Una campagna di phishing su larga scala sta sfruttando software legittimo di Remote Monitoring and Management (RMM) per ottenere accesso remoto ai sistemi delle vittime, trasformando strumenti nati per il supporto IT in un vettore di attacco. L’operazione, osservata in 46 paesi, ha visto gli Stati Uniti come principale bersaglio con circa il 45 percento dei casi rilevati, segnale di un focus geografico chiaro e di un elevato volume di tentativi.
Il meccanismo è tipico del phishing moderno basato su social engineering. Gli attaccanti inviano o ospitano falsi documenti che imitano comunicazioni credibili come avvisi fiscali, notifiche legate a spedizioni e corrieri, messaggi in stile UPS, fatture, temi collegati alla Social Security e pagine che simulano file Adobe PDF. Lo scopo non è installare subito un malware tradizionale, ma convincere l’utente a scaricare e avviare un archivio o un pacchetto che porta all’installazione di un prodotto RMM reale. In questo modo la catena di compromissione si confonde con attività amministrative lecite e può eludere controlli basati solo su reputazione o firme.
Un elemento chiave della campagna è la rotazione rapidissima dell’infrastruttura. Sono stati identificati centinaia di URL e host, con la grande maggioranza attiva per un solo giorno. Questa strategia rende meno efficaci gli indicatori di compromissione basati su domini e blocchi statici, perché i siti cambiano prima che le blacklist si aggiornino. Per la distribuzione vengono usati servizi e piattaforme comuni e affidabili, insieme a siti compromessi, aumentando ulteriormente la probabilità di successo.
Nonostante la volatilità dei domini, emergono impronte più persistenti nel kit di phishing. Risorse riutilizzate come specifici file di font e immagini ricorrenti, oltre a una struttura di consegna ripetuta che passa da una pagina a un file zip in una directory di progetto, aiutano a collegare tra loro istanze apparentemente scollegate. Questo suggerisce un approccio di detection basato su pattern di campagna e analisi comportamentale, invece che su singoli IOC.
I settori più colpiti includono istruzione, tecnologia e pubblica amministrazione, con presenza rilevante anche in finanza e manifatturiero. Per i team SOC diventa essenziale una difesa agnostica rispetto al prodotto, controlli a livello email e maggiore attenzione agli archivi protetti da password, oltre a visibilità su processi, download e attività di accesso remoto non autorizzato.