Nel 2025 il gruppo APT russo Gamaredon ha intensificato gli attacchi informatici contro l’Ucraina, ampliando in modo significativo il proprio arsenale malware e sfruttando servizi cloud legittimi per nascondere infrastrutture e canali di esfiltrazione. Le campagne osservate includono decine di operazioni di spear phishing mirate soprattutto a istituzioni governative e militari ucraine, con l’obiettivo di sottrarre informazioni sensibili utili in un contesto di conflitto.
Il vettore iniziale più comune resta la posta elettronica con allegati in formato archivio oppure file XHTML progettati per eseguire HTML smuggling. Questa tecnica consente di far arrivare sul dispositivo della vittima un downloader in formato HTA che avvia la catena di compromissione scaricando ulteriori componenti. In diversi casi è stata usata anche una vulnerabilità di WinRAR, corretta successivamente, identificata come CVE-2025-8088, per collocare il downloader HTA nella cartella di avvio di Windows e ottenere persistenza. In questo modo il codice malevolo viene eseguito automaticamente al successivo accesso dell’utente.
Gamaredon continua inoltre a puntare sulla propagazione laterale attraverso strumenti che trasformano chiavette USB e condivisioni di rete in veicoli di infezione tramite file LNK malevoli. L’apertura di questi collegamenti da parte di utenti ignari provoca il recupero di ulteriori downloader e payload, rendendo più facile la diffusione in ambienti con molte postazioni.
Tra le novità più rilevanti spicca l’introduzione di nuovi strumenti PowerShell pensati per scaricare ed eseguire payload direttamente in memoria, riducendo le tracce su disco. Alcuni moduli recuperano script PowerShell o VBScript in modo fileless, mentre altri ottengono dettagli del server di comando e controllo tramite servizi di cloud storage come GoFile. Questa evoluzione si accompagna a un uso crescente di servizi di terze parti come tunnel e piattaforme serverless worker per mascherare il backend reale e rendere più complessa la risposta difensiva.
Un altro elemento chiave è l’abuso creativo di servizi online legittimi usati come dead drop resolver e canali di esfiltrazione, tra cui Telegraph, Teletype, Rentry, Write.as, Dropbox e altre piattaforme di paste e storage. Questa combinazione di persistenza, aggiornamenti frequenti e cloud service abuse rende le operazioni più flessibili e difficili da interrompere.