A partire da maggio 2026, i ricercatori di Proofpoint hanno individuato e tracciato un nuovo e sofisticato cluster di attività cyber-criminali denominato UNK_MassTraction, impegnato a sfruttare una vulnerabilità di tipo Cross-Site Scripting (XSS) identificata come CVE-2024-42009 all’interno di Roundcube, un diffuso client webmail.
La campagna ha preso di mira in modo specifico i dipartimenti di fisica e ingegneria di importanti università statunitensi e canadesi, concentrandosi in particolare su amministratori e docenti di facoltà con legami solidi con la sicurezza nazionale o impegnate nello studio della fisica delle particelle e dell’astrofisica.
Sebbene il target iniziale sia estremamente mirato, l’exploit necessita semplicemente dell’apertura dell’e-mail da parte dell’utente per garantire agli attaccanti l’accesso al server di posta. Di conseguenza, i singoli destinatari potrebbero essere solo un mezzo per raggiungere un fine. Tuttavia, la selezione dettagliata dei dipartimenti indica come UNK_MassTraction abbia condotto un’accurata attività di ricognizione preventiva, individuando le organizzazioni che utilizzavano ancora versioni vulnerabili di Roundcube non aggiornate (vulnerabilità “n-day”).
Come funziona la catena di attacco
L’infezione si sviluppa in più fasi ideate per aggirare i controlli di sicurezza:
- L’innesco (XSS): sfruttando la vulnerabilità iniziale di Roundcube, gli attaccanti eseguono codice JavaScript direttamente nel browser della vittima.
- Il furto delle credenziali: questo accesso consente di caricare un payload JavaScript in grado di sottrarre le credenziali memorizzate nel browser.
- Il consolidamento sul server: utilizzando una seconda vulnerabilità, gli attori malevoli ottengono una presenza stabile (foothold) direttamente sul server di posta elettronica, installando una webshell o avviando in memoria la backdoor nota come VShell.
La pista cinese e le finalità geopolitiche
I ricercatori di Proofpoint hanno individuato diversi indirizzi IP di server privati virtuali (VPS) negli header delle e-mail di phishing inviate da UNK_MassTraction che appartengono a una rete nascosta (covert network) ritenuta in uso a molteplici attori di minacce allineati agli interessi di Pechino.
L’accesso a questa specifica infrastruttura, combinato con il basso volume di e-mail inviate ai target universitari, l’uso della backdoor VShell e la presenza di artefatti in lingua cinese nei messaggi di phishing, porta Proofpoint a valutare con alta probabilità che UNK_MassTraction sia un attore di cyber-spionaggio supportato dallo stato cinese, caratterizzato da una moderata consapevolezza della propria sicurezza operativa (OPSEC).
A differenza di altri gruppi che mirano a sottrarre i contenuti e i messaggi presenti nelle caselle e-mail, gli attori statali cinesi utilizzano storicamente i server di posta come “dispositivi edge”, ovvero come veri e propri punti di appoggio per penetrare più a fondo all’interno dell’intera rete aziendale o accademica.
Perché questa notizia è importante
Sebbene sia improbabile che UNK_MassTraction stia cercando di risolvere complessi dilemmi di fisica teorica o il paradosso di Fermi, la campagna dimostra notevole maturità tecnica e un utilizzo strategico di vulnerabilità note.
Questa operazione serve da severo monito per i difensori di rete: la semplice ricezione e apertura di un’e-mail può compromettere un intero server di posta. A maggior ragione, sottolinea l’urgenza per le organizzazioni di proteggere e monitorare i propri server e-mail con lo stesso livello di priorità e rigore riservato ai concentratori VPN e agli altri nodi di accesso remoto.
