Ricerca tramite Motori di Ricerca: Search Engines (T1593.002)

In un esercizio red team, questa tecnica si simula ricostruendo il footprint pubblico del bersaglio senza mai toccarne l'infrastruttura, restando quindi perfettamente lab-safe. Il cuore dell'attività è la costruzione di query mirate—il Google Dorking—che sfrutta gli operatori nativi dei motori di ricerca.

Gli operatori più efficaci sono site: per limitarsi a un dominio, filetype: per cercare estensioni specifiche (pdf, xlsx, conf, sql), intitle: e inurl: per intercettare pannelli di amministrazione, e intext: per parole chiave sensibili come password o api_key. Una query tipica in fase di ricognizione è:

site:target.com filetype:pdf intext:confidential

oppure la ricerca di pannelli esposti con inurl:login site:target.com. Per credenziali trapelate su piattaforme di code hosting si combina site: con termini come password o BEGIN RSA PRIVATE KEY.

Per automatizzare e strutturare la raccolta esistono framework OSINT maturi. theHarvester (open source) aggrega email, sottodomini e host interrogando più motori di ricerca contemporaneamente; un invocazione standard è:

theHarvester -d target.com -b google,bing,duckduckgo

Recon-ng (open source) offre un'architettura modulare stile Metasploit, con moduli dedicati all'interrogazione dei search engine e alla persistenza dei risultati in un workspace. SpiderFoot (open source, con tier hosted a pagamento) orchestra decine di fonti automatizzando la correlazione tra domini, email e leak.

Come riferimento per le query più produttive, la Google Hacking Database (gratuito) di Exploit-DB cataloga migliaia di dork già validate per categoria—file con password, dispositivi esposti, messaggi di errore rivelatori.

Sul piano delle catene d'attacco, la ricognizione via motori di ricerca è propedeutica: i sottodomini raccolti con theHarvester alimentano scansioni successive, le email individuate confluiscono in campagne di spear phishing, i file di configurazione esposti possono contenere credenziali riutilizzabili per l'accesso iniziale.

Dai dati MITRE emerge che il gruppo Kimsuky (G0094) ha usato Google per cercare vulnerabilità, tool e trend geopolitici a supporto del targeting. Nella campagna APT41 DUST (C0040) i motori di ricerca sono serviti a investigare i server delle vittime prima delle fasi operative. Un red teamer replica esattamente questo approccio: prima si osserva ciò che è già pubblico, solo dopo si passa all'interazione attiva.

Questa tecnica presenta una sfida strutturale per il SOC: l'attività avviene interamente sull'infrastruttura dei motori di ricerca, fuori dal perimetro di visibilità aziendale. I dati MITRE lo confermano esplicitamente attraverso l'analitica AN1943 (PRE), che segnala come gran parte di questa attività abbia un'occorrenza elevatissima e un tasso di falsi positivi tale da rendere la rilevazione diretta impraticabile.

La conseguenza operativa è chiara: non esiste un alert affidabile sulla fase di ricerca in sé. Gli sforzi di detection vanno spostati a valle, sulle fasi in cui l'attaccante inizia a interagire con l'organizzazione—tipicamente Initial Access o le prime email di phishing costruite sulle informazioni raccolte.

L'unico segnale indiretto realmente osservabile riguarda il crawling e l'accesso automatizzato alle proprie risorse pubbliche. Analizzando i log del web server (access log di Apache/Nginx, o i log di un WAF) si possono individuare pattern anomali: user-agent che dichiarano crawler ma provengono da ASN sospetti, richieste sequenziali verso path di configurazione, o accessi mirati a file esposti per errore. In ambiente Microsoft, la correlazione tra sorgenti diverse in un SIEM come Sentinel o Splunk resta il contesto naturale per questo tipo di analisi.

Sul fronte dei falsi positivi, occorre ricordare che i crawler legittimi (Googlebot, Bingbot) generano volumi enormi di traffico perfettamente normale: qualsiasi regola va calibrata su verifica reverse-DNS del bot e reputazione dell'IP, altrimenti si soffoca il SOC di rumore.

La mitigazione M1056 (Pre-compromise) definisce l'approccio corretto, che è preventivo e continuo più che reattivo. In chiave difensiva conviene adottare un monitoraggio esterno costante della propria superficie d'attacco con Shodan e Censys (entrambi freemium), individuando servizi e file esposti prima che lo faccia l'avversario. Le piattaforme di threat intelligence come MISP (open source) permettono di tracciare infrastruttura e tool degli attaccanti noti.

Un'ulteriore linea di difesa consiste nell'auditare periodicamente ciò che i motori di ricerca hanno effettivamente indicizzato del proprio dominio, usando internamente le stesse dork del red team. Un controllo site: sul proprio dominio, alla ricerca di filetype: sensibili, rivela in pochi minuti documenti e pannelli che non dovrebbero essere pubblici. Segnalare la deindicizzazione dei contenuti sensibili e rafforzare le policy email con SPF, DKIM e DMARC completano la postura, riducendo il valore di ciò che l'attaccante può estrarre.

L'analisi forense di questa tecnica è atipica, perché l'attività lascia pochissime tracce sugli endpoint della vittima: la ricerca avviene sui server dei motori di ricerca, non sui sistemi dell'organizzazione. Il lavoro dell'analista si concentra quindi su fonti esterne e su artefatti che emergono soltanto dopo il primo contatto con l'infrastruttura o le persone del bersaglio.

La prima categoria di evidenze è ciò che l'attaccante ha visto. Ricostruire la superficie indicizzata al momento presunto della ricognizione aiuta a capire cosa fosse effettivamente esposto. Strumenti utili sono la cache storica e i servizi di archiviazione web (come la Wayback Machine, gratuito), oltre a un'analisi di passive DNS e dei Certificate Transparency logs consultabili tramite il database di crt.sh (gratuito) per mappare sottodomini che potrebbero essere finiti nei risultati di ricerca.

Sul lato endpoint e server, le tracce compaiono nella fase successiva. Gli access log del web server (Nginx, Apache, IIS) sono la fonte primaria: vanno cercate sequenze di richieste verso file di configurazione, backup o path amministrativi, correlate temporalmente con eventuali dork note. La costruzione di una timeline che allinei questi accessi anomali con i successivi tentativi di autenticazione o con l'arrivo di email di phishing è ciò che collega la ricognizione all'azione.

Su Windows, se la ricognizione sfocia in Initial Access, gli artefatti classici diventano rilevanti: eventi di autenticazione nel Security.evtx (in particolare EventCode 4624 e 4625), e in caso di phishing gli artefatti di Outlook e i file scaricati tracciati nel registro tramite le chiavi ShellBags e le MRU. Su Linux, l'analisi di /var/log/auth.log e dei log del web server documenta l'eventuale accesso a risorse esposte.

La campagna APT41 DUST (C0040), attiva dal 2023 a metà 2024 contro entità in Europa, Asia e Medio Oriente nei settori shipping, logistica e media, ha impiegato i motori di ricerca per investigare i server delle vittime prima di dispiegare malware come DUSTPAN e DUSTTRAP. Il gruppo Kimsuky (G0094) ha usato Google per cercare vulnerabilità e trend geopolitici. In entrambi i casi la ricognizione non produce reperti autonomi, ma anticipa fasi successive: l'analista deve quindi trattare l'assenza di tracce dirette come normale, ricostruendo il contesto dalle fonti esterne e correlando gli indicatori a valle.

Dal punto di vista dell'intelligence, questa tecnica è rivelatrice non per la sua complessità ma per la sua universalità: praticamente ogni attore strutturato la impiega come primo passo, e i dati MITRE ne documentano l'uso in un gruppo APT e in una campagna di rilievo.

Il profilo più esplicito è quello di Kimsuky (G0094), attore riconducibile alla sfera nordcoreana. I dati registrano il suo uso di Google per cercare vulnerabilità, tool e trend geopolitici a supporto del targeting. Questo pattern è coerente con la vocazione del gruppo alla raccolta di intelligence strategica: la ricerca dei trend geopolitici in particolare segnala un targeting guidato da priorità statali, dove la selezione della vittima dipende dal contesto politico più che da opportunità tecniche.

Il secondo profilo emerge dalla campagna APT41 DUST (C0040), condotta da APT41 dal 2023 fino a luglio 2024. Qui i motori di ricerca sono serviti a investigare i server delle vittime nell'ambito di un'operazione più ampia di information gathering. La campagna ha colpito entità in Europa, Asia e Medio Oriente, con focus sui settori shipping, logistica e media, e ha combinato malware già osservato come DUSTPAN con strumenti nuovi come DUSTTRAP. APT41 è noto per la sua doppia natura, che intreccia obiettivi di spionaggio e finalità opportunistiche.

Sul piano dei pattern geografici, il confronto tra questi due riferimenti mostra spettri diversi ma complementari: Kimsuky orientato a bersagli allineati agli interessi regionali dell'Asia orientale, APT41 con una proiezione intercontinentale che tocca tre continenti in un'unica campagna. Il denominatore comune è l'uso della ricerca come fase preparatoria a basso costo e ad alta resa, che precede il dispiegamento di capacità tecniche più sofisticate.

Un elemento di tendenza rilevante per un Threat Intelligence Officer è che la ricognizione via motori di ricerca funge da moltiplicatore: le informazioni raccolte alimentano indistintamente phishing, ricerca in database tecnici aperti e accesso tramite credenziali valide. Questo rende difficile attribuire un incidente alla sola fase di ricerca, ma suggerisce di monitorare i propri leak pubblici come indicatore anticipato di interesse avversario.

La contromisura strategica, coerente con la mitigazione M1056, è ribaltare la prospettiva: adottare le stesse piattaforme OSINT e di threat intelligence usate dagli attaccanti—dalla mappatura della superficie esterna al tracciamento dell'infrastruttura avversaria—per ridurre proattivamente la sensibilità e la quantità di dati esposti a terze parti.

MITRE ATT&CK: tecnica T1593.002 (Search Engines), tattica TA0043 (Reconnaissance). Gruppo G0094 (Kimsuky). Campagna C0040 (APT41 DUST). Mitigazione M1056 (Pre-compromise). Detection DET0811, analitica AN1943. Tool di ricognizione e detection citati: theHarvester, Recon-ng, SpiderFoot, Google Hacking Database, Shodan, Censys, MISP, Wayback Machine, crt.sh. Parte dei comandi e delle procedure operative deriva da conoscenza professionale di cybersecurity, verificata rispetto a documentazione ufficiale e repository pubblici dei rispettivi strumenti.