Raccolta Informazioni Identità: Gather Victim Identity Information (T1589)

In un ingaggio red team autorizzato, la simulazione di T1589 richiede di replicare fedelmente le tecniche OSINT usate dagli avversari, senza mai superare il perimetro autorizzato nel rules of engagement.

Il punto di partenza è l'enumerazione dei dipendenti tramite fonti pubbliche. theHarvester (open source) resta lo strumento base per raccogliere email, sottodomini e nomi da motori di ricerca e certificate transparency; una tipica invocazione è theHarvester -d target.com -b all -l 500. Per profilare i dipendenti su LinkedIn si utilizzano linkedin2username (open source) e CrossLinked (open source), che generano liste di username plausibili a partire dai profili pubblici — ad esempio python3 crosslinked.py -f '{first}.{last}@target.com' 'Target Company'.

La raccolta di email compromesse in breach precedenti — usate poi per il password spraying — passa per servizi come Have I Been Pwned (freemium) via API e DeHashed (a pagamento). Il framework SpiderFoot (freemium, con versione HX commerciale) automatizza l'aggregazione di oltre 200 moduli OSINT su un singolo target, mentre Maltego (freemium) permette di mappare graficamente le relazioni tra persone, domini ed email.

Una volta ottenuta una lista di username, la fase di validazione tramite user enumeration attiva sfrutta i comportamenti differenziati dei servizi di autenticazione. Su tenant Microsoft 365 si utilizza MSOLSpray (open source) o o365spray (open source), che sfruttano gli endpoint Autologon e Autodiscover per distinguere username validi da invalidi senza generare fallimenti di login registrati normalmente. Un esempio: o365spray --validate --domain target.com --userlist users.txt.

Per la ricognizione MFA, FireProx (open source) combinato con CredMaster (open source) permette di ruotare gli IP sorgente tramite API Gateway AWS, evitando il rate limiting durante l'enumerazione. Su ambienti on-premise con Exchange, il tool MailSniper (open source) via Invoke-UsernameHarvestOWA può confermare account validi dai timing di risposta OWA.

La catena tipica di un red team parte da raccolta OSINT, prosegue con validazione degli account, correlazione con credenziali di breach passati tramite DeHashed o IntelX (freemium), e culmina in campagne di spear phishing costruite con GoPhish (open source) usando template personalizzati sui reali interessi professionali del bersaglio. Tutto va documentato in un report che dimostri al cliente quanta superficie informativa è esposta all'esterno.

La detection di T1589 presenta una sfida strutturale: la raccolta avviene per definizione fuori dal perimetro aziendale, quindi il SOC non può osservare direttamente l'attività di ricognizione OSINT. Il focus deve spostarsi sui segnali indiretti che emergono quando la ricognizione tocca l'infrastruttura esposta o quando i dati raccolti vengono successivamente utilizzati.

Il primo indicatore comportamentale è il traffico anomalo verso endpoint di autenticazione. Nella detection DET0841 / AN1973 MITRE segnala pattern di large/iterative authentication requests da singole sorgenti, spesso associate a botnet note. Su Microsoft 365 questo si traduce nel monitoraggio dei log Azure AD Sign-In per operazioni verso endpoint come /common/oauth2/token o /autodiscover/autodiscover.json con user-agent atipici (Python-requests, curl, MSOLSpray-like signatures). Una query KQL utile in Sentinel filtra su SigninLogs | where ResultType in ('50034','50053','50126') correlando errori differenziati che rivelano tentativi di user enumeration.

Su ambienti on-premise con AD FS o Exchange, i log IIS (%SystemDrive%\inetpub\logs\LogFiles) mostrano richieste ripetute verso /adfs/ls o /owa/auth.owa con parametri variabili sullo username e IP sorgente stabile o ruotante via cloud provider. L'evento Windows 4625 (An account failed to log on) con Sub Status 0xC0000064 (utente inesistente) contro 0xC000006A (password errata) è la firma classica dell'enumeration: alta cardinalità di username diversi con errori misti indica ricognizione attiva.

