Ricognizione Browser: Browser Information Discovery (T1217)

In un ingaggio red team la ricognizione dei browser è una delle prime azioni post-exploitation perché rumorosa quanto una lettura di file, ma estremamente redditizia. Su Windows, l'operatore parte cercando i profili utente in %LOCALAPPDATA%\Google\Chrome\User Data\Default e %APPDATA%\Mozilla\Firefox\Profiles, dove risiedono i database SQLite History, Bookmarks, Login Data e Cookies.

Un approccio classico consiste nel copiare i file offline per evitare i lock del processo browser attivo. Con PowerShell si può eseguire:

Copy-Item "$env:LOCALAPPDATA\Google\Chrome\User Data\Default\History" -Destination C:\Windows\Temp\hist.db

e successivamente estrarre le URL con un client SQLite portatile. Gruppi come Chimera hanno adottato varianti minimaliste sfruttando type su condivisioni SMB per leggere i segnalibri esportati:

*type \<hostname>\c$\Users\<username>\Favorites\Links\Bookmarks bar\Imported From IE\citrix*

Un pattern ricorrente perché intercetta collegamenti a portali VDI Citrix, spesso porta d'ingresso verso ambienti segmentati.

Lato tooling da laboratorio, Empire (open source, progetto BC-Security) integra moduli PowerShell per raccogliere segnalibri e cronologia in un'unica chiamata. Per operazioni più mirate ai secret salvati, SharpChrome e SharpDPAPI (open source, di GhostPack) decifrano Login Data e Cookies sfruttando le API DPAPI dell'utente compromesso. Su sistemi moderni con Chromium v80+ la decifratura richiede la master key protetta in Local State, file che malware come Mafalda raccolgono esplicitamente.

Su Linux i profili si trovano in ~/.config/google-chrome/Default/ e ~/.mozilla/firefox/*.default/. Un semplice:

sqlite3 ~/.config/google-chrome/Default/History "SELECT url, title, visit_count FROM urls ORDER BY visit_count DESC LIMIT 50;"

restituisce i domini più visitati, utili a mappare intranet e strumenti DevOps interni.

Su macOS, oltre a Chrome, va enumerato Safari in ~/Library/Safari/History.db e ~/Library/Safari/Bookmarks.plist, leggibile con plutil -convert xml1. Malware come Cuckoo Stealer e Calisto automatizzano questa raccolta.

Per simulare la fase di esfiltrazione in ambiente controllato è opportuno usare Sliver (open source, di BishopFox) o Mythic (open source, di SpecterOps), che offrono agent multi-piattaforma con moduli di file collection già pronti. L'attività va sempre svolta in laboratorio con dati sintetici: raccogliere cookie di produzione anche in un red team autorizzato apre questioni legali significative sul trattamento dei dati personali.

La detection di T1217 poggia su un'evidenza semplice ma spesso ignorata: i file del profilo browser non dovrebbero essere letti da processi diversi dal browser stesso. Il rilevamento AN0037 codificato nei dati MITRE prevede monitoraggio di cmd.exe, powershell.exe o binari non firmati che aprono percorsi come %APPDATA%\Google\Chrome\User Data o %APPDATA%\Mozilla\Firefox.

La fonte primaria su Windows è Sysmon (gratuito, Microsoft) con EventID 11 per la creazione file (utile a intercettare copie del database History) e EventID 1 per correlazioni parent-child sospette. Una regola efficace filtra le Image che accedono a User Data\Default\Login Data escludendo chrome.exe, msedge.exe e i noti processi di backup Endpoint. In parallelo, i log PowerShell Script Block Logging (EventID 4104) rivelano cmdlet come Copy-Item, Get-Content o invocazioni di System.Data.SQLite verso percorsi browser: pattern ricorrenti in loader come PowerLess e DarkWatchman.

