Ricognizione di Rete Locale: System Network Configuration Discovery (T1016)

In un ingaggio red team, la ricognizione di configurazione di rete è tra le prime azioni post-exploitation. Su Windows il set base parte da ipconfig /all, che restituisce adattatori, MAC, gateway, server DHCP/DNS e suffissi DNS; si prosegue con arp -a per la cache ARP, route print per la tabella di routing, nbtstat -n e nbtstat -s per sessioni e nomi NetBIOS, netsh interface show interface e netsh interface portproxy show all per verificare eventuali port proxy già presenti (tecnica osservata in Volt Typhoon). Il comando nltest /parentdomain e nltest /dclist completano il quadro dominio.

Per chi preferisce PowerShell, i cmdlet Get-NetIPAddress, Get-NetAdapter, Get-NetRoute e Get-DnsClientServerAddress offrono output strutturato più facile da parsare in script di post-exploitation. La query WMI Get-CimInstance Win32_NetworkAdapterConfiguration (utilizzata da Kimsuky) è un'alternativa che evita i binari classici e riduce le firme.

Su Linux e macOS si combinano ip a, ip route, ip neigh, cat /etc/resolv.conf, cat /proc/net/route, cat /proc/net/arp, netstat -rn, ifconfig -a e su macOS networksetup -listallhardwareports e system_profiler SPNetworkDataType. Su ESXi i comandi rilevanti sono esxcli network nic list e esxcli network ip interface ipv4 get, invocabili via SSH su hostd.

Per apparati di rete (router, switch), tramite sessione CLI valida si usano show ip interface brief, show ip route, show arp, show cdp neighbors — quest'ultimo utile per mappare la topologia adiacente.

A livello di tooling da laboratorio, framework come Empire (open source), Sliver (open source), PoshC2 (open source), Koadic (open source) e Cobalt Strike (a pagamento) integrano moduli di network discovery pronti. Per scansione NetBIOS mirata, NBTscan (open source) e SharpNBTScan (open source), quest'ultimo usato da Mustang Panda, rimangono standard. Per enumerazione Active Directory delle subnet, AdFind (gratuito) e CrackMapExec (open source, oggi mantenuto come NetExec) sono di riferimento. In un esercizio realistico è buona pratica eseguire i comandi tramite processi figli di cmd.exe o powershell.exe con parent atipici, così da testare le detection comportamentali del blue team sui pattern di enumerazione ravvicinata.

La detection di T1016 poggia quasi interamente sull'analisi comportamentale dell'esecuzione di comandi, perché i binari coinvolti sono legittimi e sistemici. Il riferimento operativo è DET0195, che scompone la rilevazione per piattaforma.

Su Windows (AN0559) la telemetria chiave arriva da Sysmon Event ID 1 (process creation) e dai log PowerShell 4103/4104 (script block logging). Le regole vanno costruite cercando l'esecuzione di ipconfig.exe, arp.exe, route.exe, nbtstat.exe, nltest.exe, netsh.exe, tracert.exe, nslookup.exe e getmac.exe, con particolare attenzione alle catene ravvicinate: quando due o più di questi processi vengono lanciati dallo stesso parent in una finestra di 60-120 secondi, il pattern è quasi sempre sospetto. Correlare per UserContext — utenze non amministrative o service account che non dovrebbero mai eseguire discovery — riduce drasticamente i falsi positivi. Il parent explorer.exe → cmd.exe di un amministratore è tipicamente benigno; w3wp.exe, sqlservr.exe o winword.exe come parent di ipconfig sono red flag immediati. Anche l'invocazione di Win32_NetworkAdapterConfiguration via WMI merita alert dedicato.

Su Linux (AN0560) la sorgente primaria è auditd con regole EXECVE su ifconfig, ip, route, arp, netstat, oltre a open su /proc/net/route, /proc/net/arp, /proc/net/fib_trie. Il tuning per CommandLinePattern deve intercettare varianti come ip -4 addr show, ip -o link, ss -tulpn. Discriminare shell interattive da sessioni script (assenza di TTY, parent non standard) aiuta a isolare l'attività automatizzata di malware come Kobalos o Penquin.

Su macOS (AN0561) il unified log cattura invocazioni di ifconfig, networksetup, system_profiler; loop di enumerazione su più interfacce in pochi secondi sono un indicatore forte, come osservato in MacMa e OSX_OCEANLOTUS.D.

Su ESXi (AN0562) i log hostd registrano i comandi esxcli network; sessioni SSH provenienti da IP amministrativi anomali che eseguono esxcli network nic list o esxcli network ip interface ipv4 get devono generare alert prioritari, spesso preludono a distribuzione di ransomware sugli hypervisor.

Su apparati di rete (AN0563) i log CLI catturano show ip interface, show arp, show route; sessioni SSH/Telnet da utenze a basso privilegio o fuori orario che eseguono queste query sono l'indicatore chiave, come nel caso RedPenguin su router Juniper.

Dal punto di vista D3FEND, le contromisure Detect rilevanti includono Process Spawn Analysis, Script Execution Analysis e System Call Analysis; sul fronte Harden, la restrizione di PowerShell in modalità Constrained Language e AppLocker su binari di discovery per utenze standard riducono la superficie.

Nell'analisi forense la ricognizione di rete lascia tracce distribuite tra artefatti di esecuzione processi, storici shell, cache di sistema e log applicativi. La ricostruzione della timeline parte dall'identificazione del momento in cui l'attaccante ha lanciato i primi comandi di enumerazione, spesso pochi minuti dopo l'initial access.

Su Windows gli artefatti primari sono le Prefetch (C:\Windows\Prefetch\IPCONFIG.EXE-.pf*, ARP.EXE-.pf*, NBTSTAT.EXE-.pf*, ROUTE.EXE-.pf*), che confermano esecuzione con timestamp di prima e ultima esecuzione. Amcache.hve e ShimCache (AppCompatCache) documentano la presenza dei binari eseguiti, utile per correlare esecuzioni fuori dai path standard o rinomate. I log Sysmon EID 1 e Security 4688 (con command line auditing abilitato) forniscono la riga di comando completa e il parent process. Per PowerShell, i log Microsoft-Windows-PowerShell/Operational EID 4104 conservano gli script block eseguiti, includendo cmdlet come Get-NetIPAddress o Get-ADComputer (osservato in Wizard Spider). La ConsoleHost_history.txt del profilo utente conserva la history PowerShell dell'ultima sessione.

Su Linux l'artefatto principale è auditd con syscall execve, integrato dai file .bash_history, .zsh_history del profilo utente compromesso e, se abilitato, Sysmon for Linux (open source). File temporanei prodotti dagli attaccanti — pattern osservato in admin@338 con ipconfig /all >> %temp%\download e in Mis-Type con output di cmd.exe /c ipconfig /all — vanno cercati in %TEMP%, C:\Users\Public, /tmp e sottodirectory ADS.

Su macOS il unified log (recuperabile con log collect) contiene le invocazioni di ifconfig, networksetup, system_profiler. Su ESXi i file /var/log/shell.log, /var/log/hostd.log e /var/log/auth.log documentano sessioni SSH e comandi esxcli. Su router e switch, i log AAA e syslog centralizzati mostrano le sessioni CLI e i comandi eseguiti.

Gli artefatti digitali D3FEND rilevanti sono Process, Command History, File (output ridiretti) e Network Traffic (per query DNS a servizi come api.ipify.org, ip-api.com, freegeoip.net usati da QuasarRAT, Bonadan, Grandoreiro per rilevare l'IP pubblico). Query DNS verso questi domini nei log Zeek o Windows DNS Client 3008 sono forti indicatori di compromissione.

Sul piano delle campagne, la timeline forense di Operation CuckooBees mostra l'uso ripetuto di ipconfig, nbtstat, tracert, route print e cat /etc/hosts; in C0017 APT41 ha lasciato traccia di cmd.exe /c ping %userdomain%; KV Botnet Activity su SOHO end-of-life ha raccolto IP durante l'installazione. Correlare gli output ridiretti su file con successive esfiltrazioni permette di stimare cosa l'attaccante ha effettivamente estratto sulla topologia dell'ambiente.

T1016 è una tecnica trasversale che accomuna attori di ogni matrice geografica e motivazione, dallo spionaggio statuale al cybercrime ransomware. Cinque profili aiutano a comprendere il panorama.

Turla (G0010), storicamente attribuita all'intelligence russa, esegue una ricognizione strutturata a ogni check-in: arp -a, nbtstat -n, net config, ipconfig /all, route e uso di NBTscan. Le sue backdoor RPC recuperano anche informazioni sulle interfacce RPC registrate direttamente dalla memoria di processo, un livello di sofisticazione superiore alla media che riflette la maturità operativa del gruppo.

APT41 (G0096), gruppo cinese noto per la doppia natura spionaggio-cybercrime, raccoglie MAC address e, nella campagna C0017 contro governi statali USA, ha usato cmd.exe /c ping %userdomain% come discovery leggera. La stessa constellation cinese emerge in Operation CuckooBees (C0012), dove attori riconducibili a Winnti, APT41 e BARIUM hanno impiegato ipconfig, nbtstat, tracert, route print e cat /etc/hosts — un mix Windows/Linux che rispecchia la varietà degli ambienti target nel manifatturiero East Asia, Europa e Nord America.

Volt Typhoon (G1017), attore cinese focalizzato su infrastrutture critiche USA e nel territorio di Guam, si distingue per l'uso di netsh interface portproxy show all accanto a ipconfig e netsh interface firewall show all. La campagna KV Botnet Activity (C0035) ha sfruttato apparati SOHO end-of-life di Cisco, NETGEAR e DrayTek come punti di offuscamento, raccogliendo IP delle vittime nella fase di installazione — un pattern strategico che tradisce interesse per pre-posizionamento a lungo termine.

Kimsuky (G0094), gruppo nordcoreano, combina ipconfig /all con web beacon via email e query WMI Win32_NetworkAdapterConfiguration. L'uso di beacon email per raccogliere info di rete è distintivo e riflette la vocazione del gruppo verso operazioni di social engineering prolungate contro think tank e ricercatori.

Scattered Spider (G1015), attore cybercrime finanziariamente motivato noto per intrusioni SIM-swap e ransomware, usa ping e nltest per ricognizione rapida — un profilo minimalista tipico degli operatori che privilegiano velocità e living-off-the-land per evitare EDR.

Sul piano dei tool condivisi, NBTscan compare in Turla, Threat Group-3390, GALLIUM e Mustang Panda (via SharpNBTScan); Cobalt Strike in innumerevoli campagne ransomware inclusa C0015 con Conti e Bazar; Empire in Frankenstein (C0001). Il trend consolidato è la migrazione da tool custom verso framework open source e binari nativi, che complica l'attribuzione ma rende la detection comportamentale — non signature-based — l'unico approccio efficace.

MITRE ATT&CK T1016 (System Network Configuration Discovery), tattica TA0007 Discovery. Gruppi e software citati dal dataset ATT&CK ufficiale. Campagne di riferimento: C0001 Frankenstein, C0007 FunnyDream, C0012 Operation CuckooBees, C0014 Operation Wocao, C0015, C0017, C0018, C0035 KV Botnet Activity, C0045 ShadowRay, C0056 RedPenguin. Detection MITRE DET0195 (AN0559-AN0563) e mapping MITRE D3FEND per Process Spawn Analysis e Script Execution Analysis. Integrata conoscenza professionale su tool open source (Sysmon, Sliver, Empire, NBTscan, AdFind, NetExec) e artefatti forensi Windows/Linux/macOS/ESXi verificati su documentazione ufficiale.