Sul fronte web, l'analisi dei metadati HTTP suggerita da MITRE si concretizza nel monitoraggio di referer anomali e user-agent non standard nei log del WAF o del reverse proxy. Tool come theHarvester, SpiderFoot e scanner automatici lasciano user-agent riconoscibili se non modificati. Un'ulteriore fonte è l'analisi dei log DNS aziendali per query verso servizi come Hunter.io, RocketReach o pattern di Certificate Transparency monitoring — richieste anomale possono indicare che qualcuno sta profilando l'organizzazione.

Controlli preventivi allineati alla mitigazione M1056 (Pre-compromise) includono il deployment di honeytoken account: username plausibili ma inesistenti seminati in fonti OSINT (LinkedIn fake profiles gestiti dal team, email in pastebin controllati) che, se usati in tentativi di login, generano alert ad alta confidenza di reconnaissance in corso.

I falsi positivi più comuni derivano da vulnerability scanner autorizzati, servizi di brand protection legittimi (RiskIQ, ZeroFox) e attività di penetration test non comunicate. Una whitelist mantenuta degli IP dei fornitori di sicurezza e la correlazione con calendari di test approvati riducono il rumore. Da monitorare anche le sessioni di HR e recruiting che generano query esterne verso profili LinkedIn di candidati.

L'analisi forense di T1589 è atipica perché la fase di raccolta si svolge esternamente all'organizzazione. Il forensic analyst deve quindi ricostruire la ricognizione a posteriori, correlando fonti esterne con artefatti endpoint che emergono solo dopo il primo contatto malevolo.

La timeline parte tipicamente dall'incidente più visibile — un phishing riuscito, un tentativo di password spraying, un account compromesso — e risale indietro. Le fonti esterne primarie includono le repliche storiche di WHOIS (via servizi come DomainTools, a pagamento, o WhoisXML API, freemium), i database di Certificate Transparency consultabili via crt.sh (gratuito), e i log di passive DNS offerti da provider come Farsight DNSDB o SecurityTrails (freemium). Questi archivi permettono di stabilire quando un dominio lookalike è stato registrato, quali certificati sono stati emessi e quali nameserver sono stati usati, elementi che ancorano la timeline della preparazione.

Sul fronte endpoint, gli artefatti da esaminare riguardano il contatto con l'infrastruttura di reconnaissance. Su Windows, il Microsoft-Windows-DNS-Client/Operational log (evento 3008) registra le risoluzioni DNS effettuate dagli utenti, utili per identificare visite a domini di phishing successivi alla profilazione. Gli artefatti di navigazione — cronologia in %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\History per Edge, database SQLite equivalente per Chrome e Firefox — possono mostrare se la vittima ha visitato pagine di harvesting travestite da portali HR o LinkedIn clone.

I file .eml nelle mailbox e i log Exchange MessageTrackingLog (%ExchangeInstallPath%\TransportRoles\Logs\MessageTracking) contengono i primi tentativi di elicitazione: header X-Originating-IP, mismatch tra display name e reply-to, e riferimenti a informazioni personali specifiche del destinatario indicano che l'attaccante disponeva già di un profilo dettagliato. Su Linux, i log /var/log/mail.log e gli header Received rivelano la stessa informazione.

L'analisi degli account compromessi include l'audit dei log di Azure AD SigninLogs e AuditLogs per settimane precedenti l'incidente, cercando pattern di enumeration con ResultType misti. In Operation Wocao gli attori profilavano le vittime per ruolo organizzativo e privilegi, quindi è utile confrontare gli account colpiti con l'organigramma e le assegnazioni di gruppo AD storiche — la corrispondenza tra target e ruoli sensibili conferma reconnaissance mirata. In Operation Dream Job Lazarus Group condusse ricognizione estensiva costruendo offerte di lavoro credibili: gli artefatti tipici sono documenti .lnk o .docx con nomi correlati a job description in %USERPROFILE%\Downloads e cronologia LinkedIn che precede l'infezione.

Gli IOC da preservare includono profili social sospetti che hanno contattato la vittima, screenshot di email di harvesting, hash dei documenti lure e log di autenticazione fallita. Tool come KAPE (gratuito per uso non commerciale) e Velociraptor (open source) permettono di raccogliere rapidamente questo set di artefatti da endpoint multipli.

La tecnica T1589 è adottata trasversalmente da attori con motivazioni molto diverse, dallo spionaggio statuale al cybercrime finanziario, e la comparazione dei loro pattern rivela come la ricognizione sulle identità sia diventata un abilitatore universale.

LAPSUS$ (G1004) rappresenta il caso più eclatante di uso operativo di identity information nel cybercrime. Il gruppo raccoglie informazioni dettagliate sui dipendenti — nomi, ruoli, contatti diretti, abitudini social — per costruire lure di social engineering telefonico che aggirano l'MFA convincendo l'help desk a resettare credenziali o approvare push notification. La stessa filosofia guida Scattered Spider (G1015), che sfrutta dati provenienti da breach precedenti per identificare nomi di dipendenti da impersonare, in una convergenza TTP con LAPSUS$ che i threat intelligence team seguono da vicino per la loro capacità di violare grandi organizzazioni tech e telco.

Sul versante APT statuali, Volt Typhoon (G1017), attribuito a interessi cinesi e focalizzato su infrastrutture critiche, conduce reconnaissance sistematica sulle identità in fase pre-compromise, coerentemente con obiettivi di persistenza a lungo termine su ambienti OT e telecomunicazioni. APT32 (G0050), gruppo con interessi allineati al Vietnam, ha invece storicamente usato T1589 per sorveglianza mirata contro attivisti e blogger, dimostrando come la stessa tecnica serva scopi repressivi oltre che di spionaggio economico.

Gli attori riconducibili a interessi iraniani mostrano un'attenzione particolare alla raccolta di dati mobile. Magic Hound (G0059) acquisisce numeri di telefono cellulare delle potenziali vittime, verosimilmente per operazioni successive di smishing o distribuzione di malware Android. HEXANE (G1001), attivo nel settore energy in Medio Oriente e Africa, identifica specifici individui all'interno delle organizzazioni target, suggerendo un livello di targeting basato su intelligence umana oltre che OSINT.

Star Blizzard (G1033), attribuito al servizio FSB russo, si distingue per l'approccio relazionale: ricerca interessi personali e contatti professionali dei target per costruire pretext di ingaggio credibili, tipicamente su temi accademici, politici o giornalistici legati alla sfera geopolitica russa. FIN13 (G1016), attore cybercriminale focalizzato su intrusioni finanziarie prolungate in America Latina, esegue ricerche sui dipendenti per attacchi di social engineering mirati.

Due campagne documentate illustrano l'impatto strategico: Operation Wocao (C0014), attribuita ad attori cinesi sovrapponibili ad APT20, ha targettizzato individui in base a ruolo organizzativo e privilegi attraverso una decina di paesi e settori critici. Operation Dream Job (C0022), condotta da Lazarus Group contro difesa e aerospazio, ha usato ricognizione estensiva per costruire false offerte di lavoro talmente credibili da compromettere ingegneri di aziende sensibili.

Un trend recente è rappresentato da Contagious Interview (G1052), che profila specificamente sviluppatori software e professionisti del settore cripto/blockchain, segnalando come la specializzazione settoriale del targeting stia crescendo insieme alla granularità dei dati OSINT disponibili.

MITRE ATT&CK T1589 (Gather Victim Identity Information), tattica TA0043 Reconnaissance, mitigazione M1056 Pre-compromise, detection DET0841/AN1973. Campagne C0014 (Operation Wocao) e C0022 (Operation Dream Job). Gruppi G0050, G0059, G1001, G1004, G1015, G1016, G1017, G1033, G1052. Framework difensivo MITRE D3FEND per mapping detect/harden. Parti relative a comandi operativi, tool OSINT e artefatti forensi derivano da conoscenza professionale di cybersecurity su strumenti open source e commerciali verificabili tramite documentazione ufficiale e repository pubblici.