Phishing con Link: Spearphishing Link (T1598.003)
Lo Spearphishing Link è una tecnica di raccolta informazioni classificata sotto la tattica Reconnaissance (TA0043) del framework MITRE ATT&CK. A differenza dello spearphishing finalizzato all'esecuzione di codice, qui l'obiettivo primario è indurre la vittima a cliccare un collegamento che conduce a una pagina fraudolenta progettata per sottrarre credenziali, token di sessione o altre informazioni sensibili utili nelle fasi successive dell'operazione.
La tecnica si colloca nella fase pre-compromise della kill chain: precede l'Initial Access e serve a costruire il capitale informativo che alimenterà l'intrusione vera e propria. Le pagine di destinazione replicano portali di autenticazione aziendali, servizi cloud o webmail, spesso ospitati su domini typosquatting o compromessi. L'attaccante può ricorrere a tracking pixel per profilare il destinatario, a offuscamento URL sfruttando quirk dello schema (formati esadecimali, carattere @ per nascondere il dominio reale), fino a tecniche più sofisticate come Browser-in-the-Browser (BitB) e proxy adversary-in-the-middle come Evilginx2 o EvilProxy che catturano cookie di sessione bypassando l'MFA. Una variante emergente è il quishing, con QR code che spostano il click su dispositivi mobili meno protetti.
I dati MITRE censiscono 15 gruppi APT attivi su questa tecnica, 2 software documentati e 2 mitigazioni principali, a conferma della sua natura trasversale attraverso gruppi statuali, cybercrime e hacktivismo.
In un ingaggio red team autorizzato, la simulazione di Spearphishing Link segue una catena precisa: registrazione del dominio lookalike, allestimento della landing page, invio controllato e raccolta credenziali in ambiente segregato. Tutti gli esempi che seguono presuppongono scope autorizzato per iscritto e uso di infrastruttura isolata dal traffico reale.
Per la fase di pretexting e reconnaissance sui destinatari, theHarvester (open source) resta uno standard: theHarvester -d target.tld -b bing,crtsh -l 500 estrae indirizzi email e sottodomini utili a costruire liste mirate. Maltego CE (freemium) aiuta a correlare persone, ruoli e presenza social, mentre Hunter.io (freemium) valida i pattern di naming aziendale.
Per il domain squatting, dnstwist (open source) genera permutazioni realistiche: dnstwist --registered corporate-login.com restituisce varianti già registrate e potenzialmente riusabili, oppure suggerisce candidati liberi per la simulazione. La verifica del dominio via Certificate Transparency con il client crt.sh aiuta a scegliere nomi non ancora bruciati.
Sul fronte della piattaforma di invio, GoPhish (open source) è il framework più diffuso per campagne controllate: consente di caricare template HTML, tracciare aperture e click tramite pixel univoci, e raccogliere le credenziali submitted in un database SQLite. La configurazione minima richiede ./gophish con il file config.json che espone l'admin su porta 3333 e il phishing server su 80/443. Il certificato TLS va emesso con Certbot (open source) via Let's Encrypt per aumentare la credibilità.
Per scenari AiTM che simulano furto di sessione MFA, Evilginx3 (open source) è il successore mantenuto di Evilginx2: agisce come reverse proxy trasparente verso il tenant legittimo e cattura cookie di sessione. Il comando phishlets hostname o365 login.corporate-lookalike.com seguito da phishlets enable o365 attiva il phishlet Microsoft 365. Il lure viene generato con lures create o365 e lures get-url 0. Modlishka (open source) è un'alternativa più leggera per proxy HTTP.
Per il quishing, qrencode (open source) produce QR code da riga di comando: qrencode -o lure.png "https://corporate-lookalike.com/sso". L'immagine viene poi incorporata nel corpo HTML dell'email con swaks (open source) per l'invio SMTP di test: swaks --to victim@target.tld --from hr@lookalike.com --server smtp.local --body @lure.html --header "Subject: Aggiornamento policy".
La reportistica finale deve includere click-through rate, credenziali raccolte (hash o mascherate), tempi di reazione del SOC e raccomandazioni su formazione e configurazione DMARC.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo