Interrogazione Servizi AI Pubblici: Query Public AI Services (T1682)

In un ingaggio di red team questa tecnica va simulata nella fase di OSINT preliminare, sempre in modo lab-safe e nel rispetto dei termini di servizio dei provider. L'obiettivo è dimostrare quanto rapidamente un avversario possa costruire un dossier sul bersaglio combinando fonti aperte e capacità di sintesi degli LLM.

Un tipico flusso operativo parte dalla raccolta grezza con strumenti OSINT consolidati, per poi delegare all'AI l'aggregazione e la correlazione. Alcuni tool utili in laboratorio:

• SpiderFoot (open source): automazione di raccolta OSINT su domini, email, persone e infrastruttura.
• theHarvester (open source): enumerazione di email e sottodomini da motori e fonti pubbliche.
• Recon-ng (open source): framework modulare per ricognizione con database strutturato dei risultati.
• Maltego (freemium): graphing delle relazioni tra persone, aziende e asset.

Una volta ottenuti i dati grezzi, si può usare un LLM per sintetizzare i risultati: ad esempio far generare una bozza di organigramma a partire da profili professionali pubblici, oppure elaborare pretesti di spearphishing coerenti con le relazioni commerciali individuate. Per esperimenti riproducibili e privi di dipendenza da servizi cloud, in laboratorio si possono eseguire modelli locali con Ollama (open source) o LM Studio (gratuito), evitando così di inviare dati sensibili a servizi esterni.

Un esempio di raccolta iniziale con theHarvester:

theHarvester -d dominio-bersaglio.tld -b bing,crtsh -l 500

E una scansione OSINT headless con SpiderFoot:

sfcli.py -m sfp_email,sfp_names -s dominio-bersaglio.tld

La catena d'attacco simulata prosegue così: enumerazione contatti, sintesi AI dei ruoli e delle relazioni, costruzione di liste target prioritizzate, e infine generazione di contenuti di pretexting da validare con il committente. È fondamentale documentare i prompt e i dati inseriti, perché il valore del test sta nel mostrare come informazioni frammentarie e apparentemente innocue diventino, una volta correlate dall'AI, un profilo di attacco completo.

Mantenete l'esercizio entro il perimetro autorizzato: non interrogate servizi AI con dati reali di terzi non inclusi nello scope, e preferite modelli locali quando trattate PII. L'output atteso è un report che quantifichi la superficie informativa esposta e suggerisca riduzioni concrete, collegando ogni dato ritrovato alla fonte pubblica originaria.

Il punto critico da accettare è che questa tecnica è pre-compromise: le interrogazioni ai servizi AI avvengono su infrastruttura esterna, fuori dalla telemetria aziendale. La stessa detection AN2062 (PRE) riconosce che gran parte dell'attività resta invisibile al difensore, e suggerisce di spostare l'attenzione sulle fasi correlate del ciclo d'attacco, in particolare l'Initial Access. La detection quindi non è diretta ma indiretta: si osserva il prodotto della ricognizione quando viene messo in opera.

Il segnale più concreto emerge nel phishing. Le email costruite su profilazione AI tendono a essere linguisticamente impeccabili, contestualmente coerenti e altamente personalizzate su ruoli, relazioni commerciali e progetti reali. Un salto di qualità nella verosimiglianza dei tentativi di spearphishing è, di per sé, un indicatore comportamentale da correlare. Le principali sorgenti di log da presidiare:

• Gateway email e piattaforme di protezione (Proofpoint, Microsoft Defender for Office 365, Mimecast, tutti a pagamento) per anomalie mittente, header e pretesti mirati.
• Log di autenticazione e sign-in cloud per accessi che seguono a poca distanza campagne di phishing mirate.
• Web proxy e DNS per contatti verso domini di raccolta o lookalike.

Sul fronte Harden/preventivo rientra la mitigazione M1056 (Pre-compromise): ridurre la superficie informativa esposta. Auditare e sanificare dati pubblici (annunci di lavoro, sito, social), applicare privacy WHOIS e DNSSEC, e monitorare i domini simili. Piattaforme come DomainTools (a pagamento) e i registri Certificate Transparency consultabili via crt.sh (gratuito) aiutano a intercettare domini lookalike prima che vengano usati. Per la superficie esterna sono utili Shodan e Censys (entrambi freemium).

L'enforcement di SPF, DKIM e DMARC riduce lo spoofing che spesso accompagna il phishing personalizzato, mentre l'integrazione di threat intelligence con MISP (open source), Recorded Future o Anomali (a pagamento) consente di correlare gli IOC delle fasi successive.

Attenzione ai falsi positivi: un'email ben scritta non è di per sé malevola, e la crescente diffusione di assistenti AI legittimi in azienda rende il linguaggio curato la norma. Per questo la detection deve basarsi su cluster di segnali — pretesto plausibile, targeting selettivo di ruoli specifici, tempistiche coordinate — piuttosto che su indicatori atomici, coerentemente con l'indicazione MITRE di progettare difese non dipendenti da singoli artefatti.

L'analisi forense di questa tecnica è atipica perché non lascia artefatti sull'endpoint della vittima nella fase di ricognizione: l'interrogazione degli LLM avviene su sistemi dell'attaccante o su servizi cloud terzi. Il lavoro dell'analista si concentra quindi su fonti esterne e sugli artefatti che emergono dopo il primo contatto con l'infrastruttura malevola.

Sul versante delle fonti aperte, la ricostruzione parte da ciò che l'avversario potrebbe aver aggregato. WHOIS storico e passive DNS aiutano a datare la registrazione di domini lookalike; i registri Certificate Transparency (consultabili gratuitamente tramite crt.sh) rivelano certificati emessi per domini che imitano il brand bersaglio. L'esame degli header delle email di phishing successive consente di stabilire una timeline: le liste di contatti e i pretesti usati nei messaggi riflettono spesso la profilazione svolta a monte, permettendo di inferire a ritroso l'attività di ricognizione.

Gli artefatti endpoint diventano disponibili solo quando la vittima interagisce con il payload o il link. In ambiente Windows la timeline si costruisce su:

• Cronologia e cache del browser (per Chromium ed Edge, i database SQLite di history e cache utente).
• Cartelle Downloads e allegati salvati con relativi timestamp MACB.
• Log PowerShell e EventCode 4688 (process creation) se l'apertura del documento innesca esecuzione.
• Marcatori Mark-of-the-Web (zone identifier ADS) sui file scaricati, utili a confermare l'origine internet.

Su Linux si esaminano ~/.bash_history, i log in /var/log/ e gli artefatti del browser nella home utente. Per l'acquisizione e l'analisi si possono usare Autopsy (open source), la suite Sleuth Kit (open source) e Plaso/log2timeline (open source) per una super-timeline che colleghi arrivo dell'email, apertura e prime azioni.

La correlazione con la threat intelligence chiude il quadro: piattaforme come MISP (open source) permettono di confrontare indicatori e TTP con quelli documentati per i gruppi noti. Poiché i dati MITRE riferiti a T1682 non elencano software né campagne codificate, l'analista deve costruire l'attribuzione sulla convergenza tra pattern di targeting osservati (think tank, funzionari, partner commerciali) e i profili degli attori descritti.

Il principio guida, coerente con la mitigazione M1056, è che le difese e le indagini non devono affidarsi a indicatori atomici — assenti in questa fase — ma alla ricostruzione comportamentale della catena che dalla ricognizione conduce al primo accesso.

I dati MITRE associano alla tecnica due attori statali, entrambi noti per un uso maturo dell'OSINT potenziato dall'AI a supporto di campagne di spionaggio. La convergenza è significativa: pur operando in contesti geopolitici distinti, condividono l'approccio di profilazione mirata di individui ad alto valore informativo.

Kimsuky (G0094) ha impiegato gli LLM per identificare think tank, organizzazioni governative ed esperti, allo scopo di orientare il targeting delle proprie campagne di spearphishing. Il gruppo è storicamente orientato alla raccolta di intelligence, e l'adozione dell'AI ottimizza la selezione dei bersagli: invece di setacciare manualmente pubblicazioni e affiliazioni, delega al modello la sintesi di chi, in un determinato ambito di policy, rappresenta la fonte o il vettore più utile. Questo pattern rafforza la fase iniziale del loro ciclo d'attacco, tradizionalmente basata su email altamente contestualizzate rivolte ad analisti e accademici.

APT42 (G1044) ha sfruttato gli LLM per cercare indirizzi email ufficiali con cui costruire liste di bersagli e per condurre ricognizione su potenziali partner commerciali. L'enfasi sulle relazioni d'affari è rilevante: consente di edificare pretesti di social engineering particolarmente credibili, in cui l'attaccante si presenta come contatto legittimo di un'organizzazione affiliata. La raccolta sistematica di email ufficiali, inoltre, alimenta direttamente campagne di phishing e di phishing for information su scala.

Il pattern comune ai due gruppi è l'uso dell'AI come moltiplicatore di efficienza nella ricognizione, non come strumento offensivo diretto. Entrambi trasformano informazioni pubblicamente disponibili in dossier operativi: mappe di ruoli, contatti verificati, reti di relazioni. Il valore aggiunto dell'LLM sta nella capacità di correlare frammenti dispersi — profili professionali, comunicati, affiliazioni — in un profilo coerente che accelera la preparazione dell'attacco.

Sul piano dei trend, questo utilizzo segnala una maturazione tattica: la ricognizione diventa più veloce, più scalabile e più difficile da rilevare, perché avviene interamente su infrastruttura esterna e non genera IOC tradizionali. Per l'analista di intelligence questo implica spostare l'osservazione sugli esiti — la qualità crescente e la personalizzazione dei tentativi di spearphishing — e sulla protezione preventiva della superficie informativa. I dati forniti non elencano software o campagne codificate per la tecnica, quindi l'attribuzione resta ancorata ai pattern di targeting: interesse per think tank e governo nel caso coreano, per email ufficiali e partner commerciali nel caso iraniano.

MITRE ATT&CK: tecnica T1682 (Query Public AI Services), tattica TA0043 (Reconnaissance), mitigazione M1056 (Pre-compromise), detection DET0919 e analitica AN2062. Gruppi citati: G0094 (Kimsuky), G1044 (APT42). Tool di ricognizione e detection: SpiderFoot, theHarvester, Recon-ng, Maltego, Shodan, Censys, DomainTools, Certificate Transparency (crt.sh), MISP, Autopsy, Sleuth Kit, Plaso. Parte dei comandi, degli artefatti forensi e delle procedure operative deriva da conoscenza professionale di cybersecurity applicata al contesto della tecnica.