Acquisto di Dati Tecnici: Purchase Technical Data (T1597.002)

Trattandosi di una tecnica pre-compromise, l'obiettivo in un ingaggio red team non è "comprare" davvero dati illeciti, ma simulare in modo lab-safe l'accesso a informazioni tecniche già disponibili sul mercato legittimo, per verificare quanto la superficie esterna del cliente sia sfruttabile.

Il punto di partenza è la credential exposure. Con l'autorizzazione scritta del cliente, si interroga il servizio Have I Been Pwned (freemium, API a pagamento) per censire email e domini presenti in data breach noti. Il dominio del cliente si passa via query API:

curl -s -H "hibp-api-key: " ""

Per la ricognizione dell'infrastruttura acquistabile come feed commerciale si usano piattaforme di attack surface management. Shodan (freemium) e Censys (freemium) rappresentano l'equivalente legittimo dei "scan database" citati nella tecnica:

shodan search "org:"Target SpA""

shodan host

L'automazione della raccolta OSINT si affida a SpiderFoot (open source) e Recon-ng (open source), che orchestrano decine di moduli per correlare domini, sottodomini, email e leak. In Recon-ng un flusso tipico:

marketplace install all

modules load recon/domains-hosts/hackertarget

options set SOURCE target.com

run

Per i contatti dei dipendenti — spesso il vero prodotto acquistato — theHarvester (open source) aggrega risultati da motori e fonti pubbliche:

theHarvester -d target.com -b all

La catena d'attacco simulata prosegue così: i dati raccolti (email valide, credenziali riutilizzate, servizi RDP/VPN esposti) diventano input per un password spraying controllato contro i portali External Remote Services, oppure per campagne di phishing mirato. L'idea è dimostrare che un avversario, con poche centinaia di euro spesi in feed e leak, ricostruisce lo stesso quadro.

Per la parte credenziali riutilizzate, uno strumento come DeHashed o IntelligenceX (entrambi freemium/a pagamento) mostra al cliente cosa un attaccante comprerebbe. Documenta sempre nel report la provenienza legale dei dati e conserva le evidenze in ambiente isolato.

Infine, verifica il riutilizzo dei token di sessione: importando cookie esfiltrati in un profilo browser controllato si testa se l'MFA viene bypassato, replicando il vettore osservato in scenari reali. Questo chiude il cerchio tra dato acquistato e accesso effettivo, che è esattamente ciò che il committente deve capire.

La detection diretta dell'acquisto è di fatto impossibile: l'operazione avviene su forum e marketplace esterni alla visibilità aziendale, con un tasso di falsi positivi altissimo se si tentasse di correlarla ad attività di rete. La strategia corretta, coerente con la nota di detection AN2012, è spostare lo sguardo alle fasi successive: si osserva l'uso dei dati acquistati, non l'acquisto in sé.

Il segnale più concreto è l'autenticazione con credenziali o token comprati. Le Valid Accounts e gli External Remote Services sono i punti di emersione. Concentra la telemetria su:

• Azure AD / Entra ID Sign-in logs: login riusciti da ASN o geolocalizzazioni anomale, impossible travel, e soprattutto sessioni che presentano un token valido senza corrispondente challenge MFA (indice di token replay).
• VPN e gateway RDP: autenticazioni riuscite al primo tentativo da IP mai visti, spesso preceduta dall'assenza di failed login (segno che la credenziale era già corretta perché acquistata).
• Windows Security log: EventCode 4624 con Logon Type 10 (RemoteInteractive) e 4768/4769 per anomalie Kerberos.

Un pattern rivelatore è il password spraying assente: quando un attaccante compra credenziali funzionanti, non genera il rumore tipico del brute force. L'accesso appare pulito, quindi la baseline comportamentale (device, orario, network) diventa il vero discriminante.

Sul fronte preventivo, adotta un monitoraggio della superficie esterna con Shodan e Censys (freemium) per sapere in anticipo quali servizi tuoi compaiono nei feed che gli avversari potrebbero comprare. Integra un feed di credential leak monitoring — servizi come Have I Been Pwned (freemium) a livello di dominio — per rilevare quando email aziendali finiscono in dataset in vendita, e forzare reset proattivi.

A livello di threat intelligence operativa, piattaforme come MISP (open source) permettono di ingerire indicatori legati a marketplace e attori che rivendono dati, correlandoli agli alert SIEM.

Attenzione ai falsi positivi: viaggi legittimi, VPN aziendali che ruotano IP e nuovi dispositivi generano rumore. Per ridurlo, pesa il rischio combinando più segnali (geo + assenza MFA + user agent nuovo) invece di allertare su singole condizioni.

Controlli di hardening da spingere: MFA resistente al phishing (FIDO2), riduzione della durata dei token di sessione e revoca automatica su anomalia, policy di conditional access basate su device compliance. Questi non impediscono l'acquisto dei dati, ma ne annullano il valore operativo per l'attaccante.

Nell'analisi forense di questa tecnica il concetto chiave è che l'artefatto dell'acquisto non risiede sull'endpoint: la transazione è avvenuta altrove. Il lavoro dell'analista si divide quindi tra fonti esterne, per ricostruire cosa fosse in vendita, e artefatti endpoint che emergono solo dopo che i dati comprati vengono usati.

Sul versante esterno, la timeline si costruisce con fonti OSINT storiche. Il WHOIS storico e il passive DNS aiutano a datare l'infrastruttura correlata; i Certificate Transparency logs (consultabili tramite il database di crt.sh, gratuito) rivelano certificati emessi per domini lookalike che l'attaccante potrebbe aver preparato con i dati acquisiti. Servizi come Have I Been Pwned e IntelligenceX (freemium) permettono di determinare in quali breach dataset le credenziali della vittima erano presenti, fissando una finestra temporale plausibile per l'acquisto.

Sul versante endpoint e identità, gli artefatti diventano concreti quando la credenziale o il token comprati vengono spesi. Elementi da correlare in timeline:

• Windows Security.evtx: EventCode 4624 / 4768 con provenienza anomala, primo accesso di un account da un nuovo host.
• Sign-in logs cloud (Azure AD, esportabili): identificazione del session token riutilizzato, timestamp del primo utilizzo e user agent.
• Artefatti browser: import di cookie di sessione rubati lascia tracce nei database Cookies di Chrome/Edge (file SQLite in AppData\Local) con timestamp di creazione incoerenti rispetto all'attività dell'utente legittimo.
• Registro e Prefetch: esecuzione di tool di ricognizione derivati dai dati acquistati.

La correlazione temporale è il cuore dell'indagine: se un dataset con credenziali del dominio compare in vendita in una certa finestra e, poco dopo, si registra un accesso pulito da geolocalizzazione anomala senza precedenti tentativi falliti, l'ipotesi dell'uso di dati acquistati diventa solida.

Un caso pubblicamente documentato illustra bene il pattern: il gruppo LAPSUS$ ha acquistato credenziali e token di sessione da forum criminali del sottobosco. Per un analista, questo significa che l'assenza di brute force non esclude la compromissione — anzi, un accesso "troppo pulito" è di per sé un indicatore. La revoca dei token e l'esame dei log di sessione cloud sono passaggi obbligati per stabilire l'estensione dell'incidente e distinguere l'attività legittima da quella basata su dati comprati.

Il dato di attribuzione fornito è mirato ma significativo: un solo gruppo è censito per questa pratica, e si tratta di LAPSUS$ (G1004). La sua rilevanza compensa la scarsità numerica, perché ne fa il caso di studio di riferimento per l'intera tecnica.

LAPSUS$ ha acquistato credenziali e token di sessione direttamente da forum criminali del sottobosco. Questo comportamento definisce un modello operativo preciso: invece di investire in exploit sofisticati o in lunghe campagne di ricognizione attiva, il gruppo ha monetizzato il mercato dei dati rubati come scorciatoia verso l'accesso iniziale. È un approccio a basso costo e alta resa, che abbatte la barriera tecnica d'ingresso e sposta il vantaggio competitivo sul capitale anziché sulla capacità offensiva.

Il pattern è particolarmente insidioso perché il token di sessione acquistato consente spesso di bypassare l'autenticazione a più fattori: il token rappresenta una sessione già autenticata, quindi l'attaccante entra senza affrontare la challenge MFA. Questo spiega perché la mera adozione dell'MFA classico non basti come contromisura, e perché LAPSUS$ sia riuscito a colpire organizzazioni con posture di sicurezza mature.

Sul piano dei trend, l'uso di dati acquistati segna la maturazione di un'economia criminale in cui la specializzazione è netta: chi ruba e rivende i dati (initial access broker, gestori di infostealer) è distinto da chi li sfrutta per l'intrusione. Un gruppo come LAPSUS$ si colloca a valle di questa filiera, comprando l'output di altri attori. Per un threat intelligence officer, questo implica monitorare non solo gli intrusori ma anche i marketplace e i broker che li alimentano.

La correlazione operativa più utile riguarda l'overlap con altre tecniche: i dati comprati confluiscono in Valid Accounts e External Remote Services per l'accesso iniziale, oppure in Phishing for Information per la ricognizione mirata. Chi difende dovrebbe quindi trattare un'anomalia di credential leak come precursore, non come evento isolato.

In assenza di ulteriori gruppi, software o campagne nei dati forniti, il quadro d'intelligence resta focalizzato su un singolo ma emblematico attore. La lezione strategica è chiara: ridurre la sensibilità e la freschezza dei dati esposti — rotazione credenziali, token a vita breve, revoca proattiva — erode direttamente il valore di ciò che un avversario può comprare, colpendo il modello economico dell'attacco alla radice.

Dati tecnici e di attribuzione: MITRE ATT&CK, tecnica T1597.002 (Purchase Technical Data), tattica TA0043, gruppo G1004 (LAPSUS$), mitigazione M1056, detection DET0880 (AN2012). Tool di ricognizione e monitoraggio citati: Shodan, Censys, SpiderFoot, Recon-ng, theHarvester, MISP, Have I Been Pwned, crt.sh. Per comandi, sintassi operativa e procedure forensi è stata integrata conoscenza professionale di cybersecurity basata su tool reali e documentati.