Ricerca su Siti e Domini Pubblici: Search Open Websites/Domains (T1593)

Trattandosi di una tecnica pre-compromise, l'obiettivo in un esercizio red team è simulare la fase OSINT con strumenti lab-safe, documentando ogni fonte per il report finale senza toccare l'infrastruttura del cliente.

Il punto di partenza è l'enumerazione di sottodomini e asset esposti. Strumenti come Amass (open source) e Subfinder (open source) aggregano dati da fonti passive senza inviare traffico diretto al target:

amass enum -passive -d dominio-target.tld

subfinder -d dominio-target.tld -silent

Per profilare persone e ruoli, theHarvester (open source) raccoglie email, nomi e host da motori di ricerca pubblici:

theHarvester -d dominio-target.tld -b all

La mappatura dei dipendenti su piattaforme professionali si automatizza con linkedin2username (open source), utile a derivare convenzioni di naming delle caselle email da usare poi in scenari di spearphishing simulato. Per la ricerca mirata su siti indicizzati, i Google dork restano fondamentali: operatori come site:, filetype:pdf, intitle: ed inurl: espongono documenti, portali di login e file di configurazione pubblicati per errore.

Un framework di orchestrazione come SpiderFoot (freemium) o Maltego (freemium) correla i risultati in grafi di relazioni, evidenziando i pivot più promettenti tra persone, domini e tecnologie.

La catena d'attacco che i dati MITRE suggeriscono ricalca comportamenti reali. Sandworm Team ha interrogato registri di entità legali (i numeri EDRPOU ucraini) e studiato siti di terze parti per costruire email di spearphishing credibili. APT-C-36 ha raccolto informazioni su istituti finanziari colombiani per replicarne le pagine di login. Mustang Panda e Star Blizzard hanno impiegato ricerca open-source per confezionare esche su misura.

Particolarmente istruttivo per l'operatore è il comportamento di Contagious Interview, che ha consultato repository pubblici di indicatori di compromissione come VirusTotal e MalTrail per valutare la propria esposizione: una lezione di OPSEC applicabile anche al red team, che dovrebbe verificare quanto i propri artefatti risultino già catalogati.

Regola operativa: mantenere la ricognizione entro lo scope autorizzato, prediligere fonti passive e conservare screenshot e query eseguite come evidenza riproducibile.

La detection diretta di questa tecnica è, per ammissione degli stessi dati MITRE, estremamente ardua. La detection AN1988 classifica l'attività come ad altissima frequenza e con elevato tasso di falsi positivi, spesso svolta fuori dalla visibilità dell'organizzazione bersaglio. Nessun log endpoint o di rete cattura una ricerca su Google o la consultazione di un profilo LinkedIn condotta dall'esterno.

La strategia difensiva si sposta quindi su due piani: la detection indiretta delle fasi successive e i controlli preventivi sull'esposizione informativa.

Sul primo fronte, l'attenzione va concentrata sui segnali che emergono quando la ricognizione si traduce in azione. Un picco anomalo di email di spearphishing altamente personalizzate — con riferimenti a progetti interni, nomi corretti di manager o dettagli su appalti — è spesso il primo indizio osservabile che un lavoro di OSINT ha avuto luogo. I log del gateway di posta e le piattaforme di email security diventano la principale fonte di rilevamento a valle.

Utile anche il monitoraggio del traffico web in ingresso verso portali pubblici aziendali: accessi ripetuti a pagine di carriera, sezioni appalti o directory del personale da singoli intervalli di indirizzi possono indicare enumerazione, benché il rumore di fondo sia elevato.

Sul fronte preventivo entra la mitigazione M1047 (Audit). La raccomandazione operativa è scansionare i repository di codice pubblici alla ricerca di credenziali o informazioni sensibili esposte prima di ogni commit, rimuovendo eventuali segreti trapelati dall'intera storia dei commit e non solo dall'ultima versione. Strumenti come TruffleHog (open source) e Gitleaks (open source) automatizzano questa verifica e possono essere integrati in pipeline CI/CD.

La mitigazione M1013 (Application Developer Guidance) completa il quadro: chi pubblica codice su repository pubblici deve evitare di esporre chiavi API e credenziali. Il SOC può collaborare con lo sviluppo integrando static code analysis e strumenti di DAST come OWASP ZAP (open source) o Burp Suite (freemium) per ridurre la superficie informativa sfruttabile.

Dal lato threat hunting, ha senso costruire alert che correlino segnali deboli: registrazione di domini simili al proprio (typosquatting), comparsa di pagine clone come nel caso finanziario di APT-C-36, e menzioni dell'organizzazione in fonti di threat intelligence. Il monitoraggio del brand e dei domini lookalike diventa così un controllo di detection efficace laddove la telemetria interna tace.

L'analisi forense di una tecnica di ricognizione passiva richiede un cambio di prospettiva: gli artefatti non risiedono sugli endpoint della vittima durante la fase di ricerca, perché l'attività avviene su infrastrutture di terzi. Il forense lavora quindi in modo retrospettivo, ricostruendo cosa l'attaccante ha potuto vedere e collegando le fonti esterne agli artefatti che compaiono dopo il contatto malevolo.

Le fonti esterne sono il primo terreno di indagine. Il WHOIS storico e i dati di passive DNS aiutano a datare la registrazione di domini lookalike usati in fasi successive, mentre i log di Certificate Transparency — consultabili attraverso database pubblici come quello di crt.sh — rivelano certificati emessi per domini clone, particolarmente rilevanti nel caso delle pagine di phishing bancarie attribuite ad APT-C-36. Questi elementi permettono di stabilire una timeline plausibile della preparazione dell'attacco.

Sul versante endpoint, gli artefatti utili emergono quando la ricognizione si concretizza. L'analisi di un'email di spearphishing conservata nel mailbox della vittima consente di dedurre quali informazioni pubbliche siano state sfruttate: intestazioni, contenuti personalizzati e allegati weaponizzati raccontano il livello di profilazione raggiunto. Nei dati MITRE, sia Sandworm Team sia Mustang Panda hanno costruito esche a partire da materiale open-source, quindi l'esca stessa diventa evidenza del lavoro di OSINT a monte.

La ricostruzione della timeline si appoggia agli artefatti classici del browser e del sistema una volta avvenuto il contatto: cronologia e cache che documentano visite a pagine clone, artefatti di download degli allegati e, su Windows, prefetch e shellbag utili a datare l'esecuzione del payload consegnato via phishing.

Un filone specifico riguarda l'esposizione informativa dell'organizzazione. Analizzando i repository di codice pubblici con strumenti come Gitleaks (open source) o TruffleHog (open source) sull'intera storia dei commit, il forense verifica se credenziali o chiavi API trapelate abbiano fornito il punto d'appoggio iniziale, allineandosi alla mitigazione M1047.

Infine, il comportamento di Contagious Interview — che ha interrogato repository pubblici di IOC come VirusTotal e MalTrail per misurare la propria esposizione — suggerisce al forense di controllare se gli indicatori dell'incidente fossero già catalogati in tali fonti, elemento che aiuta a stimare da quanto tempo l'infrastruttura avversaria fosse nota e a correlare l'attività con campagne più ampie.

I dati MITRE associano questa tecnica a 6 gruppi dai profili geografici e motivazionali eterogenei, un segnale che la ricognizione su fonti aperte è un denominatore comune trasversale a tutto lo spettro degli attori statuali e criminali.

Sandworm Team (G0034) rappresenta il caso più documentato di ricognizione mirata a supporto di un'operazione distruttiva. Il gruppo ha interrogato il registro ucraino degli identificativi legali (i numeri EDRPOU) in preparazione dell'attacco NotPetya, e ha studiato siti di terze parti per confezionare email di spearphishing credibili. Qui l'OSINT non è fine a sé stesso ma tassello di una kill chain con impatto strategico.

APT-C-36 (G0099) mostra un pattern a matrice finanziaria e geografica ben definita: ha raccolto informazioni su istituti bancari colombiani — tra cui Bancolombia, BBVA, Banco Caja Social e Davivienda — per replicarne le pagine di login. L'obiettivo regionale sudamericano e la finalità di frode ne fanno un profilo distinto dagli attori di spionaggio.

Mustang Panda (G0129) e Star Blizzard (G1033) condividono un uso maturo della ricerca open-source per identificare informazioni sulle vittime da riversare in esche e allegati weaponizzati. Entrambi orientati allo spionaggio, dimostrano come la personalizzazione delle lure sia il vero moltiplicatore di efficacia del phishing.

Volt Typhoon (G1017) conferma il valore della ricognizione web pre-compromise all'interno di operazioni note per il forte accento sulla persistenza silenziosa e sul living-off-the-land. La raccolta preventiva di informazioni sulle vittime si integra con un approccio a bassa rilevabilità.

Particolarmente interessante sul piano dell'OPSEC avversaria è Contagious Interview (G1052), che ha rovesciato la logica della ricognizione applicandola a sé stesso: ha consultato repository pubblici di indicatori di compromissione come VirusTotal e MalTrail per determinare il proprio grado di esposizione. È un pattern che segnala attori attenti a valutare quanto i propri artefatti siano già bruciati prima di rilanciare una campagna.

Il trend che emerge è chiaro: la ricognizione su siti e domini aperti è un abilitatore universale, praticato tanto dagli attori distruttivi quanto dai gruppi di frode e spionaggio. Per un analista di intelligence il valore predittivo sta nel monitorare le fonti che questi gruppi consultano — registri legali, portali finanziari, repository di codice e database di IOC — perché anticipano quasi sempre le fasi di weaponization e Initial Access.

MITRE ATT&CK: tecnica T1593 (Search Open Websites/Domains), tattica TA0043. Gruppi G0034, G0099, G0129, G1017, G1033, G1052. Mitigazioni M1013, M1047. Detection DET0856 (AN1988). Per comandi e tool operativi (Amass, Subfinder, theHarvester, SpiderFoot, Maltego, Gitleaks, TruffleHog, OWASP ZAP, Burp Suite) è stata usata conoscenza professionale di cybersecurity basata su documentazione e repository ufficiali dei rispettivi progetti.