Wordlist Scanning: Wordlist Scanning (T1595.003)

In un ingaggio red team il Wordlist Scanning è una delle prime attività di mappatura della superficie web esposta. L'obiettivo è enumerare directory, file e virtual host nascosti che il crawling passivo non rivela, mantenendo l'attività lab-safe e autorizzata.

Per la web content discovery lo standard di riferimento resta GoBuster (open source), citato negli arsenali sia di APT41 che di Volatile Cedar. Una scansione di directory tipica si avvia con

gobuster dir -u https://target-lab.local -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,txt,bak

Lo stesso tool copre l'enumerazione di sottodomini DNS in modalità dns, tecnica documentata proprio per Volatile Cedar:

gobuster dns -d target-lab.local -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt

Alternative mature per lo stesso scopo sono Dirb (open source), DirBuster (open source, parte del progetto OWASP) e il più veloce feroxbuster (open source) o ffuf (open source), quest'ultimo eccellente per il fuzzing parametrico grazie al segnaposto FUZZ:

ffuf -u https://target-lab.local/FUZZ -w wordlist.txt -mc 200,301,403

La qualità dei risultati dipende dalla wordlist: il repository SecLists (open source) è la raccolta più usata per dizionari generici e specializzati. Per esercizi target-specific conviene generare wordlist personalizzate con CeWL (open source), che estrae termini direttamente dal sito della vittima:

cewl -d 2 -m 5 -w custom.txt https://target-lab.local

Sul fronte cloud, l'enumerazione di storage object segue la stessa logica. Per i bucket AWS si utilizza s3recon (open source), mentre per Google Cloud lo strumento di riferimento è GCPBucketBrute (open source), entrambi esplicitamente associati a questa tecnica. Questi tool combinano il nome dell'organizzazione con permutazioni comuni (dev, backup, prod, static) per identificare bucket pubblici o mal configurati.

La catena d'attacco tipica prevede: enumerazione directory con GoBuster, identificazione di un portale admin o di una pagina legacy, seguita da Exploit Public-Facing Application oppure da un Brute Force mirato sulle credenziali. In parallelo, l'enumerazione dei bucket può portare all'accesso diretto ai dati cloud senza necessità di compromissione dell'endpoint. In laboratorio è utile modulare la velocità con i flag di threading e delay per osservare la propria impronta sui log del target.

Trattandosi di una tecnica di ricognizione attiva condotta dall'esterno, la detection è quasi esclusivamente comportamentale e basata sull'analisi del traffico di rete. La sorgente primaria indicata dai dati (DET0868 / AN2000) è proprio il Network Traffic: bisogna monitorare grandi volumi di richieste provenienti da una singola origine, in particolare se l'IP è già associato ad adversary o botnet noti.

Il pattern rivelatore del Wordlist Scanning è l'anomalia statistica sui log HTTP. Uno scan genera in pochi secondi centinaia o migliaia di richieste verso path inesistenti, producendo un picco anomalo di risposte 404 Not Found e 403 Forbidden da un unico source IP. Utile costruire alert su una soglia di errori 4xx per IP per unità di tempo.

Le sorgenti da correlare sono:

• Access log del web server (Apache, Nginx, IIS): rapporto elevato 404/403 rispetto ai 200.
• WAF e reverse proxy (ModSecurity open source, Cloudflare, AWS WAF): firme di directory brute-forcing e rate anomali.
• Log DNS: raffiche di query verso sottodomini inesistenti (NXDOMAIN) indicano DNS subdomain brute-forcing, tecnica usata da Volatile Cedar.
• CloudTrail / GCP Audit Logs: numerose richieste ListBucket o GetObject fallite verso nomi di storage non esistenti segnalano enumerazione di bucket.

Un indicatore chiave a livello applicativo è lo User-Agent: tool come GoBuster, Dirb e feroxbuster inviano stringhe di default facilmente riconoscibili, anche se un attaccante evoluto le personalizza. La velocità delle richieste e l'assenza di header tipici di un browser reale (Referer, Accept-Language) restano segnali forti.

Sul piano preventivo, coerentemente con M1056 (Pre-compromise), si consiglia il monitoraggio della propria superficie esterna con piattaforme come Shodan (freemium) e Censys (freemium) per sapere cosa un attaccante vede, affiancati da vulnerability scanner esterni. La mitigazione M1042 riduce il rumore rimuovendo pagine legacy e servizi non necessari che uno scan cercherebbe di scoprire.

Attenzione ai falsi positivi: crawler legittimi dei motori di ricerca, scanner di vulnerabilità autorizzati, tool di uptime monitoring e bot SEO producono pattern simili. È fondamentale mantenere una allowlist degli scanner interni schedulati e degli IP dei bot verificati (verificabili via reverse DNS) prima di scatenare l'escalation, così da distinguere la ricognizione ostile dall'attività benigna.

Nell'analisi forense di un Wordlist Scanning l'artefatto centrale non risiede sull'endpoint interno ma nei log applicativi e di rete della componente esposta. La timeline di un incidente parte quasi sempre dalla ricostruzione della sequenza di richieste HTTP registrate prima della compromissione vera e propria.

Sui web server la fonte primaria sono gli access log: /var/log/apache2/access.log e /var/log/nginx/access.log su Linux, i log W3C di IIS in %SystemDrive%\inetpub\logs\LogFiles su Windows. L'analista cerca cluster temporali densi di risposte 404 e 403 da un unico IP sorgente, con incrementi sequenziali sui path richiesti che tradiscono l'iterazione su una wordlist. Il campo User-Agent aiuta a identificare il tool impiegato quando non è stato mascherato.

La correlazione con altri artefatti permette di distinguere la fase di ricognizione da quella di sfruttamento. Se dopo la raffica di 404 compaiono richieste 200 verso un path precedentemente sondato, seguite da POST anomali, si è probabilmente passati a Exploit Public-Facing Application. La ricostruzione cronologica di questa transizione è l'elemento più prezioso del report.

Per il perimetro DNS, i log del resolver e le query registrate mostrano raffiche di NXDOMAIN verso sottodomini generati algoritmicamente: è la firma del subdomain brute-forcing associato a Volatile Cedar. Anche il passive DNS e i registri storici WHOIS sono fonti esterne utili per contestualizzare l'infrastruttura dell'attaccante.

Negli ambienti cloud gli artefatti si spostano sui log di audit gestiti dal provider. In AWS CloudTrail registra eventi ListBucket e GetObject, mentre i Google Cloud Audit Logs e gli Azure Storage Analytics logs conservano traccia dei tentativi di accesso ai bucket. Una sequenza di errori AccessDenied o NoSuchBucket verso nomi permutati documenta l'enumerazione condotta con tool come s3recon o GCPBucketBrute; il successivo accesso riuscito a un bucket mal configurato segna il pivot verso Data from Cloud Storage.

Dal punto di vista degli artefatti digitali, gli elementi da preservare e mettere in timeline sono il Network Traffic aggregato, i record DNS interrogati, i nomi di dominio e i path testati, oltre agli oggetti di storage cloud toccati. Poiché lo scanning è antecedente all'accesso, la finestra temporale da acquisire deve estendersi indietro rispetto al primo indicatore di compromissione, così da catturare l'intera attività di ricognizione. È buona prassi calcolare hash e conservare copie immutabili dei log prima di qualsiasi rotazione automatica.

I dati MITRE associano il Wordlist Scanning a due attori distinti per geografia e motivazione, entrambi accomunati dall'uso di tool di web content discovery open source facilmente reperibili.

APT41 (G0096) è un gruppo noto per la doppia natura, capace di operare sia in campagne di spionaggio sia in attività a movente finanziario. Rispetto a questa tecnica, i dati indicano che il gruppo impiega diversi tool e framework per fare brute-forcing delle directory sui web server. Questo comportamento è coerente con un attore che investe pesantemente nella mappatura delle applicazioni pubbliche prima di sfruttarle, cercando pagine legacy e portali amministrativi da usare come punto d'appoggio per l'accesso iniziale.

Volatile Cedar (G0123) presenta un profilo più mirato sull'enumerazione infrastrutturale. Secondo i dati, il gruppo ha utilizzato DirBuster e GoBuster sia per fare brute force delle directory web sia per enumerare sottodomini DNS. Questo doppio uso, applicativo e infrastrutturale, denota una metodologia sistematica di ricognizione volta a costruire una mappa completa della presenza online del bersaglio prima di procedere.

Il principale pattern di overlap tra i due attori è strumentale: entrambi ricorrono a GoBuster o a framework equivalenti per il directory brute-forcing. Questo evidenzia una tendenza rilevante per gli analisti: il Wordlist Scanning non richiede tooling custom o proprietario. Gruppi con capacità, budget e obiettivi molto diversi convergono sugli stessi strumenti open source proprio perché efficaci, discreti e privi di costi di sviluppo. La conseguenza pratica è che il tool osservato nei log raramente costituisce di per sé un elemento di attribuzione affidabile.

Per un Threat Intelligence Officer questo ha implicazioni concrete sul piano dell'attribuzione. La distinzione tra i due gruppi non emerge dallo strumento usato, ma dal contesto: il target selezionato, la fase successiva della kill chain e l'infrastruttura di supporto. L'enumerazione DNS aggressiva orienta verso profili come Volatile Cedar, mentre l'ampiezza del tooling e la successiva monetizzazione sono più tipiche di APT41.

Sul fronte del trend, la crescente adozione di storage cloud sposta il baricentro della ricognizione verso l'enumerazione di bucket con s3recon e GCPBucketBrute. Gli analisti dovrebbero quindi aspettarsi che attori maturi estendano le proprie wordlist ai naming pattern dei servizi cloud, integrando la ricognizione applicativa tradizionale con la caccia a storage object mal configurati come vettore di esfiltrazione e movimento laterale.

MITRE ATT&CK: tecnica T1595.003 (Wordlist Scanning), tattica TA0043. Gruppi G0096 (APT41), G0123 (Volatile Cedar). Mitigazioni M1042, M1056. Detection DET0868 (AN2000). Tool di detection e discovery citati con relativo pricing: GoBuster, Dirb, DirBuster, feroxbuster, ffuf, SecLists, CeWL, s3recon, GCPBucketBrute, ModSecurity, Shodan, Censys. Parte del contenuto operativo (comandi, tool, artefatti forensi) deriva da conoscenza professionale di cybersecurity verificabile su repository e documentazione ufficiali.