Tre cluster russi abusano OAuth, device code e WhatsApp contro diplomatici e ricercatori

🛡️ Executive Summary

• GTIG traccia tre cluster sospettati di cyberspionaggio russo che colpiscono individui ad alto valore tra governi, difesa, università e think tank occidentali.
• UNC6293 e UNC7005 abusano di app password, OAuth e device code, mentre UNC7005 collega anche account WhatsApp e distribuisce infostealer.
• UNC5976 automatizza la raccolta dei token OAuth attraverso infrastrutture cloud e pagine file-sharing che conducono a login Google perfettamente legittimi.

Il cyberspionaggio russo sta spostando sempre più il baricentro dall’infezione del dispositivo alla manipolazione dei flussi di autenticazione legittimi. Google Threat Intelligence Group traccia tre cluster distinti, UNC6293, UNC7005 e UNC5976, impegnati in campagne selettive contro accademici, diplomatici, personale governativo, aerospace e difesa, think tank e ricercatori tra Europa e Stati Uniti. Il denominatore comune è l’abuso di app password, OAuth, device code e linking di WhatsApp, tecniche nelle quali la vittima interagisce spesso con pagine autentiche del provider. L’attacco diventa quindi più difficile da riconoscere perché non sempre chiede una password e può ottenere direttamente autorizzazioni o token validi.

UNC6293 continua le operazioni collegate ad APT29

Nella nuova analisi del Google Threat Intelligence Group UNC6293 viene valutato con moderata confidenza come sottocluster di ICE RELIC, precedentemente APT29, specializzato nell’accesso iniziale. Le campagne già documentate nel 2025 utilizzavano false comunicazioni del Dipartimento di Stato statunitense per convincere personalità critiche verso la Russia a creare una app password Google, che consente a programmi o dispositivi meno recenti di accedere all’account senza utilizzare il normale secondo fattore.

Gli operatori chiedevano inizialmente alla vittima di inviare la password via email; nelle campagne successive l’hanno invece fatta inserire in moduli di autenticazione apparentemente legittimi. Nel giugno 2026 UNC6293 ha incorporato anche il phishing OAuth, inducendo il bersaglio a fornire l’URL completo o un verification code generato dopo un login reale. Il modello sviluppa la stessa logica già osservata nelle offensive russe contro Microsoft 365 basate sull’abuso dei flussi di autenticazione: non serve rompere l’MFA quando è possibile convincere l’utente ad autorizzare direttamente l’attaccante.

UNC7005 sfrutta Microsoft Device Code e pagine diplomatiche costruite su misura

UNC7005, indicato anche come STORM-2945, viene seguito separatamente da Google per la minore sofisticazione, una sicurezza operativa più debole e l’impiego di malware, pur essendo anch’esso collegato con moderata confidenza a ICE RELIC. Dal febbraio 2026 conduce campagne altamente selettive contro università, personale diplomatico e organizzazioni non profit in Ucraina, Europa occidentale e Stati Uniti. Le esche simulano conferenze, ambasciate e organizzazioni reali, arrivando a riprodurre eventi come il forum GLOBSEC.

Prima di mostrare il contenuto malevolo, alcune pagine raccolgono risoluzione, fuso orario, lingua, piattaforma, CPU, memoria e supporto touch per distinguere un bersaglio reale da scanner automatizzati. La vittima viene quindi portata verso un flusso Microsoft Device Code autentico e invitata a inserire un codice che autorizza la sessione dell’attaccante. La tecnica è ormai diventata uno dei principali vettori identity-based contro Microsoft 365, come dimostrano Helix e Forg365, che utilizzano device code e token validi al posto del malware tradizionale.

WhatsApp viene collegato al dispositivo dell’attaccante senza rubare la password

UNC7005 ha esteso lo stesso principio a WhatsApp. Le pagine costruite dagli operatori simulano inviti a riunioni, conferenze o trasferimenti di file e guidano la vittima attraverso il collegamento di un nuovo dispositivo. L’utente crede di completare una normale procedura di registrazione ma, autorizzando il codice presentato, associa il proprio account WhatsApp alla sessione controllata dall’operatore. Google ha osservato pagine capaci persino di chiedere l’autorizzazione a microfono e videocamera, registrare audio e immagini della vittima e inviarli al C2.

Dopo il collegamento può comparire anche una falsa chat cifrata o un pulsante destinato al download di un file. La tecnica ricalca l’interesse crescente degli attori russi verso le comunicazioni personali: già Star Blizzard aveva spostato parte delle proprie campagne spear-phishing direttamente su WhatsApp, puntando sulle identità di diplomatici, ricercatori e organizzazioni collegate all’Ucraina.

UNC7005 aggiunge VIDAR, AtomicStealer e malware probabilmente generato con LLM

Il cluster non si limita però all’autenticazione. A fine maggio Google ha osservato una campagna più ampia contro accademici, diplomatici e ricercatori statunitensi specializzati in Russia e spazio post-sovietico, nella quale i siti malevoli verificavano persino che la vittima utilizzasse Windows o macOS prima di proporre il download. Gli operatori hanno distribuito VIDAR e AtomicStealer, insieme a ENGINELIGHT e CHERRYPIE.

Quest’ultimo presenta numerosi artefatti che, secondo GTIG, suggeriscono una generazione attraverso large language model, tra cui commenti e riferimenti alle funzioni incoerenti con un normale sviluppo manuale. Google ritiene inoltre possibile che parte degli strumenti derivi da servizi Malware-as-a-Service, elemento che rende l’attribuzione più complessa perché codice e infrastrutture possono essere condivisi con operatori criminali. È una convergenza già evidente nelle campagne che uniscono phishing device code e malware assistito dall’intelligenza artificiale.

UNC5976 automatizza il furto OAuth dietro un vero login Google

Il terzo cluster, UNC5976, viene monitorato da marzo 2026 e Google lo considera distinto dagli altri due. Gli operatori registrano domini con nomi legati alla condivisione di file, configurano un progetto cloud associato e mostrano alla vittima un portale apparentemente normale. Dopo pochi secondi compare il pulsante “Continue with Google”, che conduce realmente alla schermata OAuth di Google. Il problema nasce dopo l’autenticazione: il flusso è stato preparato in modo da consegnare all’infrastruttura dell’attaccante il codice necessario a completare l’autorizzazione.

UNC5976 automatizza quindi raccolta e gestione dei token attraverso servizi cloud legittimi, riducendo la quantità di infrastruttura palesemente malevola necessaria alla campagna. Il punto critico è identico a quello dei più recenti attacchi identity-based: una pagina di login autentica non garantisce che sia legittima l’applicazione alla quale l’utente sta concedendo l’accesso.

La difesa deve controllare autorizzazioni e sessioni, non soltanto password e malware

Le tre operazioni mostrano perché l’identità sia ormai diventata una superficie offensiva autonoma. App password, OAuth, device code e linking dei dispositivi sono funzioni legittime progettate per semplificare autenticazione e interoperabilità, ma proprio questa legittimità rende più difficile distinguerne l’abuso. Per i bersagli ad alto rischio non basta quindi insegnare a non digitare password su siti sospetti: è necessario diffidare di richieste inattese di codici di verifica, autorizzazioni OAuth, pairing WhatsApp e procedure di accesso iniziate da interlocutori esterni, anche quando il browser termina su domini Google o Microsoft autentici. Google sottolinea inoltre che l’impiego di MaaS, infrastrutture cloud e strumenti generati con LLM sta rendendo le operazioni più veloci e meno facilmente attribuibili. La caratteristica più significativa delle nuove campagne russe non è quindi un malware inedito, ma la capacità di trasformare i normali meccanismi di autenticazione occidentali nel vettore principale dello spionaggio.