Compromissione Account Social: Social Media Accounts (T1586.001)

In un ingaggio red team autorizzato, la simulazione di T1586.001 richiede un perimetro etico rigoroso: si opera su account fittizi creati dal team stesso o su account di volontari all'interno del cliente, mai su profili reali di terzi. La regola d'ingaggio deve essere esplicita nel Rules of Engagement (RoE) firmato.

La fase di ricognizione preliminare si appoggia a strumenti OSINT. Maltego (freemium) permette di mappare le relazioni tra dipendenti target e i loro profili social attraverso trasformazioni predefinite. SpiderFoot (open source) automatizza la raccolta di username correlati su decine di piattaforme, mentre Sherlock (open source) esegue enumerazione di username su oltre 400 siti con un semplice python3 sherlock username_target. Per il pivoting su LinkedIn si può usare linkedin2username (open source) che genera wordlist di username aziendali partendo da nomi dei dipendenti.

La verifica dell'esposizione delle credenziali passa per Have I Been Pwned (freemium via API) e per la consultazione di database di breach come quelli indicizzati da DeHashed (a pagamento). In lab, si può simulare il credential stuffing con OWASP ZAP (open source) contro un'istanza self-hosted di applicazione web che emuli un social login — mai contro piattaforme reali, che violerebbe i loro ToS e leggi come il CFAA statunitense o l'art. 615-ter del Codice Penale italiano.

Per la fase di phishing mirato che porta al takeover, Evilginx3 (open source) rimane il framework di riferimento per reverse proxy che intercettano sia credenziali che token di sessione, bypassando l'MFA basata su TOTP. La configurazione richiede un dominio look-alike registrato e certificati Let's Encrypt automatici. GoPhish (open source) è invece adatto a campagne di phishing tradizionali con landing page personalizzate e tracking delle interazioni.

Una volta ottenuto il controllo di un account di test, il red teamer documenta la catena successiva: modifica del profilo per rimuovere tracce del compromise (email di recovery, numeri di telefono associati), invio di connection request verso il perimetro target, e infine il pivot verso Spearphishing via Service (T1566.003) — un messaggio diretto contenente link malevolo o allegato inviato tramite la piattaforma social stessa, che spesso bypassa i controlli email gateway.

Il deliverable finale deve quantificare click-through rate, credenziali raccolte e tempo medio di risposta del SOC agli alert generati dalle piattaforme social, se presenti.

La detection di T1586.001 è intrinsecamente indiretta perché la compromissione avviene su infrastruttura di terze parti fuori dal perimetro enterprise. Il SOC può però intercettare i segnali quando l'account compromesso viene USATO contro l'organizzazione, tipicamente nella fase di Initial Access via Spearphishing via Service (T1566.003).

La prima linea di detection è il monitoraggio della brand exposure sulle principali piattaforme. Servizi come ZeroFox (a pagamento), Recorded Future Brand Intelligence (a pagamento) o l'open source SpiderFoot HX (freemium) permettono di intercettare account che millantano appartenenza all'organizzazione o che iniziano improvvisamente a inviare connection request verso dipendenti chiave. Un pattern particolarmente sospetto è un profilo con anzianità di anni che modifica improvvisamente datore di lavoro, foto e bio nell'arco di poche ore — indicatore classico di takeover seguito da re-purposing.

Sul lato endpoint e network, il SOC deve correlare gli accessi ai social media aziendali con i pattern comportamentali degli utenti. I proxy web (Zscaler, Netskope, Palo Alto) generano log HTTP/HTTPS che, incrociati con i log Azure AD/Entra ID, permettono di individuare accessi anomali: un dipendente che riceve un DM LinkedIn e clicca un link poco dopo, con successivo download di file eseguibile, costituisce una catena da attenzionare.

Le regole di correlazione SIEM utili includono:

• Alert su email in ingresso da domini social (linkedin.com, facebook.com) contenenti notifiche di nuovi messaggi verso utenti VIP, correlati con successivo traffico HTTP verso domini registrati da meno di 30 giorni
• Rilevamento tramite Microsoft Defender for Office 365 (a pagamento) o Proofpoint TAP (a pagamento) di URL malevoli veicolati tramite piattaforme social
• Analisi DNS con Zeek (open source) per identificare risoluzioni verso domini di phishing kit noti

Dal punto di vista D3FEND, le tecniche difensive rilevanti includono Message Analysis e Sender Reputation Analysis applicate ai vettori social, ma la maggior parte delle piattaforme non espone API di detection utilizzabili dal SOC enterprise. Un compromesso pratico è la configurazione di canary personas — account social fittizi controllati dal team di sicurezza che fungono da honeypot: qualsiasi connection request o messaggio verso questi account è un segnale ad alta confidenza di ricognizione ostile.

I falsi positivi principali derivano da legittime attività di recruiting (LinkedIn InMail massivi verso i dipendenti tecnici) e da campagne marketing che mimano pattern di outreach ostile. La discriminante è la coerenza tra profilo del mittente, storico interazioni e contesto del messaggio, valutabile solo con arricchimento manuale da parte di analisti T2.

L'indagine forense su T1586.001 richiede di lavorare su due piani paralleli: la ricostruzione dell'attività dell'account compromesso su fonti esterne e l'analisi degli endpoint interni contattati dopo l'ingaggio malevolo.

Sul piano esterno, l'analista raccoglie evidenze dalla piattaforma social attraverso richieste formali (subpoena o richieste LEA in ambito investigativo). LinkedIn, Meta e X mantengono log di login con IP, user agent e timestamp che permettono di identificare il momento del takeover e la geolocalizzazione degli accessi anomali. La discrepanza tra IP storici del legittimo proprietario e nuovi IP (spesso VPN commerciali o exit node Tor) è il primo pivot temporale. Per attività pubbliche, tool come Hunchly (a pagamento) o Wayback Machine (gratuito) permettono di ricostruire modifiche al profilo, cambi di foto, alterazioni della bio e nuovi contenuti pubblicati.

Sul piano interno, l'obiettivo è ricostruire cosa è successo agli utenti dell'organizzazione che hanno interagito con l'account compromesso. Su Windows, gli artefatti chiave includono:

• Browser history in %LocalAppData%\Google\Chrome\User Data\Default\History (SQLite) e Edge equivalent, che documentano il click sul link ricevuto via DM social
• Cache e cookie che possono contenere il payload della landing page di phishing
• Prefetch in *C:\Windows\Prefetch* per identificare esecuzione di binari scaricati
• ShellBags e Jump Lists per file aperti dall'utente
• Event Log Microsoft-Windows-Windows Defender/Operational (EventID 1116, 1117) per detection di malware droppati

Su Linux/macOS gli artefatti equivalenti sono ~/.mozilla/firefox/*/places.sqlite, ~/Library/Application Support/Google/Chrome/Default/History e i log auth.log / unified logs di macOS.

Particolarmente utile è l'analisi della memoria con Volatility 3 (open source) usando plugin come windows.pslist e windows.netscan per identificare processi con connessioni verso l'infrastruttura C2 del phishing kit. Le stringhe estratte con strings.py dalla memoria di processi browser possono rivelare URL completi delle landing page malevole, spesso con parametri di tracking univoci che permettono l'attribuzione alla campagna.

La timeline forense deve integrare artefatti D3FEND rilevanti: Persona (l'account compromesso), User Account (l'utente interno bersagliato), Network Traffic (le connessioni post-click), File (payload eventualmente scaricato). L'output tipico è una super-timeline generata con Plaso/log2timeline (open source) tramite log2timeline.py seguito da psort.py, filtrata sulla finestra temporale del contatto social.

Per casi con implicazioni legali, la catena di custodia deve documentare gli screenshot dei messaggi ricevuti (con hash SHA-256), preservati prima che l'attaccante possa eliminarli dalla piattaforma — un rischio concreto dato che molti attori cancellano le tracce dopo la fase di initial access.

Il panorama degli attori che sfruttano T1586.001 è ristretto ma qualitativamente rilevante, con due gruppi state-sponsored documentati da MITRE che rappresentano paradigmi operativi distinti.

Sandworm Team (G0034), attribuito al GRU russo (Unità 74455), utilizza pagine di credential capture per compromettere account social media legittimi esistenti. L'approccio è coerente con la dottrina di information warfare del gruppo, storicamente noto per operazioni come NotPetya e gli attacchi alla rete elettrica ucraina. L'uso di account social compromessi si inserisce in campagne più ampie di disinformazione e di preparazione al terreno digitale, dove personas legittime vengono weaponizzate per amplificare narrative ostili o per costruire relazioni di fiducia con target specifici in ambito governativo, energetico e delle telecomunicazioni. Il gruppo tende a preferire target nell'area geografica ex-sovietica e, dal 2022, con crescente intensità verso l'Europa occidentale.

Leviathan (G0065), noto anche come APT40, TEMP.Periscope, TEMP.Jumper e attribuito al Ministero della Sicurezza dello Stato cinese (MSS), sfrutta account social compromessi per condurre attacchi di social engineering. Il gruppo è specializzato nel targeting di settori marittimi, difesa, ricerca accademica e aerospaziale, con interesse strategico verso paesi che si affacciano sul Mar Cinese Meridionale e verso alleati occidentali coinvolti in progetti navali. Il modus operandi di Leviathan sfrutta tipicamente personas di ricercatori o giornalisti compromesse per ingaggiare esperti target su LinkedIn con richieste di collaborazione, interviste o offerte di lavoro apparentemente legittime — un pattern che condivide con altri APT cinesi come APT29 e Kimsuky pur non essendo formalmente correlati.

Il pattern comune ai due gruppi è la preferenza per profili con network consolidato e storia autentica rispetto a personas fabbricate ex novo. Questa scelta operativa riflette una maturità di threat model: gli attaccanti sanno che le piattaforme social hanno migliorato gli algoritmi di detection per account nuovi, mentre account storici con anni di attività e centinaia di connessioni passano più facilmente sotto il radar. La compromissione avviene spesso attraverso credential stuffing su dump di breach vecchi ma efficaci, dato il tasso ancora elevato di riuso password.

Sul piano strategico, il threat intelligence officer deve considerare che la mancanza di visibilità enterprise su questa tecnica la rende un blind spot sistemico. Le raccomandazioni operative includono la sottoscrizione a feed di brand monitoring, la creazione di canary account interni e il rafforzamento del training anti-phishing includendo esplicitamente scenari di ingaggio via LinkedIn e altre piattaforme professionali. Il trend osservabile è una crescita dell'uso di questa tecnica anche da parte di attori cybercriminali (ransomware access broker) che imitano le tattiche state-sponsored per targeting di executive con accesso privilegiato.

MITRE ATT&CK: T1586.001 (Social Media Accounts), TA0042 (Resource Development), T1566.003 (Spearphishing via Service), T1585.001 (Social Media Accounts creation). Gruppi: G0034 Sandworm Team, G0065 Leviathan. Mitigazione M1056 Pre-compromise. Detection DET0870. Framework MITRE D3FEND per artefatti Persona, User Account, Network Traffic. Le sezioni operative integrano conoscenza professionale di cybersecurity per tool OSINT, framework di phishing e procedure forensi, con riferimento a documentazione ufficiale dei tool citati e best practice consolidate del settore.