Raccolta Informazioni di Rete: Gather Victim Network Information (T1590)

In un esercizio red team questa fase va simulata in modo lab-safe, limitando la raccolta a bersagli autorizzati e a fonti pubbliche già disponibili. L'obiettivo è ricostruire la mappa di rete del target senza toccare direttamente i suoi sistemi, distinguendo tra ricognizione passiva e attiva.

La parte passiva parte dai registri pubblici. Per interrogare WHOIS e assegnazioni di rete si usa il comando whois , mentre per enumerare i record DNS si ricorre a dig ANY e a dig NS per individuare i name server. La delega DNS e i range IP correlati emergono incrociando questi dati con i registri regionali (RIR).

Per automatizzare la correlazione OSINT sono utili framework consolidati:

• Recon-ng (open source), che struttura la raccolta in moduli e workspace;
• SpiderFoot (freemium), che aggrega WHOIS, DNS, netblock e certificati;
• Amass del progetto OWASP (open source), per la mappatura di sottodomini e ASN tramite amass enum -d ;
• theHarvester (open source), per raccogliere host e domini associati.

L'enumerazione dei netblock passa anche dai motori di scansione Internet. Su Shodan (freemium) si interroga la superficie esterna con shodan host o filtri come org:"", mentre Censys (freemium) espone dati analoghi via API. Il Certificate Transparency consultabile su crt.sh consente di scoprire sottodomini attraverso i certificati emessi.

La fase attiva, autorizzata, ricostruisce la topologia interna una volta ottenuto un punto d'appoggio. Qui l'operatore emula i comportamenti osservati nei gruppi reali: Indrik Spider ha impiegato l'utility Advanced Port Scanner e Lansweeper per la ricognizione interna, oltre ad accedere a VMware vCenter per estrarre configurazioni host e informazioni sui cluster. In laboratorio, la mappatura dei segmenti si simula con nmap -sn per l'host discovery e con scansioni mirate delle porte di management.

Un punto d'attenzione emerso dai dati: HAFNIUM raccoglieva gli FQDN dei server Exchange bersaglio. In un test, individuare gli FQDN dei sistemi di posta e dei servizi esposti è un obiettivo realistico da includere nella pianificazione, perché anticipa le catene di sfruttamento successive. La regola resta ridurre l'impronta: preferire fonti passive e documentare ogni interazione attiva.

La rilevazione diretta di questa tecnica è, per ammissione degli stessi analisti di riferimento, particolarmente ardua. L'analitica associata (AN2001, dominio PRE) evidenzia che gran parte dell'attività ha un'occorrenza altissima e un tasso di falsi positivi elevato, e spesso avviene fuori dalla visibilità dell'organizzazione bersaglio. Ne consegue che il SOC deve spostare il baricentro dalla fase di raccolta esterna a quella in cui l'infrastruttura di ricognizione viene effettivamente usata contro il perimetro.

Il primo fronte è il monitoraggio della superficie esterna. Piattaforme come Shodan e Censys (entrambe freemium) permettono di osservare l'organizzazione dal punto di vista dell'attaccante, individuando servizi esposti che non dovrebbero esserlo. Confrontare periodicamente questo inventario esterno con l'asset inventory interno aiuta a scoprire shadow IT prima che lo faccia l'avversario.

Sul piano dei log, l'attenzione va ai segnali indiretti di ricognizione attiva quando questa tocca sistemi perimetrali. Sono rilevanti:

• i log dei server DNS autoritativi, per anomalie di enumerazione o richieste di trasferimento zona;
• i log di web server e reverse proxy, per pattern di crawling e accesso a endpoint tecnici;
• i log di firewall e VPN gateway, per burst di connessioni verso servizi di management.

È utile correlare questi eventi con il comportamento post-compromise di gruppi noti. Indrik Spider ha eseguito ricognizione interna con Advanced Port Scanner e Lansweeper e ha interrogato VMware vCenter: monitorare gli accessi anomali alle console di gestione della virtualizzazione e la comparsa di scanner non autorizzati sugli endpoint è un controllo detective concreto. Allo stesso modo, l'interesse di HAFNIUM per gli FQDN dei server Exchange suggerisce di sorvegliare query e accessi mirati verso l'infrastruttura di posta.

Sul versante preventivo, la mitigazione Pre-compromise (M1056) indica controlli di hardening che riducono la resa della ricognizione: abilitare DNSSEC, applicare WHOIS privacy, presidiare domini simili (lookalike) con servizi di monitoraggio, ed enforce delle policy SPF, DKIM e DMARC per limitare lo spoofing usato nel phishing for information.

La threat intelligence chiude il cerchio: piattaforme come MISP (open source) e servizi commerciali di intelligence permettono di tracciare l'infrastruttura avversaria e riconoscere in anticipo i netblock e i domini associati a campagne di ricognizione, trasformando un'attività per natura invisibile in un segnale correlabile.

L'analisi forense di una tecnica di ricognizione pre-compromise si scontra con un limite oggettivo: la raccolta di informazioni di rete lascia poche tracce sui sistemi della vittima, perché avviene in gran parte su fonti esterne. Il lavoro dell'analista si divide quindi tra il recupero di evidenze esterne e la ricostruzione, a posteriori, dei segnali endpoint che emergono solo dopo il contatto con l'infrastruttura malevola.

