Ricerca in Database Tecnici Aperti: Search Open Technical Databases (T1596)

Trattandosi di una tecnica pre-compromise, l'obiettivo in un ingaggio red team è simulare la raccolta OSINT tecnica in modo lab-safe, mappando ciò che un avversario vedrebbe della superficie esterna del cliente prima di qualsiasi interazione con i suoi sistemi.

Il punto di partenza sono i dati di registrazione. Un'interrogazione WHOIS classica si ottiene con

whois esempio-target.tld

mentre per l'enumerazione dei sottodomini via Certificate Transparency puoi appoggiarti a crt.sh interrogando il database dei certificati emessi, oppure automatizzare con subfinder (open source) e amass (open source), entrambi progetti OWASP/ProjectDiscovery maturi:

subfinder -d esempio-target.tld -all

amass enum -passive -d esempio-target.tld

Per la mappatura dei servizi esposti senza toccare direttamente il target, i motori di scansione Internet-wide sono lo strumento centrale. Shodan (freemium) e Censys (freemium) permettono query mirate su banner, certificati e porte aperte. Con la CLI di Shodan installata via pip:

shodan host

shodan search 'ssl.cert.subject.cn:esempio-target.tld'

Per orchestrare più fonti in un unico flusso, SpiderFoot (open source, con tier cloud freemium) e Recon-ng (open source) aggregano WHOIS, passive DNS, leak e certificati in un modello dati coerente. In Recon-ng si caricano moduli come recon/domains-hosts/certificate_transparency e si esegue run.

Un elemento distintivo emerso dai dati riguarda l'uso di modelli linguistici di grandi dimensioni (LLM). Il gruppo APT28 ha impiegato LLM per assistere lo sviluppo e il deployment di script, mentre Kimsuky li ha usati per comprendere meglio le vulnerabilità riportate pubblicamente. In laboratorio questo si traduce nel simulare l'accelerazione della fase di ricerca: dato un CVE individuato tramite banner Shodan, un LLM può velocizzare la comprensione del vettore e la stesura di script di verifica.

La catena d'attacco tipica parte quindi dalla raccolta passiva: identifichi i domini via WHOIS, estrai i sottodomini dai CT log, correli gli IP esposti su Shodan/Censys, individui versioni software obsolete e chiudi il cerchio pianificando l'accesso iniziale su servizi remoti esposti. Mantieni sempre l'attività entro lo scope autorizzato: per definizione questa fase non genera rumore sui sistemi del cliente, quindi documenta con cura le fonti consultate per il report finale.

La detection diretta di T1596 è, per ammissione della stessa analisi di riferimento (AN1992), estremamente difficile: l'attività ha frequenza altissima, un elevato tasso di falsi positivi e soprattutto si svolge fuori dalla visibilità dell'organizzazione bersaglio. Nessun log endpoint o firewall registra un attaccante che interroga WHOIS, i Certificate Transparency log o Shodan. Per questo la strategia SOC si sposta dal rilevamento dell'atto in sé al monitoraggio degli effetti e delle fasi successive del ciclo di vita dell'attacco.

Il principio operativo indicato è concentrare gli sforzi di detection sulle fasi correlate, in particolare l'accesso iniziale. Se un servizio esterno è stato indicizzato e studiato, l'evidenza emergerà quando quell'infrastruttura verrà effettivamente contattata. Un incremento anomalo di tentativi di autenticazione su servizi remoti esposti, richieste verso sottodomini raramente sollecitati o pattern di accesso a endpoint recentemente comparsi nei CT log sono segnali indiretti da correlare.

Sul piano proattivo la mitigazione M1056 (Pre-compromise) definisce controlli che il SOC può trasformare in monitoraggio continuo della superficie esterna:

• External Attack Surface Monitoring: interroga regolarmente Shodan (freemium) e Censys (freemium) sui propri asset per sapere cosa vede l'attaccante e allertare quando compaiono nuovi servizi esposti.
• Sorveglianza DNS e domini: monitora domini lookalike e tentativi di hijacking con servizi come DomainTools (a pagamento); abilita DNSSEC e la privacy WHOIS per ridurre i dati raccoglibili.
• OSINT interno: esegui periodicamente SpiderFoot (open source) e Recon-ng (open source) contro la propria organizzazione per individuare informazioni trapelate prima che lo facciano gli avversari.
• Threat Intelligence: alimenta una piattaforma come MISP (open source) per tracciare l'infrastruttura avversaria e correlare gli IOC con il traffico osservato.

Un accorgimento sui falsi positivi: l'indicizzazione automatica da parte di crawler legittimi, scanner accademici e motori commerciali è costante. Non ha senso allertare sull'apparizione del proprio asset in un motore di scansione; conviene invece impostare baseline sulla esposizione attesa e generare alert solo sulle deviazioni — una porta amministrativa improvvisamente raggiungibile, un certificato emesso per un sottodominio non previsto, un servizio con versione vulnerabile appena comparso. La detection efficace, qui, è la riduzione dell'attaccabilità misurata nel tempo.

L'indagine forense su T1596 presenta una sfida strutturale: la ricognizione in database tecnici aperti non lascia artefatti sugli endpoint della vittima, perché avviene su infrastrutture di terze parti. L'analista deve quindi ricostruire la fase di ricognizione a posteriori, partendo da fonti esterne e correlandole con i primi artefatti endpoint che emergono solo dopo il contatto malevolo.

Le fonti esterne sono il cuore della timeline pre-compromise. Il WHOIS storico consente di ricostruire quando e da chi sono stati registrati domini lookalike successivamente usati contro l'organizzazione. I Certificate Transparency log — consultabili tramite il database di crt.sh — documentano con timestamp precisi l'emissione di certificati per sottodomini o domini di phishing, offrendo un ancoraggio temporale robusto. Il passive DNS permette di correlare risoluzioni storiche IP-dominio, ricostruendo l'infrastruttura che l'attaccante ha osservato o preparato.

Una volta stabilito il contatto, gli artefatti endpoint diventano rilevanti come conferma indiretta della ricognizione precedente. Sui sistemi Windows i log di autenticazione — EventCode 4624 e 4625 nel Security log — rivelano i primi tentativi verso i servizi che erano stati mappati esternamente. Su servizi web esposti, i log IIS o Apache mostrano richieste verso path e sottodomini che coincidono con quanto indicizzato nei CT log, segnale che la ricognizione aveva già individuato quelle risorse. Su Linux, /var/log/auth.log e i log del reverse proxy svolgono la stessa funzione.

La costruzione della timeline procede quindi in due tempi: prima si datano gli eventi esterni (registrazione dominio, emissione certificato, prima apparizione dell'IP nei motori di scansione), poi si allineano con il primo evento osservabile internamente. La distanza temporale tra i due — spesso giorni o settimane — quantifica la finestra di preparazione dell'avversario.

Sul piano dell'attribuzione, i dati mostrano un elemento moderno da considerare. Sia APT28 sia Kimsuky hanno integrato modelli linguistici (LLM) nel processo: APT28 per lo sviluppo di script, Kimsuky per comprendere vulnerabilità riportate pubblicamente. Per l'analista questo significa che la fase tra ricognizione e weaponizzazione può essere compressa, riducendo la finestra tra la comparsa di un CVE pubblico e il suo sfruttamento contro asset precedentemente identificati. Documentare il tempo intercorso tra pubblicazione della vulnerabilità e primo tentativo di exploit diventa un dato investigativo di valore per ricostruire le capacità dell'avversario.

I dati di riferimento associano la tecnica T1596 a due attori statuali, entrambi con un tratto distintivo: l'integrazione di modelli linguistici di grandi dimensioni (LLM) nel processo di ricognizione e preparazione.

Il primo è APT28, che ha impiegato LLM per assistere lo sviluppo e il deployment di script. In chiave di intelligence questo segnala una tendenza all'automazione della fase di weaponizzazione: la capacità di trasformare rapidamente le informazioni raccolte da database tecnici aperti in strumenti operativi funzionanti. L'uso di LLM non sostituisce la raccolta OSINT ma ne accelera lo sfruttamento, riducendo il tempo tra identificazione di un asset esposto e produzione del codice per attaccarlo.

Il secondo è Kimsuky, che ha usato LLM per comprendere meglio le vulnerabilità riportate pubblicamente. Il pattern qui è complementare rispetto ad APT28: non la generazione di codice, ma la comprensione accelerata dei bollettini di sicurezza e dei CVE. Un gruppo che interroga database tecnici per mappare i servizi esposti di un target trae enorme vantaggio dal poter interpretare rapidamente quali vulnerabilità note si applicano a quelle versioni software, colmando eventuali gap di competenza tecnica.

Il tratto comune ai due attori è significativo: entrambi usano la ricognizione in database aperti come input per un processo potenziato dall'intelligenza artificiale. È l'anello che collega la fase passiva — invisibile alla vittima — con la fase attiva di sfruttamento. Un difensore che ragiona in termini di threat intelligence dovrebbe assumere che, una volta esposta pubblicamente una vulnerabilità applicabile ai propri servizi, la finestra utile per il patching si sia ridotta rispetto ai modelli tradizionali, proprio perché la comprensione e l'armamento sono accelerati.

Sul piano dei pattern operativi, entrambi i gruppi sono attori con motivazioni statuali e obiettivi di spionaggio, il che rende la ricognizione tecnica una fase strutturale e non opportunistica delle loro campagne. La raccolta di informazioni su domini, certificati e servizi esposti serve a costruire operazioni mirate e persistenti.

La contromisura strategica indicata resta la riduzione della superficie informativa. Piattaforme come MISP (open source), Recorded Future (a pagamento) e Anomali (a pagamento) permettono di tracciare l'infrastruttura e le attività di questi attori, mentre il monitoraggio continuo della propria esposizione con Shodan e Censys (entrambi freemium) consente di vedere ciò che l'avversario vede. Minimizzare la quantità e la sensibilità dei dati disponibili all'esterno rimane l'unica leva realmente efficace su una tecnica che opera fuori dal perimetro.

MITRE ATT&CK: T1596 (Search Open Technical Databases), tattica TA0043 (Reconnaissance). Gruppi G0007 (APT28), G0094 (Kimsuky). Mitigazione M1056 (Pre-compromise). Detection DET0860, analytic AN1992. Tool di detection e OSINT citati: SpiderFoot, Recon-ng, subfinder, amass, Shodan, Censys, crt.sh, DomainTools, MISP. Parte dei comandi e delle procedure operative deriva da conoscenza professionale di cybersecurity, nel rispetto delle sintassi ufficiali dei rispettivi progetti.