Phishing RMM colpisce 46 Paesi: gli USA concentrano il 45% degli attacchi

🛡️ Executive Summary

• ANY.RUN collega 601 casi a una campagna phishing RMM estesa a 46 Paesi, con il 45% dell’attività osservata associato agli Stati Uniti.
• Le vittime ricevono falsi documenti e archivi protetti da password che installano RMM legittimi come GoTo Resolve, LogMeIn, ScreenConnect e ConnectWise.
• Il 94% dei 240 host osservati resta attivo un solo giorno: la detection deve seguire comportamento e catena di consegna, non soltanto domini e hash.

Una campagna di phishing basata sull’abuso di software RMM legittimi si è rivelata molto più estesa rispetto alle prime operazioni individuate attraverso falsi documenti fiscali canadesi. La ricerca di ANY.RUN collega 601 casi a una stessa famiglia di infrastrutture distribuita in 46 Paesi, con gli Stati Uniti responsabili del 45% dell’attività osservata e il Canada fermo al 16%. Gli aggressori cambiano continuamente marchi, documenti e programmi di accesso remoto, passando da false comunicazioni fiscali a documenti UPS, fatture, PDF Adobe e notifiche della Social Security Administration. La componente stabile non è il malware: è la catena di social engineering che convince la vittima a installare volontariamente software amministrativo firmato e autentico.

Gli Stati Uniti diventano il principale bersaglio di una campagna nata con esche fiscali canadesi

La ricerca tecnica pubblicata da ANY.RUN parte da una campagna apparentemente concentrata sul Canada, dove falsi moduli T4 della Canada Revenue Agency venivano utilizzati per convincere le vittime a scaricare archivi malevoli. Espandendo l’analisi attraverso gli elementi condivisi dal phishing kit, i ricercatori hanno però individuato 425 URL del kit distribuiti su 240 host e 155 indirizzi IP, collegandoli complessivamente a 601 analisi. Il quadro cambia completamente: il 61% dei casi proviene dal Nord America e gli Stati Uniti rappresentano da soli circa il 45% della telemetria geografica, diventando il principale bersaglio. Le esche vengono adattate alla vittima e comprendono documenti della Social Security Administration, false comunicazioni UPS, fatture scadute, notifiche VAT e ATO, pagine DocuSign e PDF Adobe. Non esiste al momento un’attribuzione a un gruppo specifico: ANY.RUN non può stabilire se l’infrastruttura appartenga a un singolo operatore o a un phishing-as-a-service kit condiviso da più soggetti.

Leggi anche: Operation BlueDash usa falsi Teams e Zoom per installare più RMM

Vercel cambia ogni giorno ma il phishing kit lascia una firma molto più stabile

La forza operativa della campagna deriva dalla velocità con cui l’infrastruttura viene sostituita. Dei 240 host individuati tra il 5 febbraio e il 29 luglio, 225, pari al 94%, sono stati osservati per un solo giorno, mentre il 95% è rimasto visibile non oltre tre giorni. Vercel rappresenta 82 host, ai quali si aggiungono Netlify, domini economici usa e getta, Dynamic DNS e siti convenzionali compromessi o preparati dagli aggressori.

Il dominio cambia però molto più rapidamente del codice. I ricercatori hanno collegato le pagine attraverso elementi persistenti come il font font1.woff2, il nome interno fmtt, l’immagine icons8-microsoft-word-94.png curiosamente etichettata come “PDF Icon” e soprattutto la sequenza pagina iniziale → secure.html → project/*.zip. Il font da solo ha permesso di ricostruire i 425 URL senza produrre corrispondenze in circa 46.000 analisi appartenenti a dieci famiglie malware differenti. È un esempio concreto del limite delle blocklist tradizionali: il dominio può essere monouso, mentre l’“impronta” del kit sopravvive alla rotazione dell’infrastruttura.

Il falso documento consegna un archivio protetto da password e poi installa l’RMM

La catena inizia normalmente con un’email che porta verso una pagina ospitata su infrastruttura apparentemente affidabile. Il sito simula un documento e comunica alla vittima un access code, quindi scarica un archivio ZIP protetto dalla stessa password. Questa scelta ostacola alcuni sistemi automatici di scansione della posta, perché il contenuto non può essere analizzato senza conoscere la chiave comunicata all’utente.

