Una nuova campagna di attacchi informatici sta prendendo di mira i server di posta di università negli Stati Uniti e in Canada che utilizzano Roundcube webmail, con un focus particolare su dipartimenti di fisica e ingegneria. Gli attaccanti, sospettati di essere allineati alla Cina, sfruttano vulnerabilità già corrette ma ancora presenti in molte installazioni non aggiornate, trasformando la posta elettronica in un punto di ingresso privilegiato nelle reti accademiche.
Il vettore iniziale ruota attorno a una falla critica di tipo cross-site scripting, CVE-2024-42009, che permette di eseguire codice JavaScript nel browser della vittima semplicemente aprendo una email nel client Roundcube. Questo aspetto rende l’attacco particolarmente insidioso perché riduce l’interazione richiesta e aumenta le probabilità di successo contro personale come amministratori e docenti. Le email possono provenire da mittenti compromessi oppure da domini che consentono spoofing a causa di politiche DMARC deboli, un dettaglio che evidenzia quanto la sicurezza email dipenda anche da configurazioni di autenticazione e protezione del dominio.
Il payload JavaScript, indicato come IceCube, è progettato per sottrarre credenziali e dati sensibili memorizzati nel browser, inclusi cookie, informazioni legate all’autenticazione a due fattori e altri elementi utili per il furto di sessione. In parallelo, raccoglie dettagli di ricognizione come lingua del browser e parametri dell’ambiente utente, inviando poi i dati verso un sistema esterno tramite richieste HTTP POST.
La catena di compromissione prosegue sfruttando un secondo bug di Roundcube, una vulnerabilità di remote code execution post-autenticazione identificata come CVE-2025-49113. Usando token CSRF della sessione, gli attaccanti puntano a ottenere un foothold sul server di posta e a caricare in memoria una web shell, tra cui SquareShell, raggiungibile tramite un endpoint specifico nei plugin. Se il rilascio della web shell fallisce, subentra un meccanismo alternativo basato su script che facilita la consegna di strumenti post-exploit come VShell, un RAT scritto in Go con capacità simili a framework di post-compromissione noti.
La campagna dimostra come i server email debbano essere difesi come veri edge device, con patch management rigoroso, monitoraggio delle anomalie e politiche DMARC, SPF e DKIM ben configurate per ridurre il rischio di phishing e spoofing.