Su Linux la telemetria arriva da auditd con regole SYSCALL sui percorsi ~/.config/google-chrome/ e ~/.mozilla/. Una regola auditd tipica è:

-w /home//.config/google-chrome/Default/Login Data -p r -k browser_creds*

che marca ogni lettura con la chiave browser_creds, poi correlabile in SIEM con il processo padre. L'evidenza va incrociata con execve di sqlite3, cat o python su quei path per ridurre i falsi positivi legati a estensioni legittime.

Su macOS il canale principale è Unified Log (accessibile via log stream o log show) integrato con osquery (open source, di Osquery Foundation) per query periodiche sulla tabella file_events riferita a ~/Library/Application Support/Google/Chrome e ~/Library/Safari. Processi come curl, bash, python o binari senza notarizzazione che leggono questi database sono altamente sospetti, come suggerito dalla logica AN0039.

Sul piano dei falsi positivi, i principali contributori sono: software di backup enterprise (Veeam, Acronis), estensioni antivirus che ispezionano cookie, tool di migrazione profili e utility di password manager. La tuning strategy corretta prevede una allowlist di processi genitori aggiornata trimestralmente e la contestualizzazione con User and Entity Behavior Analytics: la stessa lettura di History eseguita da una workstation nel dominio IT-Admin alle 03:00 assume peso molto diverso rispetto alla stessa operazione eseguita da un power user in orario lavorativo.

Infine, un indicatore trasversale è la compressione seguita da esfiltrazione: rar/7z che comprime path di profilo browser è pattern documentato in Volt Typhoon e in numerose famiglie infostealer come RedLine e Lumma.

L'analisi forense di T1217 ruota attorno a un insieme ristretto di artefatti ma richiede correlazione fine con la timeline di sistema. Su Windows i file target sono i database SQLite del profilo utente: History, Bookmarks, Login Data, Cookies, Web Data e Local State, tutti sotto *%LOCALAPPDATA%\Google\Chrome\User Data\Default* per Chrome ed equivalenti per Edge. Per Firefox l'attenzione va a places.sqlite, cookies.sqlite e logins.json.

Una copia forense va sempre effettuata con il browser terminato per evitare journal SQLite parziali. Strumenti come DB Browser for SQLite (open source) o Hindsight (open source, di Ryan Benson) permettono la ricostruzione della cronologia Chromium con parsing di URL, timestamp WebKit e sessioni. Hindsight in particolare produce una timeline navigabile che l'analista può incrociare con eventi Sysmon per identificare la finestra temporale in cui un processo non autorizzato ha aperto i database.

Gli artefatti di accesso sono altrettanto importanti degli artefatti di contenuto. Su Windows l'MFT (analizzabile con MFTECmd di Eric Zimmerman, open source) rivela il $STANDARD_INFORMATION.LastAccessTime dei database — utile se il filesystem ha NtfsDisableLastAccessUpdate configurato in modalità che aggiorna il timestamp. Il Prefetch (C:\Windows\Prefetch*.pf) può conservare traccia dell'esecuzione di sqlite3.exe, powershell.exe o binari malware, con relativi file toccati, estraibili con PECmd. ShimCache e Amcache completano il quadro con evidenze di esecuzione persistenti anche dopo la cancellazione del binario.

Su Linux l'analista consulta i log auditd archiviati in /var/log/audit/audit.log, cercando eventi SYSCALL di tipo open o openat sui path di profilo. La bash history dell'utente compromesso (~/.bash_history) spesso conserva l'invocazione manuale di sqlite3 o cp verso i database, salvo che l'attaccante abbia impostato HISTFILE=/dev/null. Su macOS la Unified Log (esportabile con log collect) e le tracce FSEvents in /.fseventsd/ mostrano gli accessi ai file, mentre KnowledgeC.db in ~/Library/Application Support/Knowledge/ documenta le attività applicative.

Sul piano delle campagne documentate, Outer Space (C0042) di OilRig ha impiegato il dumper MKG per estrarre dati Chrome da organizzazioni israeliane, mentre la successiva Juicy Mix (C0044) ha introdotto CDumper ed EDumper per Chrome ed Edge, mirando a cookie, cronologia e credenziali. Nel 3CX Supply Chain Attack (C0057), la componente ICONICSTEALER dispiegata da AppleJeus ha raccolto cronologia browser sui sistemi compromessi in modo automatizzato, lasciando artefatti tipici di infostealer commerciali. L'analista deve quindi valutare anche la presenza di file di staging temporanei (spesso in %TEMP% o /tmp/) e di archivi compressi pronti all'esfiltrazione.

La distribuzione dei sei gruppi che i dati MITRE associano a T1217 mostra un ventaglio geopolitico ampio e finalità eterogenee, segnale che la ricognizione browser è capacità basale trasversale più che firma di un singolo attore.

APT38, cluster nordcoreano riconducibile all'ecosistema Lazarus con focus finanziario, utilizza la raccolta di segnalibri come step di orientamento sull'host compromesso, funzionale a identificare interfacce bancarie e sistemi SWIFT accessibili dalla vittima. Il pattern si ricollega alla tradizione dell'attore di privilegiare intrusioni lunghe e riconoscitive prima del colpo finanziario.

Chimera, tracciato in operazioni contro settore semiconduttori e telco, si distingue per l'uso di comandi type su condivisioni amministrative SMB per estrarre segnalibri contenenti riferimenti Citrix. Questa firma operativa rivela una conoscenza matura dell'ambiente enterprise e la volontà di individuare gateway VDI come pivot successivo.

Fox Kitten, attribuito all'Iran e attivo contro infrastrutture critiche e ISP, utilizza esplicitamente i segnalibri di Google Chrome per mappare risorse interne. Insieme a Volt Typhoon — attore state-sponsored cinese focalizzato su infrastrutture critiche statunitensi — che prende di mira la cronologia dei network administrator, mostra come la ricognizione browser sia diventata tecnica di targeting strategico per identificare gli account con maggior valore operativo.

Scattered Spider, cluster criminale con motivazione finanziaria noto per social engineering avanzato contro elpdesk e MSP, delega la raccolta a infostealer commerciali come Raccoon Stealer, tipico di un modello access broker dove il dato browser viene monetizzato indipendentemente dalla catena successiva. Moonstone Sleet, altro attore nordcoreano, distribuisce YouieLoader con capacità di raccolta browser embedded.

Sul piano software, i 17 tool documentati coprono l'intera gamma da malware APT dedicati (Dtrack, Mafalda, SUGARDUMP, PowerLess) a infostealer di mercato criminale (RedLine Stealer, Lumma Stealer, Troll Stealer, BeaverTail) fino a framework offensivi (Empire). La convergenza tra malware statuali e commercial stealer conferma un overlap di TTP che complica l'attribuzione: uno stesso dump di credenziali browser può essere ricondotto sia a un attore APT sia a un affiliate ransomware.

Le tre campagne documentate — Outer Space e Juicy Mix di OilRig, e 3CX Supply Chain Attack — indicano trend consolidati. OilRig ha industrializzato dumper dedicati a Chrome ed Edge, mentre l'attacco 3CX dimostra come T1217 sia stato integrato in una supply chain compromise di enorme portata, con ICONICSTEALER che raccoglieva cronologia post-compromissione. Il segnale strategico per un threat intel officer è che la protezione dei profili browser degli amministratori dovrebbe essere priorità pari alla protezione delle credenziali di dominio.

MITRE ATT&CK: tecnica T1217, tattica TA0007, gruppi G0082, G0114, G0117, G1015, G1017, G1036, software S0079, S0274, S0363, S0409, S0567, S0673, S0681, S1012, S1042, S1060, S1122, S1153, S1185, S1196, S1213, S1240, S1246, campagne C0042, C0044, C0057, detection DET0013 (AN0037-AN0039). MITRE D3FEND per mapping difensivo. Tool citati: Sysmon, auditd, osquery, Empire, SharpChrome, SharpDPAPI, Sliver, Mythic, Hindsight, MFTECmd, PECmd, DB Browser for SQLite. Integrata conoscenza professionale su artefatti forensi Chromium/Firefox/Safari e pratiche SOC standard.