Raccolta Indirizzi IP: IP Addresses (T1590.005)

In un ingaggio di red team la raccolta degli indirizzi IP è il primo tassello della mappatura del bersaglio, e va condotta privilegiando fonti passive per non allertare il difensore prima del tempo. L'obiettivo è ricostruire i blocchi di rete di proprietà dell'organizzazione e distinguere gli indirizzi realmente attivi da quelli allocati ma inutilizzati.

Il punto di partenza sono le interrogazioni ai registri regionali. Con il comando classico

whois -h whois.arin.net "n "

si risale all'organizzazione titolare e al range assegnato. Per correlare ASN e prefissi annunciati in BGP si usano portali come bgp.he.net di Hurricane Electric (gratuito), utile a enumerare tutti i blocchi di un Autonomous System.

Le piattaforme di attack surface offrono la vista più efficiente. Shodan (freemium) e Censys (freemium) consentono ricerche per organizzazione o per range, evidenziando host vivi, servizi esposti e certificati. Un flusso tipico prevede la query org:"Nome Azienda" su Shodan seguita dall'estrazione dei net-block ricorrenti.

Per l'automazione OSINT sono validi:

• SpiderFoot (open source), che orchestra decine di moduli e correla IP, domini e ASN;
• Amass (open source) del progetto OWASP, per la mappatura di infrastruttura e la risoluzione massiva di sottodomini in indirizzi;
• Recon-ng (open source), framework modulare per raccolta strutturata.

Quando è ammessa la fase attiva lab-safe, la conferma degli host vivi si ottiene con Nmap:

nmap -sn 203.0.113.0/24

che esegue un host discovery senza scansione di porte, e in seguito con nmap -Pn -p- per l'enumerazione dei servizi. La risoluzione inversa di massa aiuta a mappare i PTR:

for ip in $(seq 1 254); do dig +short -x 203.0.113.$ip; done

Le informazioni raccolte alimentano le fasi seguenti: i gruppi reali insegnano approcci diversi. Magic Hound ha catturato gli IP dei visitatori dei propri siti di phishing, correlando così la ricognizione alla consegna del payload; HAFNIUM ha ottenuto gli indirizzi di server Exchange pubblicamente accessibili come preludio allo sfruttamento; Andariel ha limitato i propri attacchi watering hole a specifici range IP, dimostrando come una lista di indirizzi precisa serva a colpire solo i bersagli d'interesse riducendo l'esposizione dell'operazione.

Rilevare la raccolta di indirizzi IP è intrinsecamente difficile, perché gran parte dell'attività avviene su fonti esterne che non toccano i sistemi aziendali. La stessa detection MITRE (AN1947) avverte che il fenomeno ha un tasso di occorrenza elevatissimo e un alto rischio di falsi positivi, e che spesso si svolge fuori dalla visibilità del difensore. La strategia vincente è quindi spostare l'attenzione sulla detection indiretta: osservare cosa accade quando gli indirizzi mappati vengono effettivamente usati.

Il primo segnale utile è il traffico anomalo verso l'infrastruttura esposta. Sui log dei web server, dei WAF e dei firewall perimetrali vale la pena caratterizzare pattern di enumerazione: sequenze di connessioni verso indirizzi contigui dello stesso blocco, richieste con user-agent riconducibili a scanner, o accessi provenienti da ASN noti per attività di scansione di massa. Correlare questi eventi per subnet, più che per singolo IP, riduce il rumore.

Un'organizzazione può inoltre alimentare la propria consapevolezza monitorando la superficie esterna con gli stessi strumenti degli attaccanti: Shodan (freemium) e Censys (freemium) permettono di sapere quali host risultano visibili e con quali servizi, così da riconoscere quando un nuovo indirizzo compare inaspettatamente nell'esposizione pubblica. Piattaforme di threat intelligence come MISP (open source), Recorded Future o Anomali aiutano a incrociare gli IP sorgente sospetti con infrastruttura avversaria nota.

Sul fronte comportamentale conviene concentrare gli alert sulle fasi successive alla ricognizione, dove i falsi positivi calano drasticamente:

• picchi di host discovery (ICMP, SYN verso porte comuni) distribuiti su un intero range;
• richieste DNS inverse (PTR) massive originate da un singolo host esterno;
• primi tentativi di accesso a External Remote Services provenienti da fonti che avevano precedentemente scansionato la rete.

Come controlli preventivi (in linea con la mitigazione M1056 Pre-compromise), il SOC dovrebbe promuovere l'hardening dell'esposizione: minimizzare i servizi pubblicati, adottare WHOIS privacy sui domini, abilitare DNSSEC e ridurre le informazioni tecniche trapelate da header e banner. La correlazione tra un evento di scansione e un successivo tentativo di autenticazione sullo stesso segmento è, in pratica, il segnale più affidabile che una fase di raccolta IP si è tradotta in azione ostile.

Nell'analisi forense di una ricognizione basata su indirizzi IP, l'analista deve accettare un limite strutturale: la raccolta vera e propria lascia poche o nessuna traccia sugli endpoint della vittima, perché si nutre di database esterni e interrogazioni passive. Il lavoro investigativo si articola quindi su due piani, le fonti esterne e gli artefatti endpoint che emergono solo dopo il contatto con l'infrastruttura malevola.

