Scoperta Sistemi Remoti: Remote System Discovery (T1018)

La tecnica T1018 - Remote System Discovery appartiene alla tattica TA0007 (Discovery) del framework MITRE ATT&CK e descrive le attività con cui un avversario, una volta ottenuto un punto d'appoggio su un host, cerca di enumerare gli altri sistemi raggiungibili sulla rete interna tramite indirizzo IP, hostname o identificatori logici.

Questa ricognizione post-compromise è il ponte naturale verso il Lateral Movement: senza una mappa dei bersagli, l'attaccante non può pianificare pivoting, distribuzione di ransomware o esfiltrazione mirata. Le tecniche spaziano dall'uso di utility native come ping, net view, nltest, arp, fino all'analisi passiva di file locali come C:\Windows\System32\Drivers\etc\hosts, /etc/hosts e cache ARP, oppure a comandi CLI su apparati di rete come show cdp neighbors e show arp. Su ipervisori ESXi trova impiego esxcli network diag ping.

I dati MITRE censiscono 39 gruppi APT, 52 famiglie di software e 8 campagne documentate che ricorrono a questa tecnica, con un ventaglio che va da attori state-sponsored come Turla, APT29 (SolarWinds Compromise), Sandworm Team (attacchi alla rete elettrica ucraina) fino a operatori ransomware come Akira, BlackByte, Black Basta, Conti e Play. La pervasività riflette una realtà operativa: qualunque intrusione con obiettivi oltre la singola macchina passa da questa fase.

In un ingaggio red team la ricognizione dei sistemi remoti va condotta minimizzando il rumore. Il punto di partenza è sempre l'osservazione passiva: leggere C:\Windows\System32\drivers\etc\hosts, la cache ARP con arp -a, la tabella di routing con route print e le connessioni attive con netstat -ano fornisce già una prima mappa senza generare traffico.

Sul fronte Windows, i comandi nativi restano insostituibili per blending. net view elenca le share visibili nel dominio, net view /domain enumera i domini trust, mentre net group "Domain Controllers" /domain e net group "Domain Computers" /domain — pattern osservato in Turla e HAFNIUM — recuperano gli asset critici. nltest /dclist: e nltest /dsgetdc: restituiscono i DC autoritativi, tecnica documentata su FIN8, Wizard Spider e Play.

Per enumerazioni LDAP più profonde senza toccare strumenti Microsoft, AdFind (gratuito) resta lo standard de facto usato da Mustang Panda, Play e APT29; una query tipica è adfind -f "objectcategory=computer" -csv name operatingSystem dNSHostName. BloodHound con collector SharpHound (open source) permette di modellare graficamente relazioni di dominio e path di attacco. PowerView (open source), sfruttato da Indrik Spider, offre cmdlet come Get-NetComputer e Get-NetDomainController eseguibili in-memory.

Per lo scanning attivo, se il rumore è accettabile, Nmap (open source) con -sn per host discovery ICMP/ARP resta il riferimento, mentre MASSCAN (open source) — adottato da Ember Bear e Akira — copre grandi range in tempi ridotti. NBTscan (open source), impiegato da APT39, GALLIUM, Agrius e Naikon, enumera nomi NetBIOS su segmenti /24. Angry IP Scanner (open source) è stato usato da Fox Kitten, Advanced IP Scanner (gratuito) da Akira.

Su Linux l'operatività è simmatica: ip neigh show, cat /etc/hosts, cat ~/.ssh/known_hosts — pattern osservato in Rocke e Kinsing — rivelano host già contattati. Su ESXi il comando lecito è esxcli network diag ping -H , mentre esxcli network ip neighbor list mostra la tabella ARP dell'hypervisor. Su apparati Cisco, dopo enable, show cdp neighbors detail, show arp e show ip route espongono la topologia L2/L3 adiacente. Concatenare più comandi in un unico script batch aumenta l'efficienza ma anche la detectability: il red teamer maturo distribuisce l'attività nel tempo.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo

TEST GRATUITO
2 minuti · 7 domande Che professionista cyber sei? Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.