Raccolta Informazioni sull'Organizzazione: Gather Victim Org Information (T1591)

In un ingaggio red team, la simulazione di questa tecnica va condotta in modo lab-safe, limitandosi a fonti aperte e al perimetro autorizzato dal contratto. L'obiettivo è ricostruire l'organigramma, mappare i dipartimenti e identificare le figure ad alto valore da usare come pretesto negli attacchi successivi.

Un punto di partenza è l'automazione OSINT. SpiderFoot (open source) orchestra decine di moduli per correlare domini, email, nomi di dipendenti e presenze social a partire da un singolo seed. Recon-ng (open source) offre un framework modulare in stile Metasploit: si carica un workspace, si popolano i moduli e si esegue la raccolta.

recon-ng

marketplace install all

modules load recon/domains-contacts/whois_pocs

Per enumerare dipendenti e ruoli, theHarvester (open source) aggrega email e nomi da motori di ricerca e fonti pubbliche:

theHarvester -d azienda-target.example -b bing,duckduckgo

La mappatura delle persone chiave passa spesso dai profili professionali pubblici. Strumenti come linkedin2username (open source) generano liste di convenzioni username partendo da nomi reali, utili poi per il password spraying simulato nelle fasi seguenti. I gruppi reali sfruttano anche servizi commerciali di business intelligence: ZoomInfo (a pagamento) permette di filtrare le aziende per fatturato e struttura, esattamente come documentato per alcune operazioni criminali finanziarie.

Sul fronte tecnologico, la raccolta include lo stack in uso presso il bersaglio. BuiltWith (freemium) e Wappalyzer (freemium) rivelano CMS, framework e vendor, informazioni preziose per confezionare esche coerenti con il contesto tecnologico della vittima, tattica osservata in campagne di spionaggio recenti.

La catena d'attacco tipica prosegue così: dopo aver profilato l'organizzazione, si costruiscono esche di spearphishing su misura per un dipartimento specifico, come le finte offerte di lavoro rivolte ai settori difesa e aerospazio. In laboratorio, il tester documenta ogni fonte consultata e la trasforma in un dossier di targeting.

Per chi vuole simulare l'elicitazione conversazionale, GoPhish (open source) consente di orchestrare campagne di phishing informativo controllate, misurando quanti dipendenti divulgano dettagli organizzativi. Il valore dell'esercizio sta nel dimostrare al cliente quanta intelligence sfruttabile sia liberamente disponibile senza mai toccare i suoi sistemi.

Dal punto di vista del SOC, questa tecnica rappresenta una sfida quasi paradossale: l'attività si svolge fuori dalla visibilità dell'organizzazione bersaglio, su fonti aperte e infrastrutture di terzi. Non esistono log endpoint né eventi di rete interni che registrino un attaccante mentre consulta un profilo social o un servizio di business intelligence. Come nota la stessa detection MITRE, il volume di questa attività e il tasso di falsi positivi sono altissimi, rendendo il rilevamento diretto impraticabile.

La strategia difensiva efficace si sposta quindi su due fronti: la detection indiretta e la riduzione dell'esposizione. Sul primo fronte, il SOC deve concentrare gli alert sulle fasi in cui l'intelligence raccolta viene finalmente utilizzata, cioè l'accesso iniziale. Un'esca di spearphishing costruita su misura per un dipartimento specifico è il segnale rivelatore che una fase di ricognizione l'ha preceduta.

Le fonti di log più utili sono quindi:

• Log del gateway email e della piattaforma anti-phishing, per intercettare messaggi con lure altamente contestualizzati (finte offerte di lavoro, riferimenti a progetti interni reali).
• Log di autenticazione (EventCode 4624 e 4625 su Windows), per correlare tentativi di accesso con username che seguono la convenzione aziendale, segno di enumerazione preventiva.
• Telemetria dai servizi di monitoraggio della superficie esterna.

Sul fronte preventivo, coerente con la mitigazione M1056 (Pre-compromise), il team di sicurezza dovrebbe attivare un monitoraggio continuo della propria impronta digitale. Piattaforme come Shodan (freemium) e Censys (freemium) consentono di osservare cosa un attaccante vede della superficie esposta. Per la sorveglianza dei domini simili e degli abusi di brand, servizi come DomainTools (a pagamento) permettono di rilevare registrazioni lookalike che spesso preludono al phishing.

L'audit periodico delle informazioni pubblicate è essenziale: offerte di lavoro troppo dettagliate rivelano lo stack tecnologico interno, i comunicati stampa espongono l'organigramma. Un processo di sanitizzazione ricorrente riduce la materia prima disponibile agli attaccanti.

Infine, l'intelligence sui rischi va integrata: piattaforme come MISP (open source) permettono di correlare indicatori e TTP osservati con campagne note, così che un lure sospetto possa essere ricondotto rapidamente a un profilo di attaccante. Il falso positivo più comune resta l'attività legittima di recruiter, giornalisti e società di ricerca di mercato, che va sempre esclusa prima di scalare un incidente.

Per l'analista forense, questa tecnica lascia tracce prevalentemente esterne al perimetro aziendale, perché la raccolta avviene su fonti aperte prima di qualsiasi contatto con i sistemi della vittima. La ricostruzione della timeline richiede quindi di partire dall'esterno e convergere verso gli artefatti endpoint che emergono solo dopo l'inizio dell'intrusione vera e propria.

Le fonti esterne da interrogare in fase di analisi comprendono i database di passive DNS e i registri WHOIS storici, utili a datare la registrazione di domini lookalike usati poi per il phishing informativo. I Certificate Transparency logs, consultabili tramite servizi come il database di crt.sh (gratuito), rivelano certificati emessi per domini di impersonificazione, spesso creati subito dopo la fase di profilazione. Anche gli snapshot storici dei siti web archiviati permettono di verificare quali informazioni organizzative fossero pubblicamente esposte nel periodo dell'attacco.

Sull'endpoint, gli artefatti diventano rilevanti solo quando la ricognizione si concretizza in un contatto. In un'indagine post-spearphishing l'analista ricostruisce la catena a ritroso partendo da:

• Il messaggio email malevolo, con header completi, mittente e contenuto dell'esca; su Windows i file .msg o gli item nei file .ost/.pst di Outlook conservano il lure originale.
• Gli allegati o i link, i cui metadati (autore, timestamp di creazione del documento) possono rivelare la preparazione mirata.
• Le tracce di esecuzione come Prefetch, ShimCache e AmCache, che datano il primo lancio di eventuali payload successivi al phishing.

Un indicatore forense caratteristico è la coerenza contestuale dell'esca: quando l'email fa riferimento a un dipartimento reale, a un progetto interno o a un ruolo specifico, l'analista può dedurre che una raccolta informativa mirata l'ha preceduta. Le campagne documentate ne offrono esempi netti. In Operation Dream Job, l'attore ha raccolto informazioni organizzative per identificare bersagli precisi con finte offerte di lavoro rivolte ai settori difesa e aerospazio. In Operation Digital Eye, gli attaccanti hanno mascherato l'attività malevola usando terminologia allineata al contesto tecnologico dell'organizzazione colpita, un dettaglio che tradisce una ricognizione preventiva accurata.

La timeline finale dovrebbe quindi intrecciare tre livelli temporali: la creazione dell'infrastruttura esterna, l'invio dell'esca contestualizzata e la prima attività osservabile sull'endpoint. Strumenti come Autopsy (open source) o Plaso/log2timeline (open source) aiutano a consolidare questi eventi in una cronologia unica e difendibile.

Il quadro fornito da MITRE descrive 7 gruppi che praticano la profilazione organizzativa, con una netta prevalenza di attori di spionaggio statale e un pattern geografico che vede protagonisti Corea del Nord, Cina e Russia.

Lazarus Group (G0032), riconducibile alla Corea del Nord, rappresenta il caso più documentato. Il gruppo studia le informazioni pubblicamente disponibili sull'organizzazione bersaglio per calibrare lo spearphishing su dipartimenti e individui specifici. Questa metodologia è il cuore di Operation Dream Job (C0022, 2019-2020), campagna di cyber spionaggio che ha colpito difesa, aerospazio e settore governativo negli Stati Uniti, Israele, Australia, Russia e India, con almeno un caso di monetizzazione tramite business email compromise. La campagna è oggi considerata un ombrello che copre anche Operation Interception e Operation North Star, legate da esche di finte offerte di lavoro e similarità di codice.

Un secondo attore nordcoreano, Kimsuky (G0094), spinge la raccolta verso il dettaglio: organigramma, funzioni interne, comunicati stampa. Il gruppo ha inoltre iniziato a impiegare modelli linguistici di grandi dimensioni per raccogliere informazioni sui potenziali obiettivi. Moonstone Sleet (G1036), anch'esso nordcoreano, predilige l'interazione diretta via email e social media per estrarre informazioni dalle vittime.

Sul versante cinese, Volt Typhoon (G1017) conduce una ricognizione pre-compromissione estesa e metodica. La logica emerge anche in Operation Digital Eye (C0061, 2024), attribuita ad attori PRC-nexus contro fornitori di servizi IT B2B nel Sud Europa: qui gli aggressori hanno mascherato l'attività usando terminologia coerente con il contesto tecnologico del bersaglio. Gli overlap di tooling con Operation Soft Cell e Operation Tainted Love suggeriscono vendor condivisi o quartermaster digitali comuni.

La Russia è rappresentata da APT28 (G0007), che ha sfruttato modelli linguistici per raccogliere informazioni sulle capacità satellitari, segno di un'evoluzione verso l'uso dell'AI nella ricognizione condivisa con Kimsuky.

Due trend attraversano questi profili. Il primo è l'adozione degli LLM come acceleratore della raccolta informativa, visibile in almeno due gruppi. Il secondo è la contestualizzazione linguistica delle esche, tratto comune tra Lazarus, MirrorFace e gli attori di Digital Eye. MirrorFace (G1054) infatti inserisce contenuti specifici nelle email per colpire membri di determinati partiti politici, mentre FIN7 (G0046), unico attore a movente finanziario del gruppo, filtra le aziende per fatturato tramite servizi commerciali di business intelligence, dimostrando come la profilazione serva anche a prioritizzare i bersagli più remunerativi.

MITRE ATT&CK: tecnica T1591 (Gather Victim Org Information), tattica TA0043. Gruppi G0007, G0032, G0046, G0094, G1017, G1036, G1054. Campagne C0022 (Operation Dream Job), C0061 (Operation Digital Eye). Mitigazione M1056, detection DET0890/AN2022. Tool di ricognizione e monitoraggio citati da documentazione ufficiale e repository pubblici. Parte dei dettagli operativi su comandi, tool forensi e procedure di detection deriva da conoscenza professionale di cybersecurity, nel rispetto delle regole su strumenti reali e verificabili.