Nuove analisi rivelano come gruppi come Luna Moth e Kimsuky stiano affinando le tecniche di ingegneria sociale, sfruttando l'AI e strumenti legittimi per attacchi sempre più sofisticati. L'evoluzione delle minacce richiede contromisure integrate.
Le recenti fughe di notizie relative al gruppo di ransomware Luna Moth (noto anche come Silent Ransom Group - SIG) hanno già messo in luce un'operatività sorprendentemente strutturata, quasi fosse un'azienda criminale. L'analisi dei documenti trapelati, inizialmente apparsa su un sito onion nell'ottobre 2026 e approfondita dai ricercatori di Check Point, dipinge il quadro di un'entità specializzata non solo nel blocco dei dati, ma soprattutto nell'estorsione tramite la manipolazione della fiducia.
Luna Moth si discosta dai tipici attori di ransomware per il suo approccio metodico alla divisione dei compiti. I documenti suggeriscono una chiara distinzione tra un "ingegnere sociale", responsabile della gestione delle comunicazioni con la vittima, e un "attaccante hands-on-keyboard", incaricato delle operazioni tecniche. Questa specializzazione permette al gruppo di affinare le proprie tecniche e massimizzare l'efficacia degli attacchi.
La strategia principale di Luna Moth si basa sull'inganno, fingendosi personale di supporto IT o di sicurezza informatica. Dopo aver identificato le organizzazioni e gli individui target, gli aggressori studiano il contesto aziendale per rendere il contatto iniziale il più credibile possibile. L'obiettivo è indurre la vittima a una conversazione telefonica e, successivamente, a concedere l'accesso remoto ai propri sistemi tramite software di uso comune. Una volta ottenuto questo accesso, gli attaccanti procedono con movimenti laterali e tentativi di elevazione dei privilegi per raggiungere dati sensibili.
Nuove informazioni, emerse dall'analisi della campagna "Operation GitPower" attribuita al gruppo nordcoreano Kimsuky, confermano e ampliano queste tattiche. Kimsuky, infatti, ha recentemente ampliato le sue operazioni prendendo di mira esperti ucraini in settori come diplomazia, sicurezza e politica internazionale. La campagna sfrutta falsi installer di Zoom e file Windows shortcut (.LNK) malevoli per infiltrarsi nei sistemi.
I ricercatori di Genians Security Center hanno documentato come Kimsuky combini tecniche di spear phishing con allegati a tema PDF, piattaforme pubbliche di hosting di codice, esecuzione nascosta di PowerShell, persistenza tramite scheduled tasks e infrastrutture di comando e controllo dedicate. Gli attacchi iniziano con email altamente personalizzate che impersonano organizzatori di conferenze o ricercatori fidati, spesso omettendo inizialmente allegati o link malevoli per eludere i filtri e incoraggiare una risposta.
Una volta ottenuta una risposta, Kimsuky invia archivi ZIP contenenti un file .LNK malevolo, mascherato da documento PDF (ad esempio, "KCSCON_2026_Official_Invitation.pdf.lnk"). Sfruttando l'icona PDF e la tecnica del doppio-estensione, nascondono la vera natura del file. L'apertura dello shortcut avvia cmd.exe, che scarica un PDF fittizio e uno script di follow-up da repository controllati dagli attaccanti, come GitLab. Questo script viene salvato localmente come file VBE ed eseguito in background, mentre la vittima visualizza un documento innocuo.
Questo accostamento tra contenuto decoy visibile ed esecuzione nascosta è una chiara indicazione dell'evoluzione delle tecniche per minimizzare i sospetti nelle fasi iniziali di compromissione. Il payload di secondo stadio utilizza comandi PowerShell offuscati, con routine di sostituzione di stringhe che ricostruiscono il codice malevolo solo prima dell'esecuzione. In un caso osservato, il malware ha creato un'attività pianificata che simulava un componente di aggiornamento Google, raccolto informazioni di sistema e il contenuto della cartella Download, codificato i dati in Base64 e li ha caricati tramite l'API di GitHub.
L'avvento di AI agentiche (HACCAS - Highly Autonomous Cyber-Capable Agents) sta ulteriormente abbassando la barriera d'ingresso al crimine informatico, permettendo a entità come Kimsuky di automatizzare e ottimizzare ulteriormente le proprie campagne. Queste IA possono pianificare, agire e coordinarsi in modo autonomo, rendendo gli attacchi più rapidi, scalabili e difficili da rilevare. Sebbene l'AI offra anche capacità difensive senza precedenti, la sua adozione da parte degli attori malevoli rappresenta una sfida significativa per la cybersecurity.
I documenti trapelati di Luna Moth rivelano l'esistenza di script dettagliati da seguire durante le interazioni con le vittime, inclusi protocolli per gestire risposte comuni e per affrontare utenti diffidenti. Questo livello di preparazione psicologica è ulteriormente rafforzato dal coordinamento tra gli attaccanti: mentre uno intrattiene la vittima al telefono, un altro opera attivamente sul sistema compromesso tramite accesso remoto. La comunicazione tra i due avviene tramite servizi di messaggistica di gruppo, ottimizzando l'efficacia dell'operazione.
Kimsuky, parallelamente, ha utilizzato file .LNK a tema "Russia-Ukraine peace-framework report" e CV di ricercatori sociali. Questi shortcut scaricavano file da repository GitHub, salvando ad esempio "LICENSE" come script VBScript e "okay.md" come payload PowerShell. Il VBScript stabiliva la persistenza tramite un'attività pianificata denominata "OneDriveUpdateScheduler", che veniva eseguita ogni minuto, lanciando ripetutamente il componente PowerShell con bypass della policy di esecuzione.
Il payload PowerShell si connetteva a un server di comando e controllo predefinito, scaricava ed eseguiva script aggiuntivi, esfiltrava file appena creati e cancellava i risultati trasferiti con successo, trasformando un documento ingannevole in un framework post-compromissione gestito da remoto.
L'analisi congiunta di Luna Moth e Kimsuky, alla luce delle nuove tendenze sull'AI, evidenzia un'evoluzione preoccupante nel panorama delle minacce informatiche. L'ingegneria sociale, potenziata dall'AI e dall'abuso di strumenti legittimi e tecniche di offuscamento avanzate, rende le difese puramente tecniche insufficienti. I ricercatori raccomandano alle organizzazioni di:
cmd.exe, curl, PowerShell, wscript.exe o payload VBS, nonché attività pianificate che imitano aggiornamenti di servizi noti (Zoom, Google, OneDrive) o installer di applicazioni non firmate.Queste nuove informazioni sottolineano la necessità di un approccio alla sicurezza informatica che integri solide misure tecniche con una forte componente di consapevolezza umana, monitoraggio proattivo delle attività sospette e una comprensione delle emergenti capacità dell'AI nel contesto delle minacce informatiche.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.