Ricerca WHOIS: Search Open Technical Databases: WHOIS (T1596.002)

Poiché siamo nella fase di ricognizione passiva, l'obiettivo in un ingaggio red team è simulare la raccolta WHOIS in modo lab-safe, senza toccare i sistemi del bersaglio. Il punto di partenza è l'utility a riga di comando presente su quasi ogni distribuzione Linux e macOS.

Un'interrogazione base si ottiene con:

whois example.com

Su Windows il comando nativo non esiste, ma Sysinternals fornisce whois.exe (gratuito): whois.exe example.com. Per estrarre solo i campi utili come nameserver o registrar si incatena l'output con grep:

whois example.com | grep -iE "Name Server|Registrar|Creation Date"

Per i blocchi IP e gli ASN l'interrogazione va indirizzata al RIR competente. Con whois -h whois.arin.net si risale al blocco allocato e all'organizzazione proprietaria, informazione preziosa per delimitare il perimetro di scansione successivo.

L'automazione OSINT accelera enormemente questa fase. Alcuni tool reali da laboratorio:

• Recon-ng (open source): framework modulare in stile Metasploit per la ricognizione, con moduli dedicati a WHOIS e correlazione contatti.
• theHarvester (open source): raccoglie domini, sottodomini ed email da fonti pubbliche.
• SpiderFoot (open source, con tier cloud a pagamento): orchestra decine di fonti, WHOIS incluso, generando grafi di relazione.
• Amass del progetto OWASP (open source): mappa la superficie DNS e incrocia dati WHOIS storici.

Un flusso tipico incatena le fasi così: si parte dal dominio primario, si estraggono i contatti amministrativi e i nameserver via WHOIS, si cercano altri domini registrati con la stessa email o dallo stesso registrant (reverse WHOIS, offerto in tier freemium da servizi come DomainTools), quindi si passa all'enumerazione DNS e alla scansione attiva solo sugli asset autorizzati dallo scope.

Per il WHOIS storico, utile a ricostruire cambi di registrant o infrastruttura dismessa, si ricorre a piattaforme come DomainTools (freemium/a pagamento) o WhoisXML API (freemium). In un contesto di laboratorio è buona prassi limitare le query per non incappare nel rate limiting dei server RIR e documentare ogni fonte consultata nel report d'ingaggio.

Ricorda che l'intero esercizio è progettato per essere invisibile al difensore: nessun pacchetto raggiunge il bersaglio, e questo è esattamente ciò che rende la tecnica tanto efficace quanto difficile da rilevare.

Il dato più importante per un analista SOC è anche il più scomodo: l'interrogazione WHOIS non è rilevabile direttamente. Le query partono da server RIR esterni, non attraversano il perimetro aziendale e non generano log sui sistemi difensivi. La stessa detection di riferimento (AN1964) lo esplicita, segnalando volume elevatissimo, tasso di falsi positivi ingestibile e attività fuori dalla visibilità dell'organizzazione bersaglio.

La strategia corretta, quindi, è spostare la detection sulle fasi successive in cui l'infrastruttura profilata viene effettivamente usata. Se un attaccante ha estratto dal WHOIS i vostri blocchi IP e i servizi esposti, il segnale osservabile arriverà come Active Scanning contro quei range o come tentativo di accesso a servizi remoti. Ha quindi senso correlare questi due momenti.

Le fonti di log su cui puntare l'attenzione sono principalmente perimetrali:

• Log di firewall e IDS/IPS per scansioni anomale contro gli IP citati nei record WHOIS.
• Log dei reverse proxy e dei web server per pattern di enumerazione.
• Log DNS aziendali per query verso domini lookalike che imitano il vostro brand.
• Log di posta per campagne di phishing indirizzate ai contatti amministrativi esposti nel WHOIS.

Un indicatore comportamentale prezioso è la registrazione di domini simili al vostro: piattaforme di monitoraggio come DomainTools o RiskIQ (a pagamento) e servizi di Certificate Transparency (crt.sh, gratuito) permettono di intercettare domini typosquatting appena emessi, spesso precursori di phishing basato sui contatti WHOIS.

Sul fronte dei controlli preventivi, la mitigazione M1056 indica la direzione. Abilitare la WHOIS privacy protection riduce drasticamente l'esposizione dei contatti; attivare DNSSEC irrigidisce l'integrità della zona; usare piattaforme di monitoraggio della superficie esterna come Shodan e Censys (freemium) consente di vedere ciò che l'attaccante vede. Sul piano delle email, l'applicazione rigorosa di SPF, DKIM e DMARC limita l'efficacia dello spoofing verso gli indirizzi ricavati dal WHOIS.

Infine, l'integrazione di threat intelligence in una piattaforma come MISP (open source) o Anomali (a pagamento) aiuta a correlare gli IP e i domini della vostra organizzazione con infrastrutture avversarie note, trasformando un evento non rilevabile in un contesto azionabile a valle. La consapevolezza del personale sui contatti pubblicati resta il controllo più economico ed efficace.

Dal punto di vista forense, la ricognizione WHOIS pone una sfida strutturale: non lascia artefatti sull'endpoint del bersaglio. Nessun file, nessun processo, nessuna chiave di registro si crea sui sistemi aziendali quando un attaccante interroga un registro esterno. L'analisi deve quindi orientarsi verso fonti esterne e verso gli artefatti che emergono soltanto dopo il contatto con l'infrastruttura malevola.

La prima categoria di prove è documentale e vive fuori dall'azienda. Il WHOIS storico consente di ricostruire quando un dominio d'attacco è stato registrato, quali contatti e registrar sono stati usati e se condivide registrant con altri domini malevoli. Servizi come DomainTools o WhoisXML API (freemium/a pagamento) conservano snapshot temporali utili a datare la preparazione dell'attacco. Il passive DNS correla domini e IP nel tempo, mentre i log di Certificate Transparency (crt.sh, gratuito) rivelano quando è stato emesso un certificato per un dominio lookalike, spesso il primo indizio databile di un'infrastruttura ostile.

Quando l'attaccante passa dalla ricognizione all'azione, iniziano invece a comparire artefatti endpoint tradizionali. Su Windows si esaminano gli indicatori di Initial Access o phishing conseguente: cronologia dei browser, cache DNS interrogabile con ipconfig /displaydns, gli eventi di connessione di rete in Microsoft-Windows-Sysmon/Operational (EventID 3, richiede Sysmon installato) e i log di posta. Su Linux le connessioni verso l'infrastruttura profilata restano in /var/log/syslog, nei log del resolver e, se strumentato, in Sysmon for Linux (open source).

La costruzione della timeline diventa l'attività centrale: si allinea la data di registrazione del dominio ricavata dal WHOIS storico con l'emissione del certificato TLS, con la prima risoluzione DNS osservata nel passive DNS e infine con il primo contatto registrato sui log aziendali. Questa sequenza trasforma un'attività invisibile in una catena temporale coerente che collega la fase di profilazione all'esecuzione.

Strumenti come Plaso/log2timeline (open source) aggregano gli artefatti endpoint in una super-timeline, mentre Maltego (freemium) è utile per visualizzare graficamente le relazioni tra domini, IP e contatti emersi dal WHOIS. In assenza di gruppi o campagne formalmente mappati a questa sotto-tecnica, l'analista deve trattare ogni correlazione WHOIS come un tassello ricostruttivo, non come prova autonoma di compromissione.

I dati di riferimento per questa sotto-tecnica non riportano alcun gruppo APT, software o campagna formalmente associato: zero attribuzioni su tutti i fronti. Per un Threat Intelligence Officer questa assenza non è un vuoto casuale, ma il riflesso di una caratteristica intrinseca della ricognizione WHOIS. Trattandosi di attività passiva condotta su registri pubblici esterni, non genera telemetria attribuibile e raramente viene documentata come fase distinta nei report d'incidente, anche quando è quasi certamente avvenuta a monte.

È intellettualmente onesto dichiararlo: non esistono, nei dati forniti, profili di attori, pattern geografici, sovrapposizioni di tool o campagne codificate da poter descrivere per questa tecnica. Forzare attribuzioni significherebbe inventare, e la disciplina dell'intelligence si regge sul principio opposto.

Questo non rende la tecnica irrilevante per la produzione di intelligence, anzi. La ricognizione WHOIS è un precursore trasversale: praticamente qualunque avversario strutturato la impiega implicitamente prima di acquisire infrastruttura, condurre scansioni attive o lanciare phishing mirato. Il valore analitico sta quindi nel trattarla come un tassello di correlazione infrastrutturale più che come firma di un singolo attore.

Sul piano operativo, un programma di CTI può ribaltare la prospettiva e usare gli stessi dati WHOIS in chiave difensiva. Monitorare le registrazioni di domini che imitano il proprio brand, incrociare registrant e nameserver ricorrenti tra domini malevoli noti, e mantenere una libreria di indicatori infrastrutturali sono attività che trasformano un dato pubblico in early warning. Piattaforme come MISP (open source), Recorded Future (a pagamento) e Anomali (a pagamento) permettono di tracciare l'evoluzione di questi cluster infrastrutturali e di attribuirli, quando emergono pattern stabili, a famiglie di attività ricorrenti.

Il trend di fondo che l'analista deve comunicare al CISO è duplice. Da un lato, l'adozione crescente della WHOIS privacy protection e delle normative sulla protezione dei dati ha ridotto la ricchezza dei record pubblici, spingendo gli attaccanti verso il WHOIS storico e le fonti aggregate. Dall'altro, proprio questa migrazione rende il WHOIS storico e il passive DNS le fonti di correlazione più preziose per ricostruire la preparazione avversaria. La raccomandazione strategica è investire in monitoraggio della superficie esterna e in threat intelligence infrastrutturale, colmando così il vuoto attribuivo con capacità proattive di correlazione.

MITRE ATT&CK: T1596.002 (Search Open Technical Databases: WHOIS), tattica TA0043 Reconnaissance, mitigazione M1056 (Pre-compromise), detection DET0832 e analytic AN1964. Nessun gruppo, software o campagna mappati nei dati forniti. Tool di detection e verifica citati: Sysmon e Sysmon for Linux, Recon-ng, SpiderFoot, theHarvester, OWASP Amass, MISP, Shodan, Censys, crt.sh, Plaso, Maltego. Per comandi, tool e procedure operative è stata integrata conoscenza professionale di cybersecurity nel rispetto delle regole editoriali.