In questo articolo abbiamo provato a dare una nostra interpretazione di cosa sia per NOI l'OSInt. ORA è tempo di iniziare a sporcarci le mani con una delle prime operazioni che vengono fatte nelle attività di ricerca online: la ricerca di alias ed username utilizzati da uno stesso utente in rete.

Da dove iniziare

Caso studio: Ramingo

Partiamo da questo esempio: ci è stato fornito uno screenshot di un utente Telegram (uno a caso vero @trapper ?)

Possiamo subito fare alcune considerazioni: senza bisogno di installare il client Telegram possiamo vedere l'username @ramingo, presente anche nel suo vanity url ( entrambi cerchiati in rosso). In questo caso l'utente ha un'immagine profilo abbastanza singolare: un lupo in giacca e cravatta (cerchiata in azzurro). Il nick utilizzato "Signor Lupo", unitamente alla bio "Come join the dark side...Sfina!" ci permettono di trarre le prime conclusioni: molto probabilmente siamo di fronte al profilo di un utente italiano.

Va comunque tenuto a mente che questi sono tutti dettagli forniti dall'utente e possono cambiare molto spesso nel tempo. Al momento Telegram NON offre la possibilità di visualizzare l'identificativo univoco numerico che identifica in modo inequivocabile gli utenti nel sistema. Per ottenere quel dato c'è bisogno di interagire direttamente con le API di Telegram o con client Telegram particolari, come ad esempio Telegram PLUS.

Dopo questa premessa, diamo un'occhiata agli strumenti a nostra disposizione per effettuare questo tipo di ricerca.

Motori di ricerca

Per quanto possa sembrare banale, le prime fonti da cui possiamo ottenere dati o informazioni utili sono i motori di ricerca, come ad esempio Google e DuckDuckGo. Spesso infatti otteniamo risultati sorprendenti poiché gli alias sono uno dei dati più comunemente inclusi nelle descrizioni degli utenti presenti nei forum o nei servizi di Istant Messaging. Un uso avanzato delle dork potrebbe fornire risultati molto molto utili.

Un altro utilizzo che possiamo fare dei motori di ricerca riguarda la ricerca delle immagini profilo. La ricerca delle immagini è una funzionalità che ormai è comune a tutti i motori di ricerca. Vale la pena segnalare che al momento Yandex offre un riconoscimento delle immagini/volti estremamente interessante.

Servizi web di ricerca

La finalità di questi servizi web è quella di indicare all'utente su quali siti/social network sia possibile registrare uno specifico nickname.

Per i nostri fini utilizzeremo questo servizi adottando una logica inversa rispetto a quella con cui è stato creato: escluderemo inizialmente i siti e social network in cui è possibile registrare il nome utente inserito e ci concentreremo su quei siti dove l'username è già stato registrato.

Knowem.com

knowem.com è uno dei siti maggiormente utilizzati per la ricerca di username, sia all’interno di siti web sia tra i social network, passando anche per la ricerca nei nomi di dominio e dei marchi registrati.

Basterà inserire l'username da ricercare nell'apposito box di ricerca e fare clic su search per avviare la ricerca dell'username, in questo esempio ramingo, su oltre 500 social network, siti internet e domini.

Namevine.com

namevine.com permette di effettuare la ricerca tra i più popolari social network, accettando come input qualsiasi testo, anche parziale. La sua estrema velocità nel fornire risultati e la possibilità di ricercare testi parziali, magari poiché si sospetta che la persona cercata abbia potuto variare una parte dello username, ne fa un ottimo strumento con cui iniziare le ricerche.

Ci tornerà molto utile la possibilità di cliccare sull'apposito tab "View" per accedere direttamente al profilo collegato all'username cercato.

Instantusername.com

Tra i tanti servizi dedicati alla ricerca di username, instantusername.com si distingue innanzitutto per la sua licenza GNU GPL v.3.0, inoltre effettua ricerche su oltre 100 siti di social network, tra cui anche il recentissimo social "Mastodon".

Tool a linea di comando

In alternativa ai servizi precedentemente illustrati è possibile appoggiarsi ad alcuni tool da linea di comando liberamente disponibili online oppure già inclusi in alcune distribuzioni Linux dedicate, come Tsurugi Linux. Tsurugi Linux è un progetto open-source completamente gratuito a cui intendiamo dedicare diversi altri articoli.

Dopo aver avviato la distribuzione in modalità live o macchina virtuale, vi suggerisco di sfruttare l' "OSINT Profile Switcher" tramite cui è possibile visualizzare solo gli strumenti utili per le attività collegate all'OSInt, nascondendo (ma lasciando ancora disponibili) quelle dedicate alla Digital Forensics.

Tra i vari tool presenti, vediamo insieme come utilizzarne un paio, molto utili ed efficaci.

UserRecon

userRecon è un tool da riga di comando che è possibile avviare direttamente dal menu "Tsurugi - Osint". Una volta avviato si aprirà una finestra del terminale MATE in cui potete inserire direttamente lo username da trovare su oltre 75 siti web e social-network.

Al termine della ricerca i risultati verranno sia mostrati a video, correlati da tutti i link di collegamento diretto, sia automaticamente salvati in un file di testo.

update: il link originale non risulta più raggiungibile, è stato sostituito con uno funzionante.

Userrecon-py

userrecon-py permette di effettuare di espandere la stessa ricerca in quasi 190 social-network e siti web restituendo i riscontri positivi a video.

Anche in questo caso userrecon-py è raggiungibile tramite menu: verrà aperta una shell in cui andrà inserito questo comando:

userrecon-py --target USERNAME

Al termine della ricerca verranno elencati a video i risultati positivi trovati. Per ottenere un file di testo contenente i risultati positivi dobbiamo reindirizzare l'output dello script in un file di testo tramite questo comando:

userrecon-py --target ramingo >> userrecon-py.txt

Iniziamo ad analizzare i dati

Dopo aver raccolto tutti questi dati dobbiamo correlarli ed analizzarli per ottenere le informazioni che ci servono.
Salta subito all'occhio la presenza di molti siti dedicati al mondo dei gamer. Anche se molti non hanno fornito risultati apprezzabili, vale la pena soffermarci su alcuni di essi:

Dalla ricerca effettuata sulla piattaforma di gaming "Steam", notiamo la presenza di almeno 21 profili che utilizzano, in questo momento, il nick Ramingo. Controllarli uno per uno è indubbiamente l'approccio migliore, ma richiede molto più tempo. In questo caso un'osservazione attenta delle immagini profilo potrebbe aiutarci a focalizzare meglio la ricerca sul profilo utente più interessante: il primo utilizza l'immagine di un lupo in giacca e cravatta.

Collegandoci al profilo utente, possiamo osservarne meglio l'immagine:

Anche qui abbiamo un lupo in giacca e cravatta. Possiamo ipotizzare con ragionevole certezza che, data la combinazione di foto+username, i due account siano riconducibili dalla stessa persona. Non va trascurata la funzionalità di Steam "Questo utente ha anche giocato come:" che ci potrebbe indicare altri username utilizzati in passato dall'utente.

Va tenuto a mente che questo tipo di servizi offre la possibilità di acquistare giochi e hardware tramite l'utilizzo di transazioni elettroniche. Ciò significa che tramite strumenti di Polizia Giudiziaria potrebbe essere possibile ottenere dati REALI dell'utente come nome, cognome, mezzi di pagamento, ecc.

Spulciando tra i risultati forniti dai precedenti siti e tool, salta anche all'occhio un profilo Github, registrato come ramingo:

Apparentemente non è immediatamente correlabile al profilo ricercato ma la presenza dell'immagine di profilo legata a "Battlefield 3" ci suggerisce di dedicargli un po' di attenzione.

In effetti, la pista dell'utente/gamer fornisce ulteriori spunti. La nostra ricerca ci ha restituito anche un profilo utente ramingo 9GAG, che potrebbe rivelarsi interessante.

Che altre conclusioni possiamo trarre dalle precedenti immagini?

• L'utilizzo di un'immagine del profilo contenenti un animale umanizzato (lupo o gatto che sta compiendo una tipica attività da umani), le numerose sezioni dedicate ai giochi, la costante presenza di post riferiti agli stessi (tra cui troviamo nuovamente "Battlefield") e la presenza di numerosi post riferiti all'Italia, forniscono sufficienti elementi per considerare il profilo meritevole di ulteriore approfondimenti.
• La presenza di un possibile pattern più o meno inconscio adottato dal target della ricerca nella scelta di username o di immagini profilo.
• Un'idea di massima degli hobby dell'utente utile per indirizzare la ricerca di altri profili.

Conclusioni

In questo articolo abbiamo dato una rapida scorsa solo a due delle principali metodologie per la ricerca di username, attività preliminare e necessaria per delineare quanto più possibile l'identità digitale di un utente.

Va messo in conto però che metodi come quelli appena illustrati, forniranno un gran numero di falsi positivi, soprattutto con username molto comuni, che richiedono l'adozione di metodologie e strumenti per convalidare i risultati.

P.S.: Se avete suggerimenti o altri articoli sullo stesso argomento, segnalateceli nei commenti!