Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Arile! Scopri di più
Phishing con Allegato per Rubare Credenziali: Spearphishing Attachment (T1598.002)
La tecnica Spearphishing Attachment nel contesto della raccolta informativa rappresenta un vettore di social engineering mirato in cui l'avversario invia email personalizzate con un allegato malevolo progettato per sottrarre credenziali o altre informazioni sensibili. A differenza dello spearphishing classico orientato all'esecuzione di malware, qui l'obiettivo è il credential harvesting: l'attaccante vuole che la vittima compili un modulo, apra un portale di login fittizio o restituisca un documento con dati riservati.
Questa tecnica si colloca nella fase Reconnaissance (TA0043), poiché le informazioni raccolte — credenziali, strutture organizzative, dettagli infrastrutturali — servono a pianificare operazioni successive come l'accesso iniziale o la compromissione laterale. L'allegato può essere un documento Office con macro che reindirizza a un sito di phishing, un file HTML che sfrutta tecniche di HTML Smuggling per presentare un portale di login contraffatto direttamente nel browser, oppure un semplice PDF con un form da compilare e restituire.
4 gruppi APT documentati impiegano questa tecnica, con 0 software e 0 campagne specificamente catalogati. Le 2 mitigazioni principali si concentrano sulla formazione utenti e sulla configurazione dei protocolli di autenticazione email (SPF, DKIM, DMARC). Il fatto che la tecnica risieda in fase pre-compromise la rende particolarmente insidiosa: l'attività si svolge in larga parte al di fuori del perimetro difensivo della vittima, e la detection si basa quasi interamente sull'analisi del traffico email e sulla consapevolezza degli utenti.
Simulare questa tecnica in ambiente controllato è fondamentale per testare la resilienza dell'organizzazione al credential harvesting via allegato. L'obiettivo non è compromettere un endpoint, ma misurare quanti utenti consegnano le proprie credenziali dopo aver aperto un allegato apparentemente legittimo.
Il framework più indicato è GoPhish (open source), che consente di orchestrare campagne di phishing end-to-end. Dopo aver configurato il server, si crea un template email con allegato e una landing page di credential harvesting. Il flusso operativo prevede tre fasi: preparazione dell'infrastruttura, costruzione dell'allegato e lancio della campagna.
Per generare un allegato HTML che simuli un portale di login Microsoft 365, si può utilizzare l'Evilginx2 framework (open source) come reverse proxy oppure costruire manualmente un file HTML con un form che punta alla landing page GoPhish. Un approccio più diretto prevede la creazione di un documento HTML standalone che incorpora il form di login — tecnica che replica l'HTML Smuggling usato in campagne reali.
Per la preparazione dell'infrastruttura email con autenticazione corretta, è utile configurare i record SPF e DKIM sul dominio di invio per superare i filtri del target. Con GoPhish, il comando di avvio è semplicemente:
sudo ./gophish
La configurazione della campagna avviene poi tramite l'interfaccia web, dove si definiscono il profilo SMTP, il template email con allegato, il gruppo di destinatari e la landing page. Per allegati Office con macro che reindirizzano a un sito di harvesting, Macro Pack (open source) consente di generare documenti con payload personalizzati:
python macro_pack.py -t TEMPLATE.dotm -o output.docm
Un'alternativa enterprise è Microsoft Attack Simulation Training (a pagamento, incluso in Microsoft 365 E5), che offre campagne di phishing simulate con template predefiniti e metriche di risposta integrate nel portale Security.
Per validare il funzionamento della catena, conviene partire da un test interno su una mailbox di laboratorio, verificando che l'allegato superi eventuali sandbox email, che il portale di harvesting catturi effettivamente le credenziali, e che GoPhish registri correttamente aperture, click e submit. Solo dopo questa validazione si lancia la campagna sul perimetro concordato, documentando il tasso di apertura dell'allegato, il tasso di compilazione del form e il tempo medio di segnalazione al SOC.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo