionare tecniche di accesso iniziale mirate e a basso rumore, riducendo la probabilità di detection e privilegiando la persistenza silenziosa.

Il fatto che questa tecnica compaia nell'arsenale documentato di un solo gruppo, ma di caratura così elevata, riflette un pattern preciso: la raccolta di informazioni sugli host è un'attività trasversale e ubiqua, praticata di fatto da quasi ogni avversario, ma raramente attribuita in modo formale proprio perché avviene fuori dalla visibilità difensiva. La sua presenza esplicita nel profilo di Volt Typhoon segnala l'importanza che gli attori sponsorizzati da stati attribuiscono alla ricognizione metodica come fondamento di operazioni prolungate.

Sul piano dei trend, la profilazione degli host tende a spostarsi sempre più verso metodi passivi e a basso contatto: sfruttamento di dataset pubblici, analisi degli header User-Agent, e compromissione di siti terzi che raccolgono dati sui visitatori. Questo consente agli avversari di costruire un quadro dettagliato del bersaglio senza generare traffico di scansione facilmente attribuibile, complicando il lavoro dei difensori.

Per un Threat Intelligence Officer, la lezione operativa è che il monitoraggio della propria superficie informativa esterna deve essere continuo e proattivo. La mitigazione M1056 (Pre-compromise) raccomanda l'uso di piattaforme di threat intelligence come MISP (open source), Recorded Future (a pagamento) e Anomali (a pagamento) per tracciare infrastruttura, strumenti e attività avversaria, integrando questi feed con l'auditing regolare dei dati pubblicamente disponibili.

La priorità difensiva, in assenza di controlli preventivi efficaci su una tecnica per definizione esterna, resta la riduzione della quantità e sensibilità delle informazioni esposte a parti terze: sanificazione di job post e siti web, protezione dell'infrastruttura DNS con DNSSEC e privacy WHOIS, e formazione del personale contro la fuga di informazioni tramite social media e phishing.

MITRE ATT&CK: T1592 (Gather Victim Host Information), tattica TA0043; gruppo G1017 (Volt Typhoon); mitigazione M1056 (Pre-compromise); detection DET0826, analitica AN1958. Per comandi, tool e artefatti forensi è stata integrata conoscenza professionale di cybersecurity: strumenti citati (Nmap, Shodan, Censys, SpiderFoot, Recon-ng, whatweb, Wappalyzer, BeEF, MISP) sono verificabili tramite repository pubblici e documentazione ufficiale.