Ricerca su Fonti Chiuse: Search Closed Sources (T1597)

In un ingaggio red team, simulare T1597 significa replicare la fase di profilazione a pagamento del bersaglio in modo controllato e lab-safe, documentando quali dati un attaccante reale potrebbe acquistare legalmente da broker commerciali.

Il gruppo EXOTIC LILY ha usato piattaforme di business intelligence come RocketReach e CrunchBase (entrambe freemium) per profilare individui specifici: nomi, ruoli, indirizzi email aziendali e relazioni gerarchiche. In laboratorio puoi ricostruire lo stesso flusso partendo dai tier gratuiti di questi servizi per mappare la struttura organizzativa target, integrando poi framework OSINT che automatizzano la correlazione.

Uno strumento centrale è SpiderFoot (open source), che orchestra decine di moduli di raccolta e supporta l'integrazione con API commerciali. Un avvio tipico della modalità server è:

python3 sf.py -l 127.0.0.1:5001

Per la ricognizione da linea di comando, Recon-ng (open source) offre un'architettura a moduli:

recon-ng

e successivamente il caricamento di moduli come marketplace install all per abilitare i connettori disponibili. Molti moduli richiedono chiavi API di servizi a pagamento, che simulano proprio l'accesso a fonti chiuse.

Per la componente credenziali trafugate — tipica del versante blackmarket — l'approccio lab-safe consiste nell'usare set di dati pubblici già divulgati, senza mai acquistare materiale illecito. Strumenti come theHarvester (open source) aggregano email e sottodomini:

theHarvester -d dominio-target -b all

La catena d'attacco simulata prosegue così: profilazione su database commerciali → costruzione di una lista di bersagli prioritari → arricchimento con eventuali credenziali esposte → preparazione di un pretesto di spear-phishing credibile. EXOTIC LILY, ad esempio, sfruttava i profili raccolti per impersonare fornitori legittimi.

Alcune raccomandazioni operative per un ingaggio pulito:

• Usa solo i tier gratuiti o account demo dei servizi commerciali, restando nei termini di servizio.
• Non acquistare mai dati da mercati clandestini: nel report descrivi il rischio teorico basandoti su dataset già pubblici.
• Conserva le evidenze di ogni fonte consultata per il debrief, dimostrando quanto materiale sia acquisibile con budget minimo.

L'obiettivo del test non è la compromissione ma quantificare l'esposizione informativa: mostrare al cliente quanto di dettagliato e sfruttabile si trovi su di lui presso fonti che sfuggono al suo controllo diretto.

Rilevare direttamente T1597 è, per ammissione della stessa detection DET0822 (AN1954), estremamente difficile: l'attività avviene fuori dalla visibilità dell'organizzazione bersaglio e presenta un tasso di falsi positivi potenzialmente altissimo. Nessun sistema aziendale registra l'acquisto di un profilo su un database commerciale o su un forum clandestino. La strategia SOC deve quindi spostarsi sulla detection indiretta, concentrandosi sul momento in cui i dati raccolti vengono impiegati.

Il punto di osservazione più fertile sono le fasi successive della kill chain. Quando un avversario come EXOTIC LILY trasforma i profili acquisiti in campagne di spear-phishing o in tentativi di autenticazione, gli indicatori diventano concreti e correlabili.

Le principali log source da presidiare:

• Log di posta (Microsoft Defender for Office 365, Proofpoint, Mimecast): messaggi mirati verso dirigenti specifici, mittenti che impersonano fornitori o partner, header incoerenti con SPF/DKIM/DMARC.
• Log di autenticazione (Windows Security EventCode 4625 per fallimenti, 4624 per accessi riusciti, log Azure AD / Entra ID): tentativi di login con account validi da geolocalizzazioni anomale, coerenti con l'uso di credenziali acquisite.
• Log VPN e servizi remoti esposti: accessi a External Remote Services con account legittimi ma da contesti inusuali.

Sul piano preventivo, la mitigazione M1056 (Pre-compromise) suggerisce un approccio di hardening della superficie informativa più che di alerting. Concretamente conviene ridurre i dati sfruttabili e sorvegliare l'esposizione esterna con piattaforme come Shodan e Censys (entrambe freemium), che mostrano cosa un attaccante vede della tua infrastruttura.

Un valido programma di threat intelligence integra piattaforme come MISP (open source), Recorded Future o Anomali (a pagamento) per correlare indicatori di infrastruttura avversaria con i pattern osservati nei propri log. Il monitoraggio di domini sosia e possibili hijacking, tramite servizi tipo DomainTools (a pagamento), aiuta a intercettare la preparazione di campagne che sfruttano i dati profilati.

Sul fronte falsi positivi, va ricordato che gran parte dell'attività di ricerca commerciale è indistinguibile dal lavoro legittimo di recruiter, venditori e analisti di mercato. Per questo qualsiasi alert costruito su interazioni con database di business intelligence è destinato a generare rumore. Meglio investire in regole di correlazione che leghino un contatto sospetto (email di pretesto) a un successivo tentativo di accesso, trasformando due segnali deboli e ambigui in un'unica evidenza ad alta confidenza.

Per l'analista forense, T1597 rappresenta una sfida particolare: la fase di raccolta avviene interamente presso fonti esterne e non lascia artefatti sugli endpoint della vittima. Le tracce utili emergono da due direzioni: le fonti esterne consultabili a posteriori e gli artefatti che compaiono dopo il primo contatto con l'infrastruttura malevola.

Sul versante esterno, la ricostruzione si appoggia a fonti che documentano la preparazione dell'attaccante. Il WHOIS storico e i database di passive DNS aiutano a ricostruire quando un dominio usato per impersonare un fornitore è stato registrato e attivato. I registri di Certificate Transparency, consultabili tramite il database di crt.sh (gratuito), rivelano l'emissione di certificati TLS per domini sosia, spesso in prossimità temporale con l'avvio di una campagna. Questi elementi aiutano a datare la fase di profilazione confrontandola con il momento in cui i dati raccolti sono stati sfruttati.

Sul versante endpoint, la timeline forense parte dal primo artefatto realmente registrabile: l'arrivo del pretesto. Nel caso di EXOTIC LILY, che profilava individui su RocketReach e CrunchBase per impersonare partner commerciali, gli artefatti tipici includono:

• Elementi di posta: file PST/OST e header dei messaggi ricevuti, che conservano indirizzi mittente, timestamp e infrastruttura di invio.
• Cronologia browser e download: database History e Downloads di Chrome/Edge (tabelle SQLite), che mostrano il click su link ospitati su servizi di file-sharing.
• Artefatti di esecuzione: Prefetch, ShimCache e Amcache su Windows, utili se il pretesto ha portato all'esecuzione di un payload successivo.

Su sistemi Linux, i log in /var/log/auth.log e la cronologia della shell aiutano a datare accessi effettuati con credenziali potenzialmente acquisite da fonti chiuse.

La correlazione temporale è l'obiettivo principale: allineando la data di registrazione di un dominio malevolo (WHOIS), l'emissione del certificato (CT log) e il primo messaggio ricevuto dalla vittima si ricostruisce una sequenza che, pur non provando l'acquisto sul mercato chiuso, ne rivela l'esito operativo.

Strumenti come Autopsy (open source) e la suite Plaso/log2timeline (open source) permettono di fondere queste sorgenti eterogenee in una supertimeline. È importante non forzare l'esistenza di artefatti relativi alla fase d'acquisto: essa resta invisibile, e il valore forense sta nel documentare rigorosamente ciò che accade dal primo contatto in poi.

Il quadro di intelligence su T1597 è centrato su un unico attore documentato, ma particolarmente istruttivo per comprendere come la ricerca su fonti chiuse si traduca in operazioni concrete.

EXOTIC LILY (G1011) è l'unico gruppo mappato su questa tecnica nei dati di riferimento. La sua caratteristica distintiva è la profilazione minuziosa di individui specifici tramite database di business intelligence come RocketReach e CrunchBase. Da queste piattaforme il gruppo estraeva nomi, ruoli, contatti email e relazioni professionali, informazioni che costituivano la base per un impersonation ad alta credibilità. EXOTIC LILY è noto per operare come broker di accesso iniziale: raccoglie dati, costruisce pretesti convincenti impersonando dipendenti reali di aziende legittime, e monetizza l'accesso ottenuto cedendolo ad altri attori.

Questo profilo evidenzia un pattern strategico rilevante: la ricognizione a pagamento non è fine a se stessa, ma un investimento che aumenta drasticamente il tasso di successo delle fasi successive. Curando l'accuratezza dei dettagli personali, il gruppo rendeva le proprie email di spear-phishing quasi indistinguibili da comunicazioni commerciali autentiche.

Dal punto di vista dei trend, l'assenza di software e campagne codificate associati a questa tecnica riflette la sua natura pre-compromise: si tratta di attività manuale, condotta con strumenti leciti e servizi commerciali accessibili a chiunque disponga di budget. Il tool overlap qui non riguarda malware condiviso, bensì l'uso di piattaforme di business intelligence legittime piegate a scopi offensivi — un fenomeno che rende la tecnica accessibile a un ampio spettro di attori, dai gruppi cybercriminali agli operatori di ransomware in cerca di vittime profilate.

Per un Threat Intelligence Officer, l'implicazione operativa è chiara. La sensibilità dei dati che la propria organizzazione espone su database commerciali e professionali diventa un fattore di rischio misurabile. Il modello di EXOTIC LILY dimostra che quanto più dettagliato è il profilo pubblico di dirigenti e dipendenti chiave, tanto più efficace risulterà un eventuale pretesto costruito su misura.

La contromisura strategica non è tecnica ma informativa: ridurre l'impronta dei dati sensibili, sensibilizzare il personale con maggiore visibilità pubblica, e integrare nel proprio programma di intelligence il monitoraggio di come l'azienda appare presso queste fonti. Il valore di questa profilazione, del resto, dipende interamente dalla ricchezza dei dati che l'organizzazione stessa lascia disponibili all'esterno.

MITRE ATT&CK: tecnica T1597 (Search Closed Sources), tattica TA0043. Gruppo G1011 (EXOTIC LILY). Mitigazione M1056 (Pre-compromise). Detection DET0822 e analitica AN1954. Tool di detection e riduzione superficie citati dalle indicazioni di mitigazione: SpiderFoot, Recon-ng, Shodan, Censys, MISP, DomainTools. Per comandi operativi e artefatti forensi è stata integrata conoscenza professionale di cybersecurity basata su strumenti reali e verificabili.