Sul piano delle fonti esterne, la ricostruzione parte dai dati storici di allocazione. Le interrogazioni WHOIS ai registri regionali documentano chi possedeva un blocco e in quale periodo; i servizi di passive DNS (offerti in tier freemium da diversi provider) permettono di correlare indirizzi e nomi host nel tempo, evidenziando quando un dominio ha iniziato a risolvere verso un certo IP. I log di Certificate Transparency, consultabili tramite il database di crt.sh (gratuito), aiutano a datare la comparsa di certificati associati agli host esposti, un indizio del momento in cui l'infrastruttura è diventata visibile e quindi mappabile.

Sul piano endpoint, gli artefatti utili appaiono quando la ricognizione si converte in interazione. Sui sistemi Windows i log del firewall (%SystemRoot%\System32\LogFiles\Firewall\pfirewall.log) e gli eventi di connessione di rete registrati da Sysmon (Event ID 3) permettono di ricostruire quali indirizzi esterni hanno toccato la rete e con quale cadenza. Su Linux i log di iptables/nftables, insieme ai record di auditd, offrono la stessa correlazione temporale tra scansione e primo accesso.

La costruzione della timeline è l'obiettivo centrale: si sovrappongono l'apparizione dell'host nei dataset esterni, i primi contatti di scansione registrati al perimetro e l'eventuale accesso iniziale, per stabilire una sequenza causale coerente.

Le campagne dei gruppi noti offrono modelli interpretativi. Magic Hound catturava gli IP dei visitatori dei propri siti di phishing, per cui in un caso reale l'analista dovrebbe cercare nei log del browser e proxy le connessioni verso quei siti civetta. HAFNIUM raccoglieva indirizzi di server Exchange esposti, indirizzando l'analisi verso i log IIS di OWA. Andariel, limitando i watering hole a range IP specifici, suggerisce di verificare se le vittime rientrino in un blocco di rete ben definito, indizio prezioso per delimitare la portata dell'intrusione.

I dati MITRE associano la raccolta di indirizzi IP a tre gruppi APT, ciascuno dei quali illustra un uso operativo distinto della tecnica, utile a comprendere come la ricognizione IP si integri in modelli di targeting differenti.

Magic Hound (G0059) rappresenta l'approccio della raccolta opportunistica legata al phishing: il gruppo ha catturato gli indirizzi IP dei visitatori dei propri siti di phishing. Questo pattern è significativo perché fonde la fase di consegna con quella di ricognizione — ogni vittima che clicca lascia il proprio IP, permettendo all'attaccante di profilare la provenienza geografica e organizzativa dei bersagli e di filtrare i target reali dal rumore delle analisi automatiche.

HAFNIUM (G0125) mostra la ricognizione orientata allo sfruttamento di servizi specifici: il gruppo ha ottenuto gli indirizzi IP di server Exchange pubblicamente accessibili. Qui la raccolta IP non è fine a sé stessa ma direttamente funzionale a individuare bersagli con una tecnologia vulnerabile esposta, un modello coerente con operazioni di sfruttamento su larga scala di infrastruttura di posta.

Andariel (G0138) dimostra invece l'uso della lista di indirizzi come strumento di precisione difensiva per l'attaccante: il gruppo ha limitato i propri attacchi watering hole a specifici range IP. Restringere l'esecuzione del payload a determinati blocchi di rete serve a colpire solo le organizzazioni d'interesse, riducendo l'esposizione dell'operazione a ricercatori e sandbox esterni al perimetro geografico o settoriale prescelto.

Mettendo a confronto i tre profili emerge un trend chiaro: la raccolta di indirizzi IP raramente è un obiettivo autonomo, e funge quasi sempre da moltiplicatore per una fase successiva. In Magic Hound serve a profilare e validare le vittime; in HAFNIUM ad abilitare l'accesso iniziale tramite servizi remoti esposti; in Andariel a mirare e contenere la diffusione. La differenza tra un uso attivo (catturare l'IP di chi visita un sito, come Magic Hound) e uno più passivo o mirato (mappare server esposti o restringere range, come HAFNIUM e Andariel) riflette due filosofie operative complementari.

Per un threat intelligence officer la lezione pratica è che la sola presenza di un indirizzo aziendale nei dataset tecnici pubblici va considerata come precondizione abilitante per queste diverse strategie, e il tracciamento dell'infrastruttura avversaria — tramite piattaforme come MISP (open source) o servizi commerciali — resta la contromisura informativa più efficace per anticiparne l'evoluzione.

MITRE ATT&CK: tecnica T1590.005 (IP Addresses), tattica TA0043 (Reconnaissance), mitigazione M1056 (Pre-compromise), detection DET0815/AN1947. Gruppi citati: Magic Hound (G0059), HAFNIUM (G0125), Andariel (G0138). Tool di ricognizione e detection menzionati: SpiderFoot, Amass (OWASP), Recon-ng, Nmap, Shodan, Censys, MISP, crt.sh. Parte dei comandi, degli artefatti forensi e delle procedure operative deriva da conoscenza professionale di cybersecurity, verificata su documentazione ufficiale dei rispettivi progetti.