Sul fronte esterno, gli artefatti chiave sono storici. Il WHOIS storico e i database di passive DNS consentono di ricostruire quali domini e range IP fossero associati all'organizzazione nel periodo d'interesse, e di individuare correlazioni con l'infrastruttura dell'attaccante. I Certificate Transparency log, consultabili tramite il database di crt.sh, documentano l'emissione di certificati per sottodomini che l'avversario potrebbe aver enumerato. Questi elementi vanno cristallizzati in timeline con data di osservazione, perché mutano nel tempo.

Quando la ricognizione diventa attiva sul perimetro, compaiono artefatti nei log di rete. I log DNS autoritativi e i log dei web server conservano evidenze di enumerazione; i firewall log e i flussi NetFlow mostrano la sequenza di connessioni di scoperta. La correlazione temporale tra questi eventi e le fasi successive dell'intrusione è ciò che permette di attribuire la ricognizione a una specifica campagna.

Gli artefatti endpoint diventano significativi nella fase interna. Riprendendo il comportamento di Indrik Spider, l'analista cerca tracce dell'esecuzione di Advanced Port Scanner e Lansweeper: prefetch file, chiavi di ShimCache e Amcache che registrano l'esecuzione dei binari, artefatti di UserAssist e voci nel registro relative all'installazione. L'accesso a VMware vCenter lascia evidenze nei log applicativi della piattaforma e negli event log di autenticazione, dove si osservano sessioni verso le console di gestione della virtualizzazione.

Il caso di HAFNIUM, che raccoglieva gli FQDN dei server Exchange, orienta l'analista verso i log IIS e i log di transazione di Exchange, dove le richieste di ricognizione precedono lo sfruttamento vero e proprio. Su sistemi Linux, l'esecuzione di strumenti di scanning si ricostruisce dai log di shell e, se disponibile, dagli auditd trail.

È importante non forzare l'esistenza di artefatti dove non ce ne sono: per la sola fase di raccolta esterna, la timeline si costruisce prevalentemente su fonti passive e OSINT, riservando l'analisi endpoint alla ricognizione interna post-accesso.

I dati disponibili associano la raccolta di informazioni di rete a tre attori distinti, con profili operativi e motivazioni differenti che illustrano quanto sia trasversale questa fase della kill chain.

Indrik Spider (G0119) rappresenta il profilo cybercriminale orientato al ransomware e alla monetizzazione. Il gruppo scarica strumenti legittimi per la ricognizione interna, in particolare l'utility Advanced Port Scanner e la soluzione di asset discovery Lansweeper, per mappare la rete una volta ottenuto l'accesso. Un tratto distintivo è l'interesse per l'infrastruttura di virtualizzazione: l'accesso a VMware vCenter consente di estrarre configurazioni host, informazioni sui cluster e una visione centralizzata dell'ambiente, un pattern coerente con operatori che puntano a massimizzare l'impatto colpendo l'hypervisor.

HAFNIUM (G0125) mostra invece una ricognizione chirurgica e mirata: la raccolta dei fully qualified domain name (FQDN) dei server Exchange bersaglio nell'ambiente della vittima. Questo comportamento riflette un attore focalizzato sullo sfruttamento di servizi di posta esposti, in cui la conoscenza precisa degli FQDN è propedeutica alle catene di exploit successive.

Volt Typhoon (G1017) si distingue per una ricognizione pre-compromise estensiva condotta per apprendere in profondità la rete dell'organizzazione bersaglio prima di agire. Questo approccio metodico e paziente è tipico di attori orientati alla persistenza a lungo termine e alla minimizzazione dell'impronta, che investono tempo nella fase di studio per pianificare movimenti mirati.

Il confronto tra i tre profili rivela un pattern comune: la ricognizione di rete è un abilitatore neutro, sfruttato tanto da gruppi a movente finanziario quanto da attori dediti allo spionaggio e all'accesso strategico. Emerge una distinzione utile per l'analista di intelligence. Indrik Spider opera prevalentemente con ricognizione interna post-accesso basata su tool di scanning e di asset management legittimi, un approccio living-off-the-land che sfrutta software difficilmente distinguibile dall'uso amministrativo. HAFNIUM e Volt Typhoon investono maggiormente nella fase preparatoria e mirata, orientando la raccolta verso obiettivi specifici come i server di posta o la topologia complessiva.

Sul piano del trend, questi profili confermano la centralità della riduzione della superficie informativa esposta. Poiché l'attività sfugge in larga parte alla visibilità difensiva, il valore per un programma di threat intelligence sta nel tracciare l'infrastruttura e i tool ricorrenti degli attori, correlandoli alle fasi osservabili dell'intrusione per anticipare il passaggio dalla ricognizione all'accesso iniziale.

MITRE ATT&CK: tecnica T1590 (Gather Victim Network Information), tattica TA0043; gruppi G0119 (Indrik Spider), G0125 (HAFNIUM), G1017 (Volt Typhoon); mitigazione M1056 (Pre-compromise); detection DET0869, analitica AN2001. Tool di riferimento citati: Recon-ng, SpiderFoot, OWASP Amass, theHarvester, Shodan, Censys, MISP, crt.sh. Per comandi, artefatti forensi e procedure operative è stata integrata conoscenza professionale di cybersecurity basata su strumenti reali e documentati.