All’interno compare uno script VBS che, una volta eseguito, utilizza PowerShell per scaricare e installare il software di controllo remoto. Il meccanismo ricorda altre campagne nelle quali il social engineering trasforma strumenti aziendali e procedure apparentemente ordinarie in accessi persistenti alla workstation. La differenza è che l’ultimo stage non deve necessariamente possedere caratteristiche tecnicamente malevole: il programma RMM può provenire dall’infrastruttura autentica del produttore e offrire esattamente le funzioni per le quali è stato progettato, solo che il tenant o l’account di amministrazione appartengono all’attaccante.

GoTo, LogMeIn, ScreenConnect e ConnectWise diventano payload intercambiabili

ANY.RUN ha osservato almeno cinque prodotti RMM legittimi nell’ecosistema. Nel ramo analizzato compaiono soprattutto GoTo Resolve e LogMeIn Rescue/Resolve, mentre altri segmenti utilizzano ScreenConnect, ConnectWise e ITarian. ScreenConnect compare in 204 casi della famiglia e ConnectWise in 106, mentre per LogMeIn sono stati misurati anche artefatti locali come il mutex LOGMEINRESCUE. Questa varietà rende poco efficace una difesa costruita sul nome del singolo programma: se un’organizzazione crea una detection specifica per ScreenConnect, l’operatore può semplicemente sostituirlo con GoTo Resolve mantenendo quasi invariato tutto il resto della catena.

La dinamica era già apparsa nelle intrusioni che abusavano di Quick Assist, Teams e software commerciali di remote management per confondersi con la normale attività IT. Il vantaggio per l’aggressore è considerevole: firma digitale, networking, trasferimento file, desktop remoto ed esecuzione dei comandi vengono forniti direttamente da strumenti amministrativi reali.

S3, Cloudflare R2 e GitHub rendono debole anche la reputazione dell’hosting

La stessa intercambiabilità riguarda il payload staging. Gli installer sono stati distribuiti attraverso Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox, GoFile, siti compromessi e indirizzi IP diretti. Nessuno di questi servizi identifica di per sé un’infrastruttura criminale: sono piattaforme utilizzate quotidianamente da aziende e sviluppatori.

Vercel aggiunge automaticamente TLS e un dominio con buona reputazione, mentre i servizi storage permettono di spostare rapidamente l’installer senza mantenere server propri. ANY.RUN ha inoltre osservato una velocità operativa molto elevata: gli URL generati specificamente per i destinatari venivano rilevati per la prima volta dopo una mediana di appena 32 minuti dalla generazione, e il 77% compariva entro 24 ore. Questo riduce ulteriormente il valore della reputazione storica del dominio. Quando un link arriva alla vittima, l’infrastruttura può essere così nuova da non essere ancora presente in blacklist o dataset di threat intelligence.

Continua con:

• SynkLoader usa Teams, falso blocco Windows e tunnel per colpire le aziende
• Teams porta a Chaos: gli aggressori abusano di Quick Assist e strumenti di accesso remoto

La difesa deve conoscere gli RMM autorizzati prima di cercare quelli malevoli

La conseguenza principale per SOC ed EDR è che non esiste necessariamente un malware da rilevare. Un’azienda può utilizzare legittimamente ScreenConnect, ConnectWise o GoTo e non può quindi considerare ogni esecuzione del prodotto un incidente. La difesa deve partire da un inventario dei programmi RMM autorizzati, dei relativi tenant, domini, account, chiavi di enrollment e modalità di distribuzione. L’installazione improvvisa di un prodotto non previsto, soprattutto dopo l’apertura di un archivio proveniente dalla posta, deve diventare un indicatore molto più forte della semplice firma del file. ANY.RUN consiglia inoltre di cercare le caratteristiche persistenti del kit, le catene secure.html → project/*.zip, i download di archivi protetti da password e l’avvio di VBS e PowerShell seguito dall’installazione di un agente remoto. Il principio difensivo è semplice: un software firmato e perfettamente legittimo diventa una backdoor quando chi lo controlla non è l’amministratore dell’azienda. La campagna che attraversa 46 Paesi mostra perché la distinzione tra malware e strumento affidabile sta diventando sempre meno utile senza il contesto dell’intera sequenza di esecuzione.