Scan su Database Pubblici: Scan Databases (T1596.005)

Trattandosi di una tecnica di ricognizione pre-compromise, l'obiettivo in un ingaggio red team è simulare la raccolta passiva di informazioni sfruttando gli stessi archivi che userebbe un avversario reale, senza toccare l'infrastruttura del cliente. Il flusso tipico parte dal perimetro noto (dominio, blocchi IP) per arrivare a un inventario di servizi esposti, versioni e certificati.

Gli strumenti d'elezione sono i motori di ricerca per dispositivi connessi. Shodan (freemium) offre una CLI ufficiale: dopo shodan init si interrogano gli host con shodan search 'org:"Nome Azienda"' oppure shodan host per il dettaglio di porte e banner. Censys (freemium) fornisce analoga copertura con la sua libreria Python e le query sul dataset degli host. Per certificati e sottodomini, il database Certificate Transparency interrogabile via crt.sh (gratuito) rivela hostname dimenticati.

Sul fronte automazione, Recon-ng (open source) integra moduli che consultano queste sorgenti: si carica un workspace, si imposta la chiave API e si eseguono i moduli di raccolta host. SpiderFoot (open source) orchestra decine di sorgenti OSINT in un'unica scansione correlata, utile per aggregare risultati eterogenei. Amass (open source) di OWASP unisce passive DNS, CT logs e altre fonti con amass enum -passive -d dominio.tld.

Una catena d'attacco realistica prevede queste fasi:

• Enumerazione passiva dei net-block e degli hostname tramite Shodan/Censys, senza generare traffico verso il target.
• Estrazione di banner e versioni per identificare software potenzialmente vulnerabile.
• Analisi dei certificati esposti per scoprire ambienti di staging, VPN o pannelli di amministrazione.
• Correlazione dei risultati per prioritizzare i bersagli con Exploit Public-Facing Application o External Remote Services.

Nel contesto documentato, APT41 ha utilizzato il servizio cinese fofa.su, analogo a Shodan, per la scansione passiva delle vittime, mentre Volt Typhoon ha combinato FOFA, Shodan e Censys per individuare infrastrutture esposte. Un red team può replicare questo approccio multi-sorgente per validare la superficie d'attacco.

Regola d'oro del laboratorio: mantenere l'attività lab-safe consultando esclusivamente dataset di terze parti già pubblici, senza mai lanciare scansioni attive non autorizzate contro l'ambiente del cliente, che ricadrebbero in una tecnica differente.

La detection diretta di questa tecnica è, di fatto, impossibile per il difensore: la consultazione avviene su piattaforme di terze parti, fuori dalla telemetria aziendale. La guida MITRE (analitica AN1990, ambito PRE) è esplicita nel segnalare l'altissima frequenza dell'attività e il conseguente tasso di falsi positivi, orientando gli sforzi verso le fasi successive del ciclo d'attacco.

Di conseguenza, il SOC deve ragionare per detection indiretta: si osserva non la consultazione del database, ma l'uso operativo delle informazioni raccolte. Quando un avversario passa dalla ricognizione all'Active Scanning o all'accesso iniziale, compaiono segnali concreti sui log perimetrali e sugli endpoint esposti.

Le log source prioritarie sono:

• Log di firewall e IDS/IPS per pattern di scansione mirata che seguono a stretto giro l'esposizione di un servizio.
• Log dei reverse proxy e dei WAF, dove tentativi di exploit verso applicazioni pubbliche indicano che il bersaglio è stato pre-identificato.
• Log di autenticazione dei servizi remoti (VPN, RDP, SSH esposti) per accessi anomali su asset recentemente esposti.
• Telemetria dei certificati e degli hostname, per rilevare quando un asset dimenticato torna a essere sondato.

Un indicatore utile è la correlazione temporale: un servizio appena esposto o un certificato appena emesso che riceve tentativi di connessione mirati entro poche ore suggerisce che l'informazione era già stata raccolta da un archivio di scansione. Il rovescio della medaglia sono i falsi positivi massivi, perché l'intera Internet viene scansionata di continuo da attori legittimi (ricercatori, motori di scansione, bot).

Sul piano preventivo — l'unica leva realmente efficace — la mitigazione M1056 (Pre-compromise) raccomanda un approccio di External Attack Surface Management. Il SOC dovrebbe usare gli stessi strumenti degli attaccanti in chiave difensiva: monitorare periodicamente Shodan e Censys (freemium) per scoprire asset esposti non censiti, deployare scanner di vulnerabilità esterni e alimentare piattaforme di threat intelligence come MISP (open source) per tracciare l'infrastruttura avversaria.

A questo si aggiungono l'irrobustimento dell'infrastruttura DNS con DNSSEC e privacy WHOIS, il monitoraggio di domini lookalike e l'audit ricorrente dei dati pubblicati. La logica difensiva è chiara: non potendo intercettare la ricerca, si riduce ciò che l'attaccante può trovare, minimizzando quantità e sensibilità delle informazioni disponibili all'esterno.

Per l'analista forense la sfida è duplice: la ricognizione tramite database di scansione non lascia alcun artefatto sull'infrastruttura della vittima, perché nessun pacchetto proveniente dall'attaccante raggiunge l'ambiente durante questa fase. L'indagine, quindi, si sposta necessariamente su fonti esterne e su artefatti endpoint che emergono solo nelle fasi successive.

Le fonti di intelligence esterna ricostruiscono cosa l'avversario poteva vedere al momento del targeting. Tra le più utili:

• WHOIS storico, per determinare quali informazioni di registrazione dei domini erano pubbliche in un dato periodo.
• Passive DNS, per ricostruire la mappatura storica tra hostname e indirizzi IP e individuare asset esposti nel passato.
• Gli archivi Certificate Transparency (consultabili via crt.sh, gratuito), che conservano lo storico dei certificati emessi e rivelano sottodomini e ambienti che erano visibili.

Ricostruire lo stato della superficie esposta al tempo dell'attacco è il fulcro della timeline. Confrontando la data di emissione di un certificato o l'apparizione di un hostname negli archivi passivi con il primo tentativo di intrusione registrato nei log perimetrali, l'analista stima la finestra tra ricognizione e azione. Una versione software obsoleta visibile nei banner storici, correlata all'exploit poi utilizzato, rafforza l'ipotesi che l'avversario abbia selezionato il bersaglio proprio da quei dataset.

Gli artefatti endpoint diventano rilevanti solo dopo il contatto malevolo. In quel momento entrano in gioco i log applicativi dei servizi pubblici, gli access log dei web server, gli eventi di autenticazione dei servizi remoti e — su Windows — i Security Event Log con gli eventi di logon (EventCode 4624 e 4625) sugli asset esposti. Su sistemi Linux si esaminano auth.log e i log dei demoni SSH per accessi anomali che seguono l'esposizione di un servizio.

Un riferimento concreto è la campagna C0040 (APT41 DUST), condotta da APT41 tra il 2023 e luglio 2024 contro entità in Europa, Asia e Medio Oriente nei settori shipping, logistica e media. In quella campagna il gruppo ha sfruttato dati di scansione Internet per lo sviluppo dei bersagli, impiegando poi malware come DUSTPAN e il nuovo DUSTTRAP. Per il forense, la lezione è che l'artefatto di ricognizione va cercato a monte, negli archivi pubblici, mentre la conferma dell'uso arriva dagli artefatti di post-compromissione lasciati dai tool successivi.

L'analisi di intelligence su questa tecnica evidenzia come la consultazione di database di scansione sia ormai una pratica standard tra attori state-sponsored sofisticati, apprezzata per il basso rischio di attribuzione e per l'efficienza nel prioritizzare i bersagli. I dati MITRE ATT&CK associano la tecnica a due gruppi di primo piano, entrambi riconducibili all'ecosistema cinese.

APT41 (G0096) rappresenta il caso più documentato. Il gruppo utilizza il sito cinese fofa.su, un servizio analogo a Shodan, per la scansione passiva delle vittime. Questa scelta è indicativa di un pattern geografico: l'adozione di piattaforme di scansione domestiche come FOFA riflette la disponibilità e la familiarità con strumenti sviluppati nell'area di operatività dell'attore. APT41 è noto per la duplice natura di attività di spionaggio e operazioni a scopo finanziario, e la raccolta preventiva di informazioni sull'esposizione dei bersagli si integra perfettamente in entrambi i filoni.

Il secondo attore è Volt Typhoon (G1017), che ha impiegato un ventaglio più ampio di strumenti — FOFA, Shodan e Censys — per individuare infrastrutture di vittima esposte. L'uso combinato di più motori di scansione denota un approccio metodico alla mappatura della superficie d'attacco, coerente con il profilo del gruppo, focalizzato su tecniche living-off-the-land e sulla persistenza a lungo termine in infrastrutture critiche. L'overlap nell'uso di FOFA tra i due gruppi suggerisce un bacino condiviso di tool e tecniche nell'ecosistema APT cinese.

Sul piano delle campagne, il riferimento chiave è APT41 DUST (C0040), condotta tra gennaio 2023 e giugno-luglio 2024. L'operazione ha colpito entità in Europa, Asia e Medio Oriente, concentrandosi sui settori shipping, logistica e media a fini di raccolta informativa. In questa campagna APT41 ha esplicitamente utilizzato dati di scansione Internet per il target development, combinando malware già osservato come DUSTPAN con lo strumento inedito DUSTTRAP. Questo dimostra la continuità operativa: la stessa ricognizione passiva alimenta campagne pluriennali su vittime geograficamente distribuite.

Il trend che emerge è chiaro. La ricognizione tramite database di scansione precede sistematicamente le fasi rumorose dell'attacco, permettendo agli avversari di ridurre l'esposizione e di colpire chirurgicamente. Per un Threat Intelligence Officer questo implica la necessità di monitorare la propria superficie esposta con gli stessi strumenti — FOFA, Shodan, Censys — e di correlare le anomalie osservate con i pattern di targeting noti di questi gruppi.

MITRE ATT&CK: tecnica T1596.005 (Search Open Technical Databases: Scan Databases), tattica TA0043. Gruppi G0096 (APT41), G1017 (Volt Typhoon). Campagna C0040 (APT41 DUST). Mitigazione M1056 (Pre-compromise). Detection DET0858, analitica AN1990. Tool di detection e monitoraggio citati: Shodan, Censys, Recon-ng, SpiderFoot, Amass, MISP, Certificate Transparency. Per comandi, sintassi dei tool e artefatti forensi è stata utilizzata conoscenza professionale di cybersecurity verificata su documentazione ufficiale.