Ricerca sui Siti della Vittima: Search Victim-Owned Websites (T1594)

In un ingaggio red team questa tecnica rappresenta la fase di footprinting passivo e semi-attivo sul perimetro web del cliente, da eseguire sempre entro il perimetro d'autorizzazione (scope) definito nel contratto. L'obiettivo è mappare superficie, contenuti e persone senza toccare sistemi fuori scope.

Si parte dalla raccolta manuale: leggere le pagine Chi siamo, Contatti e le sezioni carriere per estrarre nomi, ruoli e schemi di indirizzi e-mail. Un framework OSINT modulare come Recon-ng (open source) o SpiderFoot (open source) automatizza la correlazione di domini, e-mail e persone.

Per il contenuto del sito, i file robots.txt e sitemap.xml rivelano spesso percorsi non linkati. La scoperta di directory e file nascosti (Wordlist Scanning) si effettua con:

• gobuster dir -u https://target -w /usr/share/wordlists/dirb/common.txt — Gobuster (open source) per il brute-force di percorsi
• feroxbuster -u https://target -w wordlist.txt — feroxbuster (open source), ricorsivo
• ffuf -u https://target/FUZZ -w wordlist.txt — ffuf (open source), fuzzing veloce

Per inventariare tecnologie e struttura, whatweb target di WhatWeb (open source) e il crawler di Katana (open source) tramite katana -u https://target raccolgono endpoint e parametri.

Seguendo il pattern di alcuni gruppi che sfruttano i moduli di contatto, il red team può verificare — se autorizzato — se i contact form consentano l'invio di link o allegati che raggiungono caselle interne, utile per validare il rischio di phishing tramite canali legittimi del sito. Questo replica il modus operandi osservato in EXOTIC LILY e TA578, che hanno usato i moduli di contatto delle vittime per veicolare e-mail malevole.

Per estrarre informazioni destinate a pagine di phishing clonate — come fanno gli attori di Silent Librarian, che raccolgono codice sorgente, branding e recapiti — si può scaricare l'aspetto del sito con wget --mirror --page-requisites target (wget, open source) in ambiente di laboratorio isolato.

Infine, per la ricognizione su risorse interne raggiungibili solo dopo un pivot — come nelle campagne che enumerano web application compromesse per trovare endpoint aggiuntivi — un proxy come Burp Suite (freemium) mappa la sitemap applicativa passivamente durante la navigazione autenticata. Documenta ogni richiesta con user-agent identificabile e limita il rate per non generare impatto: l'etica del test impone di simulare l'avversario, non di degradare il servizio.

Il monitoraggio di questa tecnica è intrinsecamente difficile perché l'attività avviene su risorse pubbliche e, nella sua forma passiva, non genera log distinguibili dal traffico legittimo. La detection efficace si concentra sui segnali comportamentali nei log applicativi del web server, l'unica sorgente rilevante (Application Log) indicata dal rilevamento AN1942 di MITRE.

Il pattern più utile è l'anomalia di volume e ritmo: successioni rapide di richieste tipiche del web crawling, oppure grandi quantità di richieste provenienti da una singola sorgente, specie se l'IP è già noto come associato ad attività avversaria. Un enumeratore di directory produce centinaia o migliaia di risposte 404 in pochi secondi verso percorsi inesistenti: un alert sul tasso di 404 per sorgente/minuto intercetta la maggior parte dei tool di Wordlist Scanning.

Analizzare i metadati HTTP arricchisce la detection. I campi user-agent e referer rivelano artefatti attribuibili ad attività sospetta: user-agent di default di Gobuster, ffuf o librerie di scripting, header assenti o incoerenti, richieste dirette a robots.txt seguite dall'esplorazione sistematica dei path in esso elencati.

Alcune query da implementare nel SIEM:

• Conteggio di risposte 404/403 raggruppate per IP sorgente su finestre di 1-5 minuti, con soglia dinamica
• Correlazione tra accesso a robots.txt/sitemap.xml e successiva navigazione delle directory citate
• Rilevamento di user-agent noti di tool di scanning o di stringhe vuote/anomale
• Picchi di invii dai contact form, utile contro il pattern di EXOTIC LILY e TA578

Sul fronte preventivo, la mitigazione M1056 (Pre-compromise) raccomanda di ridurre la superficie informativa: auditare e sanificare periodicamente i dati pubblicati, monitorare la propria attack surface esterna con Shodan (freemium) e Censys (freemium), e presidiare la reputazione del dominio contro lookalike con servizi come DomainTools (a pagamento). Un WAF davanti alle applicazioni può applicare rate-limiting e bloccare pattern di scansione automatizzata.

I falsi positivi sono la sfida principale: crawler legittimi di motori di ricerca, uptime monitor, scanner di sicurezza interni e bot di indicizzazione generano traffico simile. Occorre mantenere allowlist di user-agent e IP verificati (validando i crawler tramite reverse DNS) e calibrare le soglie sul traffico baseline del sito. La ricognizione condotta via connessioni proxied, come nella campagna Cutting Edge su siti interni, rende ancora più prezioso il monitoraggio dei web server interni oltre a quelli esposti.

Dal punto di vista forense, questa tecnica lascia tracce quasi esclusivamente esterne all'endpoint, perché l'attività si svolge prima di qualsiasi compromissione. La ricostruzione della timeline parte quindi dai log del web server e da fonti OSINT storiche, integrando eventuali artefatti endpoint solo nelle fasi successive, quando la ricognizione si è tradotta in accesso.

Le access log del web server (Apache, Nginx, IIS) sono l'artefatto primario. Da esse si estraggono IP sorgente, timestamp, user-agent, referer, path richiesti e codici di risposta. Una sequenza forense tipica mostra l'accesso a robots.txt e sitemap.xml, seguito dall'enumerazione metodica di directory con raffiche di 404, e infine dall'accesso mirato alle risorse effettivamente esistenti. Ricostruendo questa cronologia si distingue la fase di scoperta da quella di raccolta puntuale.

Utili anche i log di eventuali WAF e reverse proxy, che conservano decisioni di blocco e fingerprint dei client, e i log applicativi dei contact form, dove restano tracce degli invii automatizzati — rilevanti per attribuire attività al modus operandi di EXOTIC LILY e TA578, che hanno abusato dei moduli di contatto.

Per la porzione passiva, non osservabile nei log, l'analista ricorre a fonti esterne: la cronologia WHOIS, i registri Passive DNS e i Certificate Transparency logs (consultabili sul database di crt.sh, gratuito) aiutano a correlare l'infrastruttura avversaria e a datare l'interesse verso il bersaglio. Snapshot storici del sito, ottenibili da archivi web pubblici, permettono di verificare quali informazioni sensibili fossero esposte al momento della ricognizione — dettaglio chiave quando gli attori clonano branding e codice sorgente per pagine di phishing, come documentato per Silent Librarian.

Nelle campagne in cui la ricognizione riguarda risorse interne occorre estendere l'analisi ai web server non esposti. In Cutting Edge gli attori hanno esplorato siti interni tramite connessioni proxied dopo aver sfruttato appliance VPN Ivanti Connect Secure: qui la timeline correla l'accesso VPN anomalo con la successiva navigazione interna. In Leviathan Australian Intrusions l'enumerazione ha mirato a risorse di web application già compromesse per individuare endpoint aggiuntivi, mentre in APT41 DUST l'accesso a siti esterni serviva allo sviluppo del bersaglio.

La correlazione tra IP, user-agent ricorrenti e finestre temporali consente di collegare la ricognizione alle fasi successive e di ancorare l'inizio della campagna a una data precisa, elemento fondante per l'attribuzione.

L'analisi d'intelligence su questa tecnica evidenzia come la ricognizione dei siti della vittima sia una prassi comune a gruppi con motivazioni e origini molto diverse, dallo spionaggio statale al cybercrime a supporto del ransomware.

Sandworm Team (G0034) ha condotto ricerche sui potenziali siti bersaglio come parte della propria pianificazione operativa, integrando questa fase in un ciclo d'attacco più ampio. Kimsuky (G0094) ha cercato informazioni sul sito dell'azienda target, coerentemente con il suo profilo di raccolta informativa. Volt Typhoon (G1017) ha svolto ricognizione pre-compromise sui siti di proprietà delle vittime, in linea con un approccio prudente e orientato al living-off-the-land.

Un secondo cluster si distingue per l'uso creativo delle funzionalità del sito stesso. Silent Librarian (G0122) ha esaminato i siti per identificare interessi e aree accademiche dei bersagli, e ha raccolto codice sorgente, branding e recapiti organizzativi per costruire pagine di phishing credibili — un pattern che collega direttamente la ricognizione all'ingegneria sociale. EXOTIC LILY (G1011) e TA578 (G1038) condividono un modus operandi peculiare: entrambi hanno compilato i moduli di contatto dei siti delle vittime, il primo per generare e-mail di phishing, il secondo per dirigere i destinatari verso URL controllati dall'avversario. Questa sovrapposizione di tradecraft, pur senza implicare legami diretti, indica una tendenza condivisa nell'abuso dei canali legittimi del sito.

Sul piano delle campagne emergono pattern geografici e settoriali significativi. Cutting Edge (C0029), attribuita ad attori sospetti di nexus cinese identificati come UNC5221/UTA0178 e UNC5325, ha colpito la base industriale della difesa statunitense e settori globali quali telecomunicazioni, finanza, aerospazio e tecnologia, sfruttando zero-day su appliance Ivanti Connect Secure e ricognizione dei siti interni via connessioni proxied. APT41 DUST (C0040), condotta da APT41 contro entità in Europa, Asia e Medio Oriente nei settori shipping, logistica e media, ha usato l'accesso a siti esterni per lo sviluppo dei bersagli, combinando malware noti come DUSTPAN con strumenti nuovi come DUSTTRAP. Leviathan Australian Intrusions (C0049), attribuita a Leviathan, ha enumerato risorse di web application compromesse in Australia per individuare endpoint aggiuntivi, con l'obiettivo finale di esfiltrare credenziali valide.

Il trend complessivo mostra un forte orientamento verso attori di spionaggio statale asiatici e verso la convergenza tra ricognizione web e phishing come vettore d'accesso iniziale.

MITRE ATT&CK: tecnica T1594 (Search Victim-Owned Websites), tattica TA0043. Gruppi G0034, G0094, G0122, G1011, G1017, G1038. Campagne C0029 (Cutting Edge), C0040 (APT41 DUST), C0049 (Leviathan Australian Intrusions). Mitigazione M1056; rilevamento DET0810 / AN1942. Per comandi e tool difensivi (Gobuster, feroxbuster, ffuf, Recon-ng, SpiderFoot, WhatWeb, Katana, Burp Suite, Shodan, Censys, DomainTools) è stata usata conoscenza professionale di cybersecurity basata su documentazione ufficiale e repository pubblici.