Gli Hacker Sfruttano i Moduli “Contattaci” in una Campagna di Phishing

Check Point Research (CPR) ha identificato una nuova campagna di phishing conosciuta come ZipLine, che rovescia le truffe tradizionali costringendo la vittima a iniziare la conversazione.

CPR spiega che a differenza degli attacchi di phishing normali, in cui sono gli hacker ad iniziare il contatto, questa nuova campagna attira le vittime attraverso i moduli “Contattaci” delle aziende.

“In ogni caso, è stata la vittima a iniziare lo scambio di email che alla fine ha portato all’infezione”, ha detto CPR. Con questo metodo, gli aggressori creano interazioni che sembrano legittime, aiutandoli a evitare il rilevamento.

Gli hacker si impegnano in chat via email che durano a volte per settimane, fingendo di essere partner commerciali e richiedendo persino alle aziende di firmare Accordi di Non Divulgazione. Alla fine, gli aggressori inviano un file ZIP maligno tramite Heroku, che funziona come una vera piattaforma cloud. Tuttavia, all’interno del file è incorporato un falso file PDF o Word, insieme a un file di collegamento nascosto che lancia furtivamente un codice maligno.

Quel codice installa quindi MixShell, un potente backdoor che permette agli aggressori di rubare file, eseguire comandi e persino agire come proxy all’interno della rete della vittima. CPR ha osservato, “MixShell supporta operazioni sui file, proxy inverso, esecuzione di comandi e sessioni interattive basate su pipe.”

In casi recenti, CPR riporta che gli hacker hanno utilizzato un tema di “trasformazione AI”, fingendo di eseguire una “Valutazione dell’Impatto AI” per la dirigenza dell’azienda. L’email chiede ai dipendenti di compilare un breve questionario, che CPR nota essere un’altra tattica per costruire fiducia.

Gli aggressori utilizzano anche domini collegati a vecchie imprese statunitensi, molte delle quali sembrano abbandonate ma appaiono comunque legittime. I loro obiettivi variano dalle piccole aziende alle società Fortune 500, in particolare nei settori della produzione, dell’aerospaziale, dell’elettronica di consumo e dell’energia.

Secondo CPR, “Questa campagna riflette le tattiche in evoluzione delle campagne di phishing avanzate.” Gli esperti di sicurezza avvertono che anche i formulari di base dei siti web, se non controllati, possono aprire la porta a cyberattacchi altamente dannosi.