Phishing RMM: gli Stati Uniti il bersaglio principale in 46 paesi

Una campagna di phishing inizialmente collegata a moduli fiscali canadesi è stata ora rivelata estendersi in 46 paesi, con gli Stati Uniti che rappresentano circa il 45% dell'attività osservata, secondo una nuova ricerca della società di cybersecurity ANY.RUN. I ricercatori hanno collegato 601 casi a questa operazione più ampia, che utilizza documenti falsi per indurre le vittime a installare software legittimo di monitoraggio e gestione remota (RMM). Gli strumenti RMM sono normalmente utilizzati dai team IT per accedere e controllare i computer da remoto, ma gli aggressori ne abusano per ottenere lo stesso tipo di accesso senza autorizzazione.

Gli aggressori adattano le loro esche a diversi bersagli. ANY.RUN ha osservato comunicazioni false di spedizione e UPS, file PDF Adobe, avvisi fiscali, temi della Social Security Administration degli Stati Uniti, fatture e altri tipi di documenti. La campagna fa ampio uso di infrastrutture usa e getta rapidamente ruotate, ospitate su Vercel, una piattaforma cloud per la distribuzione di applicazioni web. Questa rotazione costante rende le pagine di phishing più difficili da tracciare e rilevare, perché ogni singolo URL è attivo solo per un periodo molto breve.

I ricercatori di ANY.RUN hanno identificato 425 URL di kit su 240 host, e il 94% di questi URL è stato osservato per un solo giorno. L'operazione ha utilizzato Vercel, GitHub Pages, Netlify, siti web compromessi e altre infrastrutture per distribuire le pagine di phishing. I payload dannosi sono stati anche messi in scena attraverso servizi come Amazon S3, Cloudflare R2, GitHub, DigitalOcean Spaces, Dropbox e GoFile. Nonostante questa rapida rotazione, il kit di phishing lascia impronte digitali più persistenti. Risorse condivise come un file chiamato font1.woff2, risorse immagine ricorrenti e uno schema di catena di distribuzione specifico di "secure.html" seguito da un file "project/*.zip" hanno aiutato i ricercatori a collegare infrastrutture altrimenti separate alla stessa campagna.

I settori più colpiti includono istruzione, tecnologia e governo, mentre anche banche, finanza e manifattura sono significativamente colpiti. La campagna mostra perché il rilevamento non può dipendere solo da verdetti di malware, reputazione del dominio o singoli indicatori di compromissione (IOC). I singoli domini e i prodotti RMM sono usa e getta, ma la catena di distribuzione sottostante è più stabile. I team dei centri operativi di sicurezza (SOC) necessitano di accesso al contesto comportamentale completo dietro l'attività sospetta per distinguere l'uso legittimo di RMM dall'abuso.

ANY.RUN offre diverse indicazioni di rilevamento per i difensori. I team dovrebbero costruire una difesa agnostica rispetto al prodotto che si concentri sulla catena di distribuzione e sull'attività di accesso remoto non autorizzato, piuttosto che bloccare un specifico fornitore RMM. Poiché i domini cambiano quotidianamente, gli analisti dovrebbero dare priorità a indicatori di kit più stabili come l'asset font1.woff2, un file immagine chiamato icons8-microsoft-word-94.png e la catena secure.html a project/*.zip. I controlli a livello di email e la formazione sulla consapevolezza degli utenti dovrebbero tenere conto della distribuzione di archivi protetti da password. La Sandbox Interattiva di ANY.RUN ha esposto l'attività del browser, gli script, i processi, i download e il comportamento di rete della campagna, mentre la sua Threat Intelligence Lookup ha collegato indicatori persistenti a infrastrutture e casi correlati.

Per le organizzazioni che devono monitorare questi tipi di minacce nei propri ambienti, il supporto IT security-first come AEU-I può aiutare i team a rivedere le catene di distribuzione e rilevare attività di accesso remoto non autorizzato prima che causino danni.