Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Dirottamento di Domini: Compromise Infrastructure – Domains (T1584.001)
Quando un avversario non vuole registrare un dominio da zero — operazione che lascia tracce di pagamento e dati WHOIS freschi — preferisce dirottare domini già esistenti, sfruttando la fiducia che quei nomi hanno accumulato nel tempo. La tecnica T1584.001 – Domains descrive esattamente questo approccio: l'attaccante ottiene il controllo di un dominio o sottodominio legittimo senza il consenso del proprietario, per poi riutilizzarlo nelle fasi operative della campagna.
I vettori di compromissione sono diversi. Il più classico è il domain registration hijacking: l'attaccante accede all'account email del registrante, resetta la password presso il registrar e modifica i record DNS. Esistono anche scenari di social engineering verso gli help desk dei registrar, abuso di gap nei processi di rinnovo, o compromissione di servizi cloud che gestiscono zone DNS. Un caso particolarmente insidioso è il subdomain hijacking, che si verifica quando un record DNS punta a una risorsa decommissionata — un bucket S3 rimosso, un'istanza cloud spenta — e l'attaccante rivendica quella risorsa, ereditando il sottodominio. Il domain shadowing rappresenta la variante più silenziosa: l'attaccante crea sottodomini malevoli sotto un dominio compromesso senza alterare i record esistenti, rendendo la scoperta estremamente lenta.
Questa tecnica si colloca nella fase di Resource Development (TA0042), la preparazione logistica che precede qualsiasi contatto con la vittima. I dati del framework documentano 6 gruppi APT, 1 software, 4 campagne e 1 mitigazione associati a questa tecnica, a conferma della sua diffusione trasversale tra attori statali e criminali.
In un esercizio red team, simulare il dirottamento di un dominio non significa compromettere registrar reali, ma ricreare le condizioni tecniche che ne derivano: subdomain takeover su risorse dangling e domain shadowing su domini sotto il proprio controllo.
Il punto di partenza è l'enumerazione dei sottodomini del target alla ricerca di record DNS orfani. Subfinder (open source) è lo strumento più rapido per questa fase: il comando subfinder -d target.com -o subdomains.txt produce in pochi secondi un elenco di sottodomini aggregando decine di fonti passive. Per un'enumerazione più profonda, Amass (open source) nella modalità enum offre anche brute forcing e analisi di certificati: amass enum -brute -d target.com -o amass_results.txt.
Una volta ottenuto l'elenco, il passo successivo è identificare i record che puntano a risorse rivendicabili. can-i-take-over-xyz (open source) è un repository che cataloga i servizi vulnerabili a subdomain takeover e i relativi fingerprint. Lo strumento Subjack (open source) automatizza il controllo: subjack -w subdomains.txt -t 100 -timeout 30 -o takeover_results.txt -ssl verifica ciascun sottodominio contro le firme dei provider cloud noti. In alternativa, Nuclei (open source) di ProjectDiscovery include template specifici per il takeover: nuclei -l subdomains.txt -t http/takeovers/ -o nuclei_takeover.txt esegue il check con una batteria di firme aggiornata dalla community.
Per la simulazione del domain shadowing, il red teamer opera su un dominio registrato ad hoc nel proprio laboratorio. Dopo aver configurato il dominio primario con un sito innocuo, crea sottodomini come update.labdomain.com o cdn.labdomain.com puntandoli a un server C2. Questo riproduce fedelmente il comportamento documentato nelle campagne reali, dove il dominio principale resta funzionante e i sottodomini malevoli vivono nell'ombra.
La verifica DNS può essere condotta con dig +short CNAME subdomain.target.com per confermare se un CNAME punta a un servizio non più attivo. Un CNAME che restituisce un errore NXDOMAIN dal provider è un candidato ideale per il takeover. Per i record A orfani, host subdomain.target.com rivela rapidamente se l'IP di destinazione risponde ancora.
Per testare la catena post-compromissione, strumenti come Sliver (open source) o Mythic (open source) permettono di configurare listener C2 sul sottodominio simulato come compromesso, replicando il flusso operativo di gruppi come SideCopy e APT29.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo