Identificazione dei Ruoli: Identify Roles (T1591.004)

In un ingaggio di red team, l'identificazione dei ruoli è una fase OSINT che precede qualsiasi tentativo di accesso. L'obiettivo è ricostruire l'organigramma del bersaglio individuando dirigenti, personale IT con privilegi amministrativi e figure HR, esattamente come fanno gli avversari reali per calibrare i propri attacchi.

Il punto di partenza sono le fonti pubbliche. I profili professionali sui social network di categoria rivelano titoli, mansioni e relazioni gerarchiche; il sito aziendale espone spesso team leadership, contatti di reparto e comunicati stampa con nomi e ruoli. Gli annunci di lavoro sono una miniera: descrivono stack tecnologici, strumenti interni e la struttura del team che cerca personale.

Per automatizzare la raccolta puoi appoggiarti a framework OSINT consolidati:

• theHarvester (open source), per raccogliere email, nomi e sottodomini da motori di ricerca e fonti pubbliche
• SpiderFoot (freemium), che correla identità, domini e profili social in modo automatico
• Recon-ng (open source), framework modulare per enumerare contatti e organizzazioni
• Maltego (freemium), per la mappatura grafica delle relazioni tra persone e ruoli

Un flusso tipico parte dall'enumerazione dei dipendenti tramite theHarvester contro il dominio bersaglio, ad esempio theHarvester -d dominio-bersaglio -b all, seguita dall'incrocio dei risultati con i profili professionali per assegnare a ciascun nome un ruolo e un livello di privilegio presunto.

Una volta ricostruita la mappa, si passa alla costruzione dei pretesti. Come nella campagna Operation Dream Job, attribuita a Lazarus Group, dove venivano confezionate finte offerte di lavoro su misura per singoli individui, il red team modella esche credibili sul ruolo reale del destinatario. Un amministratore di dominio riceverà un pretesto tecnico, un profilo HR un finto CV, un dirigente una comunicazione di business.

Proprio come osservato per FIN7, che privilegia lo staff IT con diritti amministrativi elevati, e per LAPSUS$, che ricostruisce nel dettaglio le strutture dei team, la priorità va data a chi detiene le chiavi del regno. Mantieni tutta l'attività lab-safe: opera solo su bersagli autorizzati dal contratto, documenta le fonti consultate e non contattare mai persone reali al di fuori dello scope concordato. La deliverable è una lista prioritizzata di bersagli con ruolo, accessi presunti e vettore di ingaggio suggerito.

La detection diretta dell'identificazione dei ruoli è, per ammissione degli stessi dati, estremamente difficile. Si tratta di attività pre-compromise che avviene fuori dalla visibilità aziendale: consultare un profilo professionale pubblico o leggere un annuncio di lavoro non genera alcun log sui sistemi della vittima. L'analitica di riferimento AN1939 segnala che questo comportamento ha un'altissima occorrenza e un tasso di falsi positivi elevato, spostando di fatto l'attenzione difensiva sulle fasi successive della catena.

La strategia più efficace per un SOC è quindi la detection indiretta: non cercare la ricognizione, ma osservare quando le informazioni raccolte vengono usate. Il segnale più rilevante è l'arrivo di phishing altamente mirato verso figure specifiche. Un dirigente, un amministratore di dominio o un profilo HR che riceve un'esca costruita sul suo ruolo esatto è l'indizio che qualcuno ha già mappato l'organizzazione.

Le fonti di log utili si concentrano sull'email e sull'identità:

• Gateway email e soluzioni anti-phishing, per correlare oggetti e mittenti sospetti indirizzati a ruoli sensibili
• Log di autenticazione (in ambiente Windows EventCode 4624 e 4625) per accessi anomali su account privilegiati appena dopo campagne di phishing
• Alert su tentativi di accesso a caselle o account di dirigenti e staff IT

Un accorgimento pratico è definire una watchlist dei ruoli ad alto valore — amministratori, C-level, HR — e applicare a questi account soglie di allarme più basse e regole di correlazione dedicate. Gruppi come HEXANE, che seleziona esplicitamente executive, HR e staff IT, e Volt Typhoon, che individua il personale di rete e IT prima della compromissione, confermano che questi profili sono i primi a essere colpiti.

Sul fronte preventivo, la mitigazione M1056 (Pre-compromise) indica la strada. Ridurre la superficie informativa è la contromisura principale: auditare e sanitizzare periodicamente i dati pubblici, dagli annunci di lavoro ai contenuti social, limitando quanto un attaccante può apprendere dall'esterno. Piattaforme di monitoraggio OSINT come SpiderFoot (freemium) e Recon-ng (open source) permettono al team difensivo di vedere l'organizzazione con gli occhi dell'avversario e individuare informazioni esposte.

Completano il quadro l'enforcement di SPF, DKIM e DMARC contro lo spoofing e programmi continui di security awareness, così che le figure più esposte riconoscano i pretesti costruiti sul loro ruolo. Il falso positivo qui è la norma, non l'eccezione: la vera partita si gioca sulla prevenzione e sulla prontezza nelle fasi di Initial Access.

Per l'analista forense, l'identificazione dei ruoli lascia poche tracce sui sistemi della vittima, perché si consuma su fonti esterne. L'indagine assume quindi carattere retrospettivo: si ricostruisce quali informazioni sull'organizzazione erano disponibili pubblicamente e quando l'avversario ha iniziato a sfruttarle, correlando fonti esterne con i primi artefatti endpoint emersi dopo il contatto malevolo.

Le fonti esterne sono il vero terreno d'indagine. Il WHOIS storico e i database di passive DNS aiutano a ricostruire l'infrastruttura di supporto usata per contattare i bersagli, mentre i log di Certificate Transparency consentono di individuare domini lookalike registrati per impersonare l'organizzazione o i suoi partner. Utile è anche l'analisi di cosa fosse esposto: versioni archiviate del sito aziendale, annunci di lavoro rimossi e profili professionali che elencavano ruoli e responsabilità, poiché indicano quali dati l'attaccante ha potuto raccogliere sui singoli.

Quando la ricognizione sfocia in un contatto — tipicamente phishing — compaiono gli artefatti endpoint da ricostruire in timeline. L'email malevola stessa è la prova centrale: header, mittente, allegati e URL vanno preservati insieme ai metadati del gateway. Sui sistemi Windows si esaminano:

• I file di posta e la cache di Outlook per recuperare il messaggio esca e i suoi allegati
• Gli artefatti di esecuzione (Prefetch, Shimcache, Amcache) se l'esca ha portato al lancio di un payload
• Le cronologie del browser e la cache, che mostrano l'accesso a domini di raccolta credenziali

La correlazione temporale è il cuore dell'analisi: allineare la data di registrazione di un dominio malevolo, l'invio dell'esca e il primo evento sospetto sull'endpoint permette di stabilire che il bersaglio era stato selezionato in base al ruolo. La campagna Operation Dream Job, attiva tra settembre 2019 e agosto 2020 e ricondotta a Lazarus Group, è il caso emblematico: le finte offerte di lavoro erano confezionate su misura per singoli individui all'interno delle organizzazioni bersaglio nei settori difesa, aerospazio e governativo, prova che la profilazione dei ruoli aveva preceduto il contatto.

Anche i comportamenti documentati di FIN7, focalizzato su staff IT con privilegi elevati, e di Volt Typhoon, che individua il personale di rete pre-compromise, aiutano l'analista a comprendere perché un determinato dipendente sia stato scelto. Ricostruire la vittimologia — chi è stato colpito e con quale ruolo — diventa così un tassello essenziale per attribuire l'attività e valutarne la portata. Documentare le fonti esterne consultate garantisce la difendibilità delle conclusioni.

L'identificazione dei ruoli è una pratica trasversale adottata da attori con motivazioni molto diverse, dal cybercrime finanziario allo spionaggio statale, e i quattro gruppi documentati ne illustrano bene lo spettro.

FIN7 rappresenta la dimensione criminale-finanziaria. Il gruppo individua in modo mirato lo staff IT e i dipendenti che dispongono di diritti amministrativi elevati, una scelta coerente con il suo obiettivo: ottenere rapidamente il controllo dei sistemi che gestiscono dati di valore economico. Colpire chi possiede già i privilegi più alti accorcia il percorso verso la monetizzazione.

HEXANE mostra un approccio più ampio e strutturato, selezionando executive, personale HR e staff IT nelle organizzazioni bersaglio. Questa triade di ruoli copre sia i decisori sia chi controlla accessi e persone, segnalando una profilazione orientata a costruire più vettori di ingresso paralleli e a mantenere opzioni di targeting flessibili.

LAPSUS$ si distingue per la profondità della ricostruzione organizzativa: il gruppo acquisisce una conoscenza dettagliata delle strutture dei team interni. Questo dato è coerente con le sue tecniche di ingegneria sociale e di reclutamento di insider, dove conoscere gerarchie e relazioni interne è determinante per manipolare le persone giuste e superare i controlli.

Volt Typhoon porta la tecnica nel dominio dello spionaggio infrastrutturale, identificando il personale chiave di rete e IT in fase pre-compromise. La selezione anticipata di chi amministra le reti riflette un obiettivo di persistenza silenziosa e di accesso profondo alle infrastrutture, tipico di operazioni di lungo periodo.

Sul piano delle campagne, Operation Dream Job (settembre 2019 – agosto 2020) è l'esempio più documentato. Attribuita con probabilità a Lazarus Group, ha colpito i settori difesa, aerospazio e governativo negli Stati Uniti, in Israele, Australia, Russia e India. I ricercatori la descrivono come termine ombrello che comprende Operation Interception e Operation North Star, unite da esche di finte offerte di lavoro e somiglianze di codice. In almeno un caso gli attori hanno tentato di monetizzare l'accesso con una frode BEC, a conferma di come profilazione dei ruoli e adattamento dell'obiettivo procedano insieme.

Il pattern comune è chiaro: personale IT e privilegiato è il bersaglio ricorrente per tutti, mentre dirigenti e HR emergono dove l'ingegneria sociale è centrale. La convergenza tra crimine finanziario e spionaggio statale sull'uso di esche costruite sui ruoli rende questa fase di ricognizione un indicatore precoce prezioso per l'intelligence difensiva.

MITRE ATT&CK: T1591.004 (Identify Roles), tattica TA0043 (Reconnaissance). Gruppi G0046 (FIN7), G1001 (HEXANE), G1004 (LAPSUS$), G1017 (Volt Typhoon). Campagna C0022 (Operation Dream Job). Mitigazione M1056 (Pre-compromise). Detection DET0807, analitica AN1939. Tool citati: theHarvester, SpiderFoot, Recon-ng, Maltego. Le sezioni operative integrano conoscenza professionale di cybersecurity per comandi, tool e artefatti forensi, nel rispetto dei dati MITRE forniti.