Un caso di cybercrime legato a malware veicolato tramite file Excel torna a mostrare quanto le piattaforme di lavoro freelance possano diventare un bersaglio ideale per campagne su larga scala. Le autorità statunitensi hanno contestato a un cittadino russo estradato da Cipro l’uso di centinaia di account falsi per inviare messaggi con allegati Excel malevoli a circa 80.000 utenti tra il 2016 e il 2017.
Secondo l’accusa, gli allegati spingevano le vittime ad abilitare ed eseguire macro, un passaggio chiave per avviare la catena di infezione.
Il meccanismo descritto è tipico delle campagne basate su Excel malware. Una volta eseguita la macro, il documento scaricava da internet un payload che installava strumenti di accesso remoto. I malware citati includono una variante di TVRAT collegata ad abusi di TeamViewer e DarkVNC, un’utility hVNC progettata per controllare il computer in modo nascosto. In entrambi i casi l’obiettivo era ottenere controllo remoto e sottrarre dati, con comunicazioni verso un server di comando e controllo ospitato negli Stati Uniti. Le indagini indicano che migliaia di dispositivi infetti effettuavano il collegamento al dominio C2 e che una parte rilevante delle vittime si trovava sul territorio americano.
Un elemento particolarmente critico riguarda l’esfiltrazione di informazioni. Viene citato un documento condiviso nell’account email usato nello schema che conteneva credenziali di accesso e dati personali di centinaia di vittime. Questo dettaglio evidenzia come le infezioni tramite macro non servano solo a compromettere i sistemi, ma anche a costruire archivi di identità digitali utili per frodi e furti di account.
Le contestazioni includono reati legati a frode informatica, accesso non autorizzato a computer protetti, trasmissione di codice per causare danni e furto aggravato di identità. Il caso si inserisce in un contesto più ampio in cui siti di ricerca lavoro e portali freelance vengono usati come esca ricorrente, sfruttando la fiducia nelle comunicazioni professionali e la frequenza di scambio di documenti.
Dal punto di vista della sicurezza informatica, la lezione principale è ridurre al minimo l’esposizione alle macro, verificare la provenienza degli allegati Excel e adottare controlli che blocchino download ed esecuzione di payload da documenti. Microsoft ha già reso predefinito il blocco delle macro VBA nei file provenienti da internet, proprio per interrompere questo tipo di catena di attacco.