Ricerca Vulnerabilità: Vulnerabilities (T1588.006)

Trattandosi di una tecnica pre-compromise in Resource Development, l'obiettivo in un esercizio red team è simulare la fase di intelligence sulle vulnerabilità in modo lab-safe, senza colpire ancora il bersaglio. Il flusso realistico parte dalla mappatura della superficie esterna, prosegue con la correlazione dei servizi esposti a CVE note e culmina nella selezione dell'exploit.

Per l'enumerazione della superficie esterna e la correlazione con versioni vulnerabili sono utili motori di ricerca specializzati:

• Shodan (freemium) e Censys (freemium) per individuare servizi esposti e versioni software mappabili a CVE.
• nuclei di ProjectDiscovery (open source) per verificare in modo template-based la presenza di falle note su asset del perimetro autorizzato: nuclei -u https://target-autorizzato -t cves/.
• nmap con gli script vulners: nmap -sV --script vulners per associare banner di versione a identificatori CVE.

Per la ricerca e selezione dell'exploit sono riferimenti standard il database Exploit-DB (gratuito), il tool searchsploit del pacchetto exploitdb (open source) — ad esempio searchsploit citrix netscaler — e il framework Metasploit (freemium) per il testing controllato in laboratorio.

Sul piano delle catene d'attacco, i gruppi reali offrono modelli replicabili. Storm-0501 ha costruito capacità per sfruttare vulnerabilità N-day su servizi pubblici come Zoho ManageEngine (CVE-2022-47966), la falla "Citrix Bleed" di Citrix NetScaler (CVE-2023-4966) e Adobe ColdFusion 2016 (CVE-2023-29300, CVE-2023-38203). In un lab, riprodurre "Citrix Bleed" significa istanziare un'appliance NetScaler vulnerabile e verificare l'estrazione di token di sessione, catena che porta poi al dirottamento di sessioni autenticate.

Volt Typhoon ha invece usato codice di exploit pubblicamente disponibile per l'accesso iniziale, un promemoria che spesso non serve un 0-day: basta un N-day su un asset non patchato. Sandworm Team ha condotto ricerca tecnica sulle vulnerabilità di siti web associati a bersagli specifici, dimostrando come la fase di intelligence preceda e indirizzi la scelta del vettore.

Per il monitoraggio OSINT delle informazioni trapelate utili al targeting si usano SpiderFoot (open source) e Recon-ng (open source). L'intero esercizio va condotto solo su asset dedicati o con esplicita autorizzazione scritta, evitando qualsiasi scansione attiva di infrastrutture non nel perimetro concordato.

La detection diretta di questa tecnica è, per ammissione dello stesso framework, estremamente difficile: l'avversario studia le vulnerabilità su database e canali esterni, ben oltre la telemetria aziendale. Il riferimento AN1940 è esplicito nel dire che l'attività si svolge fuori dalla visibilità del bersaglio. La strategia SOC vincente è quindi spostare l'attenzione sul momento in cui la conoscenza acquisita si trasforma in azione, ovvero lo sfruttamento.

Gli sforzi vanno concentrati sui comportamenti di exploitation collegati: Exploit Public-Facing Application, Exploitation for Client Execution, Exploitation for Privilege Escalation e Exploitation of Remote Services. In pratica significa monitorare i servizi esposti che compaiono nelle campagne reali. Per una falla come "Citrix Bleed", ad esempio, servono i log dell'appliance NetScaler e la correlazione di sessioni anomale con riuso da IP inconsueti.

Le log source prioritarie sono:

• Log dei web server e dei reverse proxy per pattern di richieste malformate verso endpoint vulnerabili noti.
• Log applicativi dei servizi esposti (ManageEngine, ColdFusion, gateway VPN/ADC) per errori di deserializzazione, upload sospetti o accessi post-exploit.
• Telemetria di processo endpoint (Sysmon EventCode 1 per process creation) per intercettare processi figli anomali generati da servizi web, indizio classico di sfruttamento riuscito.
• NetFlow e log firewall per connessioni in uscita inattese subito dopo il contatto con un servizio pubblico.

Un approccio comportamentale efficace è correlare la comparsa pubblica di una CVE che tocca la propria tecnologia con un'impennata di scansioni e tentativi verso quegli endpoint: la finestra tra disclosure e patch è proprio quella che l'avversario cerca di sfruttare. Un feed di threat intelligence che segnali quali CVE sono in sfruttamento attivo consente di prioritizzare gli alert.

Sul fronte preventivo, la mitigazione M1056 (Pre-compromise) raccomanda il monitoraggio continuo della superficie esterna con Shodan o Censys (freemium) e scanner di vulnerabilità per chiudere le falle prima che vengano armate. Piattaforme come MISP (open source) aiutano a tracciare infrastrutture e tool avversari, mentre l'audit periodico delle informazioni pubblicamente esposte riduce ciò che l'attaccante può correlare.

Sui falsi positivi va ricordato che le scansioni di vulnerabilità legittime — condotte dal team interno o da provider autorizzati — generano traffico indistinguibile da una ricognizione ostile. È indispensabile mantenere una allowlist degli scanner autorizzati e delle finestre di assessment pianificate per non saturare la coda di triage.

Sul piano forense questa tecnica lascia pochissime tracce sull'endpoint del bersaglio, perché la ricerca sulle vulnerabilità avviene su infrastrutture esterne all'organizzazione. Il lavoro dell'analista si concentra quindi su due fronti: le fonti esterne che documentano l'interesse dell'avversario e gli artefatti endpoint che emergono dopo il contatto con il servizio sfruttato.

Tra le fonti esterne utili a ricostruire la fase di intelligence rientrano i log di passive DNS, lo storico WHOIS e i Certificate Transparency logs, consultabili tramite il database CT di crt.sh (gratuito): possono rivelare l'infrastruttura preparata dall'attaccante attorno a una specifica tecnologia vulnerabile. Questi elementi non provano la ricerca sulla vulnerabilità in sé, ma aiutano a contestualizzare la campagna.

La timeline forense diventa concreta a valle, quando la vulnerabilità viene sfruttata. Su sistemi Windows gli artefatti chiave sono:

• I log applicativi del servizio esposto e i log IIS, dove correlare la richiesta di exploit con l'orario di prima attività anomala.
• Prefetch e Amcache per l'esecuzione di binari deployati dopo lo sfruttamento.
• Il registro di sistema e i log di sicurezza (EventCode 4624 per logon, 4688 per process creation se l'auditing è attivo) per ricostruire l'accesso iniziale.

Su Linux e sulle appliance il focus è sui log del web server (access e error log), sui file temporanei di webshell caricate e sugli artefatti di persistenza in cron o systemd. Per le appliance NetScaler colpite da "Citrix Bleed" (CVE-2023-4966) la ricostruzione richiede l'analisi dei log di sessione per identificare token estratti e sessioni dirottate.

Le campagne documentate offrono riferimenti concreti. Durante C0049 (Leviathan Australian Intrusions), tra aprile e settembre 2022, il gruppo Leviathan ha armato vulnerabilità pubblicamente note per l'accesso iniziale, per poi procedere a una cattura estensiva di credenziali e al loro riuso per escalation e movimento laterale. Per l'analista questo significa che, dopo lo sfruttamento iniziale, la timeline si arricchisce di artefatti di credential access e di autenticazioni laterali con account validi.

Anche Storm-0501, sfruttando N-day su ManageEngine, Citrix e ColdFusion, e Volt Typhoon, con exploit pubblici, lasciano firme sul servizio compromesso più che sulla fase di ricerca. La regola operativa è quindi correlare l'artefatto endpoint di sfruttamento con la CVE specifica, ricostruendo a ritroso la finestra temporale in cui l'avversario ha maturato la conoscenza della falla.

Dal punto di vista dell'intelligence, questa tecnica è un indicatore prezioso della maturità e delle intenzioni di un avversario: monitorare i database di vulnerabilità e la ricerca dei vendor segnala capacità operativa e pianificazione a lungo termine. I dati associano il comportamento a tre gruppi con profili geografici e operativi distinti.

Sandworm Team (G0034) nel 2017 ha condotto ricerca tecnica sulle vulnerabilità di siti web legati al Comitato Sportivo e Olimpico coreano, a una società elettrica coreana e a un aeroporto coreano. Il pattern è quello di un attore che allinea la ricerca sulle falle a obiettivi geopolitici precisi, selezionando bersagli critici e ad alta visibilità prima di un evento significativo.

Volt Typhoon (G1017) ha utilizzato codice di exploit pubblicamente disponibile per l'accesso iniziale. Il tratto distintivo è la scelta di N-day pubblici anziché capacità sofisticate proprietarie, coerente con un approccio orientato alla furtività e all'uso di ciò che è già disponibile per confondersi nel rumore di fondo.

Storm-0501 (G1053) si è dotato di capacità per sfruttare vulnerabilità N-day su servizi pubblici: Zoho ManageEngine (CVE-2022-47966), Citrix NetScaler "Citrix Bleed" (CVE-2023-4966) e Adobe ColdFusion 2016 (CVE-2023-29300 o CVE-2023-38203). Il ventaglio di tecnologie colpite indica un attore che mantiene un portfolio aggiornato di exploit N-day pronti da armare contro il perimetro esposto delle vittime.

A questi si aggiunge la campagna C0049 (Leviathan Australian Intrusions), condotta dal gruppo Leviathan tra aprile e settembre 2022 contro bersagli australiani. La campagna consisteva in almeno due intrusioni di lungo periodo che condividevano lo stesso tradecraft: sfruttamento di servizi esterni seguito da cattura e riuso estensivo di credenziali per abilitare escalation dei privilegi e movimento laterale, con obiettivo l'esfiltrazione di dati sensibili e credenziali valide.

Un pattern condiviso emerge con nettezza: la preferenza per lo sfruttamento di vulnerabilità note su servizi rivolti a Internet come porta d'ingresso. Sia Storm-0501 sia Volt Typhoon sia Leviathan convergono su questa scelta, che privilegia N-day e codice pubblico rispetto allo sviluppo di 0-day proprietari. Per un analista di intelligence questo si traduce in una priorità difensiva chiara: la finestra tra disclosure di una CVE e patching è il terreno di caccia condiviso da attori statuali e criminali, e il tempo di remediation è la variabile che separa la resilienza dalla compromissione.

MITRE ATT&CK: T1588.006 (Vulnerabilities), tattica TA0042. Gruppi: G0034 (Sandworm Team), G1017 (Volt Typhoon), G1053 (Storm-0501). Campagna: C0049 (Leviathan Australian Intrusions). Mitigazione: M1056 (Pre-compromise). Detection: DET0808, AN1940. CVE citate: CVE-2022-47966, CVE-2023-4966, CVE-2023-29300, CVE-2023-38203. Tool di detection e ricognizione: Shodan, Censys, nuclei, nmap, searchsploit, Metasploit, SpiderFoot, Recon-ng, MISP. Parte dei comandi e dei tool operativi deriva da conoscenza professionale di cybersecurity.