Un'operazione di phishing che sfrutta software RMM legittimi ha colpito 46 paesi, ma il 45% degli attacchi si concentra sugli Stati Uniti. Infrastrutture digitali usa-e-getta e lusinghe personalizzate rendono la minaccia difficile da fermare anche per i team di sicurezza più preparati.
Un attacco informatico che cambