Acquisizione Domini: Acquire Infrastructure - Domains (T1583.001)
L'acquisizione di domini rappresenta una fase preparatoria fondamentale nelle operazioni offensive moderne, dove gli attaccanti registrano o compromettono nomi a dominio da utilizzare come infrastruttura malevola. Questa tecnica appartiene alla tattica TA0042 - Resource Development, posizionandosi nella fase pre-attacco della kill chain quando l'avversario costruisce le risorse necessarie per supportare le operazioni successive.
I domini acquisiti servono molteplici scopi operativi: dal phishing alla distribuzione di malware tramite drive-by download, fino al comando e controllo delle vittime compromesse. Gli attaccanti mostrano particolare creatività nella scelta dei domini, utilizzando tecniche di typosquatting, omografi IDN con caratteri cirillici o greci, e registrazioni sotto TLD alternativi per ingannare le vittime.
La portata di questa tecnica è significativa: 40 gruppi APT documentati la utilizzano attivamente, supportati da 3 famiglie di malware specializzate e almeno 15 campagne maggiori identificate. Particolarmente preoccupante è la pratica di acquisire domini scaduti con reputazione consolidata, permettendo agli attaccanti di bypassare controlli basati su allowlist esistenti.
La simulazione dell'acquisizione domini richiede comprensione sia delle tecniche di registrazione che della configurazione dell'infrastruttura C2. Iniziamo verificando la disponibilità di domini typosquattati utilizzando whois example-company.com o varianti con caratteri omografi come exаmple.com (con 'а' cirillica).
Per generare rapidamente varianti di dominio, Python offre librerie specializzate. Il comando dnstwist example.com genera automaticamente centinaia di permutazioni includendo typosquatting, omografi, e variazioni TLD. Analizzare l'output permette di identificare domini potenzialmente registrabili che potrebbero ingannare utenti distratti.
La registrazione attraverso registrar che offrono privacy WHOIS è essenziale per nascondere l'identità. Servizi come Njalla o registrar che accettano criptovalute forniscono anonimato aggiuntivo. Durante la registrazione, utilizzare whois privacy protection e pagare con metodi non tracciabili aumenta l'OPSEC.
Una volta acquisito il dominio, la configurazione DNS richiede attenzione. Impostare record A puntando a VPS compromessi o servizi cloud legittimi come Cloudflare Workers permette di mascherare l'infrastruttura reale. Il comando dig @8.8.8.8 malicious-domain.com verifica la propagazione DNS globale.
Per simulazioni avanzate in ambiente AWS, la creazione di hosted zones Route53 permette gestione programmatica dei domini. Utilizzando AWS CLI: aws route53 create-hosted-zone --name test-c2.com --caller-reference test-001 seguito da aws route53 change-resource-record-sets per configurare i record necessari.
L'automazione della rotazione dei domini aumenta la resilienza operativa. Script che utilizzano API dei registrar possono registrare nuovi domini quando quelli esistenti vengono bloccati, mantenendo la continuità del C2.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo