Dopo le recenti conferenze Black Hat e Def Con, i ricercatori sono stati bersaglio di sofisticate campagne di social engineering che utilizzano strumenti legittimi per distribuire malware.
Il ritorno dalle grandi conferenze di cybersecurity, come le celebri Black Hat e Def Con, rappresenta un momento di vulnerabilità per i professionisti del settore. Recentemente, i ricercatori di Huntress hanno documentato una campagna di attacco mirata, che ha preso di mira proprio gli esperti di sicurezza, dimostrando come gli attori delle minacce stiano affinando le proprie tecniche di social engineering per eludere le difese più avanzate.
L'attacco ha avuto inizio su X (ex Twitter), dove un malintenzionato, fingendosi un dirigente di alto livello di CoinDesk, ha contattato un ricercatore di Huntress con il pretesto di organizzare una conferenza fittizia. L'obiettivo era stabilire un rapporto di fiducia per poi indurre la vittima a interagire con documenti malevoli.
A differenza delle classiche campagne di phishing che reindirizzano verso siti web contraffatti, questa operazione ha sfruttato l'ecosistema di Google Workspace. Il malintenzionato ha inviato un documento Google che, una volta aperto, attivava uno script personalizzato (Google Apps Script). Questo script generava una barra laterale che richiedeva l'inserimento di una "chiave di cifratura" fornita separatamente. Il fallimento simulato di questa procedura serviva come esca per spingere l'utente a seguire istruzioni di tipo ClickFix, finalizzate all'esecuzione di codice malevolo sul sistema locale.
Quando il ricercatore non ha abboccato, l'attaccante ha cambiato strategia, inviando un falso link di condivisione tramite DocSend. Questo secondo tentativo mirava a far scaricare un installer contraffatto, capace di distribuire payload differenti in base al sistema operativo rilevato:
La tenacia dell'attaccante è stata evidente: dopo il fallimento dei tentativi di infezione, il criminale ha tentato un approccio basato sull'ingegneria sociale pura, offrendo opportunità di finanziamento fittizie per ottenere ulteriori informazioni personali o credenziali. Questo comportamento sottolinea la volontà di mantenere il contatto con il target, sfruttando piattaforme di collaborazione legittime per costruire una parvenza di professionalità.
Per proteggersi da minacce di questo tipo, gli esperti di Huntress raccomandano estrema cautela verso qualsiasi richiesta inaspettata che giunga dopo eventi di settore. È fondamentale diffidare di messaggi che richiedono azioni insolite, come l'esecuzione di comandi da terminale, il bypass delle protezioni di sistema (come Gatekeeper su macOS) o l'installazione di aggiornamenti manuali.
In caso di sospetta compromissione, le linee guida per la risposta agli incidenti sono chiare:
Questa vicenda conferma che, nonostante l'adozione di strumenti di difesa avanzati, il fattore umano rimane l'anello debole più sfruttato, specialmente quando gli attaccanti riescono a camuffarsi all'interno di flussi di lavoro quotidiani e fidati.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
