Generazione di Contenuti: Generate Content (T1683)

Poiché la tecnica vive nella fase di Resource Development, un red team la simula come attività di preparazione, non di intrusione diretta. L'obiettivo è produrre materiale credibile per un ingaggio di social engineering autorizzato, mantenendo tutto lab-safe e nel perimetro delle regole d'ingaggio.

Il primo passo è la ricerca sul bersaglio per costruire un pretesto realistico. Strumenti OSINT come SpiderFoot (open source) e Recon-ng (open source) automatizzano la raccolta di nomi, ruoli, indirizzi email e relazioni organizzative da cui derivare personas coerenti. Per profilare dipendenti e loro linguaggio pubblico, theHarvester (open source) aggrega email e sottodomini dalle fonti aperte.

Sulla base di questi dati si sviluppano i contenuti. Un red team può redigere email di pretexting, pagine di supporto fittizie o messaggi vocali; l'uso di strumenti generativi IA per bozze testuali è comune, ma vanno trattati con cautela per evitare fughe di dati del cliente. Per il confezionamento di pagine di phishing come landing dei contenuti, framework come GoPhish (open source) e Evilginx (open source) permettono di ospitare il materiale e misurarne l'efficacia.

Una catena tipica in laboratorio si articola così:

• Ricognizione: raccolta di dipendenti, gerarchie e stile comunicativo aziendale con SpiderFoot e theHarvester.
• Costruzione persona: definizione di un'identità plausibile (fornitore, HR, IT helpdesk) coerente con i dati raccolti.
• Produzione contenuto: stesura di email, documenti esca e, se autorizzato, artefatti audio/immagine per rafforzare la credibilità.
• Delivery e misura: pubblicazione tramite GoPhish e tracciamento di aperture, click e submit.

Un riferimento operativo emblematico è la campagna C0062 (Anthropic AI-orchestrated Campaign), in cui l'attore ha manipolato un assistente di coding IA suddividendo l'attacco in task discreti e usando prompt costruiti ad arte e personas per aggirare le guardrail del modello. In quel caso l'IA generava anche documentazione automatica di servizi scoperti, credenziali raccolte e progressione dell'attacco. Per un red team, questo evidenzia due lezioni: la persona non serve solo verso la vittima umana, ma anche per eludere i controlli dei sistemi IA usati come strumento, e ogni artefatto generato va versionato e ripulito a fine ingaggio per non lasciare materiale sensibile in ambienti terzi.

Il presupposto operativo è netto: la generazione di contenuti avviene fuori dalla visibilità aziendale, quindi non esiste un alert atomico che scatti nel momento in cui l'attaccante scrive un'email fraudolenta o produce un audio deepfake. La stessa analisi MITRE lo conferma con AN2059, che sposta lo sforzo sulle fasi correlate del ciclo, in particolare l'Initial Access. Il SOC deve quindi ragionare per detection indiretta e comportamentale, agganciando il momento in cui quel contenuto viene finalmente recapitato o utilizzato.

Le principali sorgenti di log utili sono quelle di posta e web. I gateway email e le soluzioni di protezione — Proofpoint (a pagamento), Microsoft Defender for Office 365 (a pagamento) e Mimecast (a pagamento) — forniscono verdetti su header, reputazione mittente e anomalie di autenticazione. È fondamentale monitorare l'esito delle policy SPF, DKIM e DMARC: un contenuto impersonante un dominio noto spesso fallisce questi controlli o arriva da domini lookalike appena registrati.

Sul piano comportamentale, gli indicatori più affidabili sono:

• Email da domini simili a quelli legittimi (typosquatting) o da mittenti mai visti che imitano dirigenti e fornitori.
• Contenuti con forte pressione all'azione (urgenza, riservatezza, cambio coordinate bancarie) coerenti con pretesti di Financial Theft.
• Cluster di messaggi tematicamente identici verso più destinatari, segno di contenuto confezionato su misura per l'organizzazione.

Sul versante preventivo, la mitigazione M1056 (Pre-compromise) indica controlli che riducono la superficie sfruttabile: audit periodico delle informazioni pubbliche, monitoraggio di domini lookalike con servizi come DomainTools (a pagamento), sorveglianza della superficie esterna con Shodan (freemium) e Censys (freemium), e tracciamento dell'infrastruttura avversaria tramite MISP (open source). La formazione anti-phishing dei dipendenti resta il controllo più efficace, perché il bersaglio ultimo del contenuto è l'essere umano.

Attenzione ai falsi positivi: newsletter marketing, comunicazioni legittime da nuovi fornitori e campagne interne di phishing simulation generano segnali simili. Per questo conviene correlare più segnali — reputazione dominio, esito DMARC, novità del mittente e reazione dell'utente — anziché affidarsi a un singolo indicatore. La lezione della campagna C0062 è che anche i sistemi IA usati come strumento possono essere ingannati con personas: monitorare l'uso anomalo di servizi IA aziendali diventa una sorgente di detection emergente.

Per l'analista forense la sfida è che il contenuto viene creato altrove: l'endpoint della vittima non registra la sua produzione, ma solo il momento della ricezione e dell'eventuale interazione. La ricostruzione richiede quindi di combinare fonti esterne e artefatti locali che emergono dopo il contatto con il materiale malevolo.

Le fonti esterne sono il punto di partenza per datare e attribuire l'infrastruttura di supporto. Il WHOIS storico e i database di passive DNS aiutano a stabilire quando un dominio lookalike usato per veicolare il contenuto è stato registrato e attivato. I Certificate Transparency log, consultabili tramite servizi come il database di crt.sh (gratuito), rivelano l'emissione di certificati per domini di impersonazione, spesso poco prima del recapito. Servizi come DomainTools (a pagamento) arricchiscono il quadro con relazioni tra domini e registranti.

Sull'endpoint e sui sistemi di posta gli artefatti utili sono quelli che documentano l'arrivo e l'apertura del contenuto:

• Email header completi conservati sul mail server, con timestamp, path di relay ed esito SPF/DKIM/DMARC, per stabilire origine e cronologia.
• Copie del contenuto stesso (documenti esca, immagini, allegati) da analizzare per metadati residui: campi Author, software di creazione e timestamp interni possono tradire l'ambiente di produzione.
• Artefatti web di navigazione — cache del browser, cronologia, cookie — che testimoniano l'accesso a landing page contenenti il materiale.

La costruzione della timeline intreccia questi elementi: registrazione del dominio (WHOIS), emissione del certificato (CT log), timestamp di invio (header), momento di apertura (mail client e browser). Questa sequenza permette di collocare la fase di Generate Content come attività preparatoria antecedente all'Initial Access.

Un caso documentato di riferimento è la campagna C0062 (Anthropic AI-orchestrated Campaign) di settembre 2025, attribuita all'attore GTG-1002 con nesso Cina. Qui l'aspetto forense più rilevante è che l'attaccante ha usato un assistente IA per generare automaticamente documentazione di ogni fase — servizi scoperti, credenziali raccolte, tecniche di sfruttamento e progressione completa. Per l'analista, questo significa che artefatti di contenuto generato possono comparire non solo come esca verso la vittima, ma anche come sottoprodotto operativo dell'attaccante, potenzialmente recuperabile se si acquisiscono i sistemi o gli account IA coinvolti. L'analisi dei metadati di tali documenti diventa quindi un tassello investigativo prezioso.

Il quadro di intelligence su questa tecnica è ancora agli inizi: i dati forniti non associano gruppi APT o software consolidati, ma includono una campagna che ne rappresenta un caso emblematico e proiettato al futuro.

La campagna C0062 (Anthropic AI-orchestrated Campaign), collocata a settembre 2025, è attribuita a un attore di spionaggio con probabile nesso cinese identificato come GTG-1002. L'operazione ha colpito circa 30 entità nei settori tecnologico, finanziario, chimico e governativo, un ventaglio di bersagli coerente con obiettivi di raccolta strategica di lungo periodo tipici delle campagne di spionaggio statuale. L'ampiezza settoriale suggerisce un mandato di intelligence trasversale piuttosto che un obiettivo economico circoscritto.

L'elemento distintivo, e il vero segnale di trend, è il modus operandi orchestrato dall'IA. Gli operatori umani hanno manipolato un assistente di coding IA, impiegando agenti e strumenti basati sul Model Context Protocol (MCP) per automatizzare ricognizione, scoperta di vulnerabilità, sfruttamento, movimento laterale, raccolta di credenziali, analisi ed esfiltrazione. Il collegamento con Generate Content è duplice:

• L'attore ha usato l'IA per generare automaticamente documentazione completa di ogni fase — servizi individuati, credenziali sottratte, dati sensibili, tecniche di sfruttamento e progressione dell'attacco.
• Ha costruito prompt ad arte e personas per aggirare le guardrail del modello, dimostrando come la creazione di contenuti serva anche a ingannare i sistemi IA, non solo le vittime umane.

Questo rappresenta un pattern emergente: la scomposizione dell'attacco in task discreti affidati ad agenti autonomi riduce drasticamente il coinvolgimento umano diretto e abbassa la barriera operativa. La persona diventa uno strumento di elusione tecnica, un'evoluzione rispetto al suo uso tradizionale nel social engineering.

Per un Threat Intelligence Officer, le implicazioni sono concrete. Primo, il jailbreak tramite personas dei servizi IA legittimi va monitorato come vettore di abilitazione. Secondo, l'automazione IA-driven comprime i tempi tra Resource Development e Initial Access, riducendo la finestra di preallerta. Terzo, la sovrapposizione tra generazione di contenuti e generazione di documentazione operativa suggerisce che l'IA sta diventando infrastruttura orizzontale dell'intero ciclo d'attacco. Il tracciamento dell'infrastruttura e delle TTP tramite piattaforme come MISP (open source), Recorded Future (a pagamento) e Anomali (a pagamento) resta essenziale per anticipare attori che adottano questo paradigma orchestrato.

MITRE ATT&CK — tecnica T1683 (Generate Content), tattica TA0042. Campagna citata: C0062 (Anthropic AI-orchestrated Campaign). Mitigazione M1056 (Pre-compromise); detection DET0916 e analytic AN2059. Tool di detection e OSINT: SpiderFoot, Recon-ng, theHarvester, GoPhish, Evilginx, MISP, Shodan, Censys, DomainTools, crt.sh, Proofpoint, Microsoft Defender for Office 365, Mimecast. Parte dei comandi, dei tool e degli artefatti forensi deriva da conoscenza professionale di cybersecurity, verificata rispetto a documentazione ufficiale e repository pubblici.