Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Compromissione Domini: Domains (T1584.001)
La tecnica T1584.001 - Domains appartiene alla tattica TA0042 (Resource Development) del framework MITRE ATT&CK e descrive l'insieme di attività con cui un attaccante prende il controllo di domini o sottodomini legittimi appartenenti a terzi, sfruttandone la reputazione per operazioni successive.
A differenza dell'acquisto di infrastruttura nuova, qui l'avversario dirotta risorse esistenti attraverso il compromesso dell'account email del registrante, l'abuso di procedure di recupero password, l'ingegneria sociale verso l'help desk del registrar oppure la compromissione di console cloud che gestiscono zone DNS come AWS Route53. Il subdomain hijacking sfrutta invece record DNS dangling che puntano a risorse cloud deprovisionate; l'aggressore rivendica la risorsa e riprende il controllo del sottodominio con tutta la fiducia associata al brand originario.
Una variante particolarmente insidiosa è il domain shadowing: mantenendo intatti i record esistenti, l'attore crea nuovi sottodomini malevoli che possono restare invisibili per mesi. I dati MITRE documentano l'uso di questa tecnica da parte di 6 gruppi APT e in 4 campagne di rilievo, tra cui la SolarWinds Compromise e Operation Dream Job, a conferma che il dirottamento di domini è una risorsa strategica sia per operazioni di cyber espionage sia per campagne massive di malware delivery come quelle orchestrate tramite Gootloader.
In un esercizio red team autorizzato, la simulazione di T1584.001 richiede rigore etico: si opera esclusivamente su domini di proprietà del cliente o su infrastruttura di laboratorio, mai su asset di terzi. L'obiettivo è dimostrare quanto sia realistico il rischio di dirottamento e produrre evidenze per il committente.
La prima fase è la discovery dei domini dangling nell'ambito di interesse. Uno strumento canonico è subjack (open source), che verifica se un CNAME punta a servizi cloud non rivendicati come GitHub Pages, Heroku, S3 o Azure. La sintassi tipica è:
subjack -w domains.txt -t 100 -timeout 30 -ssl -c fingerprints.json -v
In alternativa subzy (open source) offre un motore di fingerprint aggiornato e la modalità subzy run --targets subdomains.txt. Per enumerare i sottodomini a monte si usa amass enum -passive -d target.tld -o subs.txt (open source) oppure subfinder -d target.tld -all -o subs.txt (open source).
La seconda fase è la verifica dell'esposizione registrar. In laboratorio si simula un attacco di account takeover contro la casella email del registrante: si costruisce un phishing kit con Evilginx3 (open source) configurato per intercettare il flusso di reset password del registrar, oppure si testa la resilienza MFA con GoPhish (open source) per campagne di credential harvesting controllate.
Per riprodurre il domain shadowing in ambiente controllato, dopo aver ottenuto credenziali di test su una zona DNS di laboratorio, si aggiungono record A o CNAME arbitrari lasciando intatti quelli produttivi:
aws route53 change-resource-record-sets --hosted-zone-id ZXXX --change-batch file://shadow.json
Il file JSON conterrà un UPSERT verso un sottodominio insolito (es. cdn-static-42.target.tld) puntato a un C2 di laboratorio come Sliver (open source) o Mythic (open source). Il valore didattico sta nel dimostrare che il record convive con quelli legittimi senza interrompere alcun servizio.
Per la fase di weaponization sui domini dirottati, i team red usano Nuclei (open source) per validare che la reputazione del dominio sia effettivamente intatta interrogando servizi di categorizzazione. La reportistica deve includere screenshot dei record DNS prima/dopo, timestamp e catena di custodia delle credenziali usate, così che il cliente possa avviare rotazione e hardening dei processi di gestione registrar (MFA obbligatoria, registry lock, alerting su modifiche NS).
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.