Nell’ultimo mese gli esperti di Barracuda Networks, azienda specializzata nella cyber resilience che offre una piattaforma progettata per semplificare la sicurezza delle organizzazioni di ogni dimensione, hanno individuato nuove campagne di attacco via e-mail progettate per colpire organizzazioni e dipendenti. Le tecniche osservate dimostrano come gli attaccanti puntino sempre più a sfruttare servizi legittimi per aggirare i controlli di sicurezza e, in molti casi, a utilizzare le e-mail non solo per rubare credenziali, ma anche per distribuire malware. Di seguito le principali tendenze emerse.
Pagine Microsoft autentiche utilizzate per rubare token di sessione
Una delle campagne analizzate sfrutta la piattaforma di phishing-as-a-service Tycoon 2FA e rappresenta un’evoluzione rispetto ai tradizionali attacchi di phishing. Invece di utilizzare una falsa pagina di accesso Microsoft, gli aggressori indirizzano le vittime verso una pagina di autenticazione vera, registrata però su un account Microsoft controllato dagli stessi criminali informatici.
L’attacco prende avvio con un’e-mail che avvisa falsamente l’utente che la propria casella di posta è quasi piena e lo invita a partecipare a un presunto incontro con il team di sicurezza Microsoft. Attraverso un invito nel calendario, la vittima viene reindirizzata alla pagina di accesso, inserisce le proprie credenziali e genera un token di sessione che viene immediatamente intercettato dagli aggressori. In una fase successiva viene inoltre mostrata una falsa pagina di login, consentendo il furto anche della password.
Questa tecnica risulta particolarmente efficace perché sfrutta un dominio Microsoft autentico, capace di superare molti controlli di sicurezza e di risultare credibile anche agli utenti più attenti. Il furto dei token di sessione e delle autorizzazioni OAuth consente inoltre agli aggressori di ottenere un accesso immediato e persistente alla posta elettronica, ai file archiviati online e agli altri servizi Microsoft 365 associati all’account.
PDF utilizzati per nascondere gli attacchi di phishing
Un’altra minaccia individuata da Barracuda sfrutta gli allegati PDF per occultare i link malevoli e ridurre le probabilità di rilevamento da parte degli strumenti di sicurezza.
Le e-mail fanno riferimento a presunti problemi di conformità normativa o di pagamento e invitano il destinatario ad aprire un documento allegato. All’interno del PDF è presente un link che conduce a una falsa procedura di autenticazione tramite codice dispositivo, progettata per sottrarre credenziali aziendali e indirizzi e-mail.
A differenza di campagne precedenti, che utilizzavano API Microsoft reali, in questo caso gli aggressori generano localmente nel browser codici dispositivo fasulli, riproducendo fedelmente il normale processo di autenticazione Microsoft. La campagna impiega inoltre CAPTCHA per ostacolare le analisi automatizzate e utilizza infrastrutture temporanee: le pagine di phishing si autodistruggono dopo un breve periodo, rendendo più difficile l’analisi forense e il rilevamento successivo dell’attacco.
Il phishing evolve: sempre più campagne vengono utilizzate per distribuire malware
Il team di Barracuda Research evidenzia anche un cambiamento nelle strategie degli aggressori, che sempre più spesso sfruttano le e-mail di phishing come veicolo per installare malware, anziché limitarsi al furto di credenziali.
In una delle campagne osservate, un’apparente e-mail contenente una fattura invita il destinatario a scaricare un presunto documento PDF. In realtà, il collegamento avvia il download di un file JavaScript dannoso che nasconde il proprio codice malevolo tramite tecniche di steganografia e offuscamento. Una volta eseguito, lo script è in grado di raccogliere informazioni sul sistema, installare ulteriori malware, mantenere un accesso persistente al dispositivo compromesso e comunicare con l’infrastruttura controllata dagli aggressori.
I ricercatori hanno inoltre osservato campagne che utilizzano una sequenza di impersonificazioni dei servizi Microsoft per aumentare la credibilità dell’attacco. In questi casi, un file HTML conduce la vittima a un falso ambiente OneDrive che, a sua volta, reindirizza a una falsa pagina di accesso Excel. Questa catena di reindirizzamenti rende più convincente l’intera operazione e aumenta le probabilità che l’utente inserisca le proprie credenziali, nascondendo progressivamente la natura fraudolenta dell’attacco.
