Spearphishing con Allegato per Raccolta Informazioni: Spearphishing Attachment (T1598.002)
La tecnica T1598.002 descrive l'invio di email mirate con allegato malevolo il cui scopo non è compromettere immediatamente l'endpoint, ma estorcere informazioni — tipicamente credenziali, dati aziendali o compilazione di moduli — sfruttando ingegneria sociale credibile.
Si colloca nella tattica TA0043 (Reconnaissance), quindi in una fase pre-compromise della kill chain: precede l'Initial Access e alimenta le successive attività di targeting. L'attaccante costruisce pretesti plausibili (richieste da presunti partner, moduli HR, fatture da compilare) e spesso incorpora tecniche come HTML Smuggling per servire portali di login fasulli tramite l'allegato stesso, oppure attende che la vittima restituisca il file compilato.
L'impatto è duplice. Sul piano diretto, le credenziali raccolte abilitano accessi legittimi che bypassano molti controlli perimetrali. Sul piano indiretto, le informazioni estratte servono a rendere le successive ondate di phishing indistinguibili da comunicazioni autentiche.
I dati MITRE censiscono 4 gruppi APT che adottano attivamente questa tecnica (Dragonfly, Sidewinder, SideCopy, Star Blizzard), coprendo scenari che vanno dallo spionaggio industriale nel settore energetico fino alle operazioni di influenza contro governi e ONG. Le mitigazioni ufficialmente mappate sono solo 2 (User Training e Software Configuration), a conferma che la difesa si gioca prevalentemente sul fattore umano e sulla corretta configurazione dell'infrastruttura email.
In un ingaggio red team autorizzato, la simulazione di T1598.002 richiede un'infrastruttura di phishing controllata e allegati realistici che non compromettano l'endpoint ma raccolgano credenziali o informazioni. L'obiettivo è misurare la maturità dei processi di segnalazione, non bruciare artefatti veri.
Il primo mattone è la piattaforma di simulazione. GoPhish (open source) resta lo standard per orchestrare campagne interne: consente di importare liste target, creare template email, tracciare aperture e click. Un lancio tipico si avvia con:
./gophish
dopo aver configurato config.json per esporre l'admin panel solo su loopback. Per catene più realistiche si affianca Evilginx3 (open source), reverse proxy che intercetta sessioni MFA autentiche verso portali come Microsoft 365. Il flusso operativo prevede: generazione di un phishlet, deploy su dominio look-alike acquisito per l'ingaggio, e invio dell'allegato che rimanda al portale proxato.
Per l'allegato-esca, tre approcci coprono lo spettro reale osservato in campo:
- Documento Office con form da compilare: un .docx con campi modulo Word che chiede al destinatario dati anagrafici o credenziali "per verifica fornitore". Nessuna macro, quindi nessun alert AV.
- HTML Smuggling: pagina HTML allegata che ricostruisce lato client un blob (fake login form) via JavaScript. Il framework SharpHTMLSmuggler (open source) o script custom generano il payload.
- PDF con link a portale credential-harvesting: creabile con qualsiasi editor, usa un pretesto tipo "visualizza il documento condiviso".
Per il pretexting, la ricognizione OSINT è la fase più lunga. Maltego CE (freemium) mappa relazioni tra dipendenti target, theHarvester (open source) enumera email pubbliche:
theHarvester -d dominio-target.tld -b all
Hunter.io (freemium) restituisce pattern email aziendali. Per la reputazione del dominio di invio è indispensabile scaldarlo settimane prima: Mailwarm (a pagamento) o warm-up manuale.
Sul fronte delivery, verifica sempre SPF, DKIM e DMARC del dominio di invio con:
dig TXT dominio.tld
Un mismatch tra header From e dominio autenticato è il primo motivo di quarantena. Nei laboratori di training, Caldera (open source) di MITRE offre plugin per orchestrare simulazioni pre-compromise mappate direttamente su ATT&CK, utile per validare le detection SOC in ambienti isolati. Regola aurea: ogni ingaggio deve avere Rules of Engagement scritte, dominio dedicato mai riutilizzato, e canale di safe word con il blue team per interrompere la simulazione.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo