Contenuti Scritti: Written Content (T1683.001)

Trattandosi di una tecnica pre-compromise, l'obiettivo del red team non è "attaccare" un sistema ma simulare in modo controllato la produzione di materiale testuale credibile, per misurare la resilienza umana dell'organizzazione. Ogni esercizio va autorizzato per iscritto (rules of engagement) e confinato a un dominio di test.

Il punto di partenza è la ricognizione OSINT sul bersaglio autorizzato, per calibrare tono, gerghi e riferimenti aziendali. Strumenti come SpiderFoot (open source) e Recon-ng (open source) automatizzano la raccolta di nomi, ruoli e indirizzi email da fonti pubbliche, utile a scrivere esche coerenti con il contesto reale.

Per la fase di consegna e tracciamento delle esche, framework come GoPhish (open source) permettono di allestire campagne di simulazione con landing page e template email personalizzati, misurando aperture e clic in un ambiente segregato. In ambito red team più maturo si usa Evilginx (open source) per esercizi di consapevolezza sul furto di sessione, sempre con account e domini dedicati alla simulazione.

La componente narrativa richiede attenzione: i gruppi reali confezionano offerte di lavoro finte, finti profili LinkedIn e Telegram, oppure repository GitHub a tema per adescare sviluppatori. In laboratorio si replica creando personas coerenti e materiale di supporto (CV, descrizioni di ruolo, thread di conversazione) che sostengano l'identità nel tempo.

Sul fronte AI-assisted, l'uso di modelli linguistici per generare o localizzare testo è ormai parte della catena d'attacco reale — un software censito integra un assistente per valutare email e produrre risposte su misura in frodi BEC. In un contesto etico, si simula questa capacità documentando come una traduzione fluente o l'imitazione dello stile di un dirigente aumenti il tasso di successo, così da giustificare investimenti in formazione.

Una sequenza tipica di esercizio:

• Ricognizione OSINT del perimetro autorizzato con SpiderFoot/Recon-ng.
• Definizione delle personas e redazione dei materiali (esche, offerte, documenti-esca).
• Configurazione della campagna di simulazione su GoPhish con dominio dedicato.
• Recapito controllato e raccolta metriche (aperture, clic, credenziali inserite).
• Debrief e reportistica per il blue team.

Il valore per il cliente sta meno nella "riuscita" tecnica e più nel dimostrare quanto un testo ben scritto — oggi amplificato dall'AI — abbatta le difese cognitive dei dipendenti, orientando così i programmi di awareness.

Il nodo è chiaro: la fabbricazione del contenuto avviene fuori dalla visibilità aziendale. La detection MITRE per questa tecnica (DET0917, analitica AN2060) lo dichiara esplicitamente e sposta l'attenzione sulle fasi correlate del ciclo d'attacco, in particolare l'Initial Access. Il SOC, quindi, non rileva la scrittura dell'esca ma il momento in cui il testo malevolo entra in contatto con l'organizzazione.

La prima linea è l'email security gateway. Soluzioni come Proofpoint (a pagamento), Microsoft Defender for Office 365 (a pagamento) e Mimecast (a pagamento) analizzano header, reputazione mittente e allegati. Come controllo preventivo (harden), l'enforcement di SPF, DKIM e DMARC riduce lo spoofing di domini legittimi: un fallimento DMARC su messaggi che impersonano corrispondenza ufficiale o comunicazioni interne è un segnale forte, perché coerente con l'impersonificazione descritta nella tecnica.

Sul piano comportamentale conviene costruire alert su pattern anomali piuttosto che su indicatori atomici, come suggerisce la mitigazione M1056 (Pre-compromise). Elementi utili:

• Domini lookalike e dominii registrati di recente presenti nei link email, correlabili con servizi come DomainTools (a pagamento) o piattaforme threat intelligence come MISP (open source).
• Email che dirigono la vittima a eseguire payload o ad aprire allegati mascherati da notifiche ufficiali, comportamento associato a APT-C-36.
• Contatti provenienti da falsi profili social (LinkedIn, Telegram) o da offerte di lavoro sospette, schema tipico di Contagious Interview: qui l'osservabile è spesso su endpoint degli sviluppatori invitati a clonare repository.
• Attività su repository GitHub aziendali create con token sottratti, come nel caso di TeamPCP: monitorare la creazione anomala di repository e l'uso di token è un presidio concreto.

Un capitolo a parte riguarda i contenuti generati con AI. Le esche prodotte con assistenti linguistici — come nel software Kali365, che integra un modello per orchestrare risposte BEC — riducono gli errori grammaticali su cui storicamente si basavano i filtri. Ciò impone di pesare di più i segnali di contesto: thread di risposta inaspettati su richieste di pagamento, cambi di IBAN, urgenza simulata.

Sui falsi positivi, attenzione alle comunicazioni marketing legittime che usano molti brand e link di tracciamento, facilmente confondibili con esche brandizzate. La correlazione tra fallimento di autenticazione email, novità del dominio e comportamento dell'utente (clic, inserimento credenziali) mantiene basso il rumore e aggancia l'attività alla fase in cui diventa realmente osservabile.

Per una tecnica di Resource Development, l'analista forense lavora su due piani: le fonti esterne che documentano la preparazione del contenuto e gli artefatti endpoint che emergono solo dopo il contatto con il materiale malevolo. La produzione del testo in sé non lascia tracce nei sistemi della vittima, quindi la timeline si ancora al momento della consegna.

Sul fronte esterno, i registri WHOIS storici e il passive DNS aiutano a ricostruire quando è stato registrato un dominio lookalike usato in un'esca, mentre i log di Certificate Transparency (consultabili via crt.sh, gratuito) mostrano l'emissione di certificati per landing page fraudolente. Per le personas fittizie — falsi profili LinkedIn o Telegram nello stile di Contagious Interview — l'acquisizione riguarda screenshot, metadati dei profili e cronologia delle interazioni, preservati secondo procedura.

Sull'endpoint la timeline ricostruisce l'apertura dell'esca e le sue conseguenze. In ambiente Windows gli artefatti utili includono:

• I file di messaggistica e allegati: cartelle di Outlook, cache OST/PST e la directory INetCache per contenuti web scaricati.
• I metadati dei documenti-esca: le proprietà OLE/OOXML (autore, data di creazione, revisioni) di file Office spesso rivelano l'origine o gli strumenti usati.
• Le tracce di esecuzione conseguenti — Prefetch, ShimCache, Amcache e le chiavi MRU del Registro — se l'esca impersona una notifica che induce a lanciare un payload, schema riconducibile ad APT-C-36.

Su Linux e macOS l'attenzione si sposta su cronologia della shell (.bash_history, .zsh_history), download nella home dell'utente e log di sistema (/var/log, unified log su macOS) per correlare il momento in cui uno sviluppatore, adescato da una falsa offerta, ha clonato un repository ostile. Nel caso di TeamPCP, che ha creato repository GitHub a tema usando token rubati, l'evidenza si trova negli audit log della piattaforma di versioning e nella cronologia dei token OAuth revocabili.

Un elemento distintivo è il contenuto generato con AI: testo privo dei consueti errori linguistici, come nel software Kali365 che sfrutta un modello per confezionare risposte su misura in frodi BEC. In questi casi la correlazione forense tra thread email, cambi di IBAN e finestre temporali diventa più informativa dei singoli indicatori.

La raccolta va sempre condotta con hashing delle evidenze e catena di custodia documentata, integrando i dati endpoint con l'intelligence esterna per collegare l'esca alla sua infrastruttura di origine.

I dati MITRE associano a Written Content tre attori distinti, ciascuno con un uso caratteristico del materiale testuale, più un software che ne industrializza la produzione. Il quadro è utile per orientare le priorità di monitoraggio e riconoscere le sovrapposizioni di tooling.

APT-C-36 (G0099) ha generato contenuti email che imitano notifiche e documenti ufficiali, indirizzando le vittime all'esecuzione di payload malevoli. È il classico schema dell'esca autoritativa: la credibilità del testo — l'aspetto di comunicazione istituzionale — è la leva che innesca l'azione dell'utente. Per un centro di intelligence, questo profilo suggerisce di sorvegliare campagne che impersonano enti e mittenti fidati.

Contagious Interview (G1052) costruisce falsi account social, in particolare LinkedIn e Telegram, a supporto delle proprie attività di adescamento. La narrazione ruota attorno a finti processi di selezione e opportunità professionali, un vettore che colpisce soprattutto sviluppatori e profili tecnici. Qui il contenuto scritto serve a sostenere una persona fittizia nel tempo, coerente con la definizione della tecnica.

TeamPCP (G1056) ha creato repository GitHub a tema Dune usando token sottratti. In questo caso il materiale testuale — descrizioni, README, struttura del progetto — conferisce legittimità apparente a risorse ospitate su una piattaforma fidata, sfruttando la fiducia riposta nell'ecosistema open source.

Sul versante delle capacità, il software Kali365 (S9044) rappresenta l'evoluzione industriale della tecnica: genera esche di phishing brandizzate che sfruttano numerosi servizi e marchi reputati per invogliare l'interazione. L'elemento più significativo è l'integrazione con un modello linguistico (Claude Sonnet) che valuta le email e produce risposte su misura per alimentare frodi BEC. Questo segna un pattern chiaro: l'assistenza AI abbatte le barriere linguistiche e stilistiche che tradizionalmente tradivano le esche.

Dai dati emergono alcune tendenze. Primo, la diversificazione dei canali: non solo email, ma social network e piattaforme di sviluppo software, segno che il contenuto scritto si adatta al terreno frequentato dal bersaglio. Secondo, l'uso di risorse rubate (token) per conferire autenticità, che collega questa tecnica al furto di credenziali. Terzo, la crescente automazione tramite AI, che rende il testo più persuasivo e scalabile.

Non risultano campagne codificate né mitigazioni tecniche dirette oltre a M1056 (Pre-compromise): l'intelligence deve quindi privilegiare il tracciamento dell'infrastruttura e dei pattern comportamentali sulle piattaforme esterne, condividendo indicatori attraverso feed collaborativi per anticipare l'uso operativo del materiale.

MITRE ATT&CK: tecnica T1683.001 (Written Content), tattica TA0042; gruppi G0099 (APT-C-36), G1052 (Contagious Interview), G1056 (TeamPCP); software S9044 (Kali365); mitigazione M1056 (Pre-compromise); detection DET0917 e analitica AN2060. Tool di detection/simulazione citati: SpiderFoot, Recon-ng, GoPhish, Evilginx, MISP, DomainTools, Proofpoint, Microsoft Defender for Office 365, Mimecast, crt.sh. Per comandi, artefatti forensi e procedure operative è stata integrata conoscenza professionale di cybersecurity.