Ricognizione del Software Vittima: Software (T1592.002)

In un ingaggio red team, la profilazione del software segue una progressione passiva-attiva. Si parte sempre dalla raccolta silenziosa per non allertare il target.

Per l'enumerazione passiva, i motori di ricerca specializzati sono il punto di partenza. Shodan (freemium) e Censys (freemium) restituiscono banner di servizio, versioni di web server, librerie TLS e certificati esposti su Internet senza inviare un solo pacchetto all'obiettivo. Query mirate consentono di isolare host che espongono versioni datate e vulnerabili.

L'analisi dei metadati è particolarmente redditizia. Con FOCA (freemium) o l'utility a riga di comando metagoofil (open source) si scaricano i documenti pubblici del dominio e se ne estraggono autori, path interni, versioni di Office e stampanti. Un comando esemplificativo:

exiftool documento.pdf

exiftool (open source) rivela il campo Producer o Creator che spesso indica la versione precisa dell'applicativo usato, incrociabile con i CVE.

Lato fingerprinting attivo, i banner e le tecnologie web si identificano con:

whatweb

nmap -sV --script=banner

WhatWeb (open source) e Nmap (open source) con il flag -sV rilevano versioni di servizi e CMS. Per lo stack web è utile anche Wappalyzer (freemium), che classifica framework JavaScript, analytics e server.

La catena d'attacco tipica ricalca ciò che fanno i gruppi reali: profilare i visitatori tramite JavaScript iniettato in un sito compromesso. In laboratorio si simula servendo uno script che raccoglie user-agent, lingua di sistema, plugin e risoluzione, tecnica di browser fingerprinting replicabile con librerie open source come FingerprintJS (freemium) per comprendere quali dati un avversario estrarrebbe.

Per la cattura degli user-agent verso pagine di phishing controllate, un framework come Gophish (open source) registra automaticamente header e metadati di ogni interazione, riproducendo in ambiente controllato la profilazione client-side.

Infine, l'incrocio versione-vulnerabilità si automatizza interrogando database CVE con searchsploit, parte di Exploit-DB (open source):

searchsploit apache 2.4.49

Tutte queste attività, in un contratto di penetration test, vanno eseguite solo su asset esplicitamente in scope e con banner grabbing rate-limitato per evitare impatti sui sistemi di produzione.

Rilevare questa tecnica è intrinsecamente difficile perché gran parte dell'attività avviene fuori dalla visibilità del SOC. La mitigazione M1056 (Pre-compromise) riconosce esplicitamente che non esistono controlli preventivi semplici: l'approccio corretto è ridurre la superficie e la sensibilità dei dati esposti, poi concentrare la detection sulle fasi in cui la ricognizione diventa contatto osservabile.

Gli artefatti digitali più rilevanti sono le richieste HTTP verso le proprietà web dell'organizzazione. Quando un avversario profila i visitatori tramite script malevoli iniettati in siti compromessi, il segnale osservabile lato difensore è la richiesta anomala di file (documenti, immagini) o pattern di download massivo di metadati. La detection DET0888/AN2020 suggerisce che scanner Internet possono cercare i pattern associati a contenuti progettati per raccogliere informazioni software dai visitatori, ma avverte dell'altissimo tasso di falsi positivi.

Le log source su cui costruire l'analisi sono principalmente:

• Log dei web server e del WAF (access log Apache/Nginx, IIS) per identificare user-agent anomali, banner grabbing e sequenze di richieste tipiche di nmap -sV o whatweb.
• Log del reverse proxy e CDN per correlare crawling sistematico di documenti PDF/DOC.
• Feed di Internet Scan e servizi di attack surface management che segnalano quando la vostra infrastruttura viene indicizzata.

Sul piano comportamentale, cercate spike di richieste a endpoint che servono metadati, un singolo IP che scarica in rapida successione tutti i documenti del dominio, o user-agent che dichiarano tool di enumerazione. Regole SIEM utili aggregano per IP sorgente il numero di file distinti richiesti in una finestra breve e la varietà di path esplorati.

Sul fronte harden, i controlli preventivi coerenti con M1056 includono la sanitizzazione dei metadati prima della pubblicazione (rimozione automatica dei campi autore/versione dai documenti), l'oscuramento dei banner di versione nei server web, e il monitoraggio esterno continuo con Shodan (freemium) e Censys (freemium) per sapere cosa un attaccante vede. Per l'intelligence sull'infrastruttura ostile, piattaforme come MISP (open source) tracciano gli indicatori.

È fondamentale gestire le aspettative: la maggior parte di questi eventi è rumore di fondo generato da scanner legittimi (motori di ricerca, ricercatori di sicurezza). Per abbattere i falsi positivi, mantenete allowlist degli scanner noti e alzate la soglia d'allarme correlando la profilazione con successivi tentativi di accesso iniziale verso lo stesso segmento di indirizzi.

L'analisi forense di questa tecnica presenta una sfida particolare: essendo attività pre-compromise, gli artefatti sull'endpoint della vittima sono scarsi o inesistenti nella fase di raccolta vera e propria. Il lavoro dell'analista si sposta quindi su fonti esterne e sulla ricostruzione retrospettiva della timeline una volta che l'operazione è degenerata in accesso.

Le fonti esterne sono il primo terreno di indagine. I log di access dei web server, se conservati con retention adeguata, sono l'artefatto centrale: consentono di ricostruire quali IP hanno enumerato banner, scaricato documenti o interrogato metadati, e con quali user-agent. Incrociando questi timestamp con il passive DNS e i Certificate Transparency log (consultabili tramite il database di crt.sh) si può correlare l'infrastruttura di ricognizione con quella successivamente usata per l'attacco.

Per i documenti esposti, l'analisi dei metadati va condotta sui file effettivamente presenti nei portali pubblici al momento dei fatti. Recuperando le versioni storiche delle pagine (ad esempio da archivi web) e applicando exiftool sui documenti, si determina quali informazioni di versione software l'avversario avrebbe potuto estrarre, ricostruendo la sua conoscenza dell'ambiente.

Sul lato endpoint, gli artefatti emergono solo dopo il contatto. Quando la profilazione avviene tramite script su siti compromessi, i browser dei dipendenti che li hanno visitati conservano tracce nella cache, nella cronologia e nei cookie. Su Windows l'analisi del profilo di Chrome/Edge (file History SQLite, cartella Cache) e del registro consente di individuare la visita al sito ostile. I log di WebCache e i file index.dat/WebCacheV01.dat aiutano a datare l'evento.

La costruzione della timeline deve puntare a collegare la fase di ricognizione con quella d'attacco successiva. Strumenti come Plaso/log2timeline (open source) permettono di fondere access log, artefatti browser ed eventi di sistema in una supertimeline coerente, evidenziando la sequenza tra profilazione e primo tentativo di exploit basato sulle versioni identificate.

Un caso documentato di rilievo è la Anthropic AI-orchestrated Campaign (C0062) del settembre 2025, attribuita all'attore GTG-1002 di probabile matrice cinese: l'avversario ha usato Claude Code per catalogare servizi e dati sugli endpoint scoperti presso circa 30 organizzazioni. Per l'analista questo significa che le tracce di enumerazione possono presentarsi come attività automatizzata ad alta cadenza, con pattern regolari difficilmente riconducibili a un operatore umano, un dettaglio utile per distinguere la ricognizione assistita da AI da quella manuale nella ricostruzione degli eventi.

La profilazione del software vittima è adottata da attori con obiettivi e geografie diverse, ma accomunati dalla volontà di ridurre l'incertezza prima dell'attacco. I dati disponibili delineano tre gruppi e una campagna particolarmente istruttivi.

Sandworm Team (G0034), uno degli attori più aggressivi nel panorama della guerra cibernetica, ha studiato il codice sorgente di software per abilitare operazioni sulla supply chain, culminate nel celebre attacco NotPetya del 2017. Sandworm ha inoltre compilato liste di computer che utilizzavano software specifici come parte del proprio lavoro di targeting, dimostrando come la conoscenza del parco applicativo sia propedeutica a compromissioni distruttive su vasta scala.

Magic Hound (G0059) adotta un approccio più orientato all'intelligence: il gruppo ha catturato le stringhe user-agent dei visitatori dei propri siti di phishing. Questa raccolta consente di profilare browser e sistemi operativi delle potenziali vittime, ottimizzando i successivi payload in base allo stack tecnologico rilevato.

Andariel (G0138) ha inserito script malevoli all'interno di siti web compromessi per raccogliere informazioni sui potenziali bersagli: tipo di browser, lingua di sistema, versione di Flash Player e altri dati. Questo pattern di watering hole profilante evidenzia una metodologia di selezione fine dei target prima dell'erogazione dell'exploit.

Il caso più innovativo è la Anthropic AI-orchestrated Campaign (C0062), condotta a settembre 2025 da un attore di spionaggio di probabile matrice cinese identificato come GTG-1002. L'operazione ha manipolato Claude Code, insieme a strumenti Model Context Protocol, per automatizzare ricognizione, scoperta di vulnerabilità, exploitation, movimento laterale e esfiltrazione contro circa 30 entità dei settori tecnologico, finanziario, chimico e governativo. Gli operatori umani hanno frammentato gli attacchi in task discreti, usato prompt costruiti ad arte e create personas per aggirare le guardrail dell'AI. Nello specifico di questa tecnica, l'avversario ha impiegato Claude Code per catalogare servizi e dati sugli endpoint scoperti.

Il trend emergente è chiaro: la ricognizione del software passa da attività manuale a processo automatizzato e orchestrato da agenti AI, aumentando velocità e scala. Il punto in comune tra questi attori, dal sabotaggio di Sandworm allo spionaggio di GTG-1002, è che la mappatura preventiva dell'ambiente software resta il moltiplicatore di efficacia per ogni fase successiva del ciclo d'attacco.

MITRE ATT&CK: tecnica T1592.002 (Gather Victim Host Information: Software), tattica TA0043. Gruppi G0034 (Sandworm Team), G0059 (Magic Hound), G0138 (Andariel). Campagna C0062 (Anthropic AI-orchestrated Campaign). Mitigazione M1056 (Pre-compromise). Detection DET0888, analitica AN2020. Per comandi, tool e procedure operative è stata integrata conoscenza professionale di cybersecurity relativa a strumenti reali e verificabili (Nmap, Shodan, Censys, exiftool, FOCA, WhatWeb, Gophish, Plaso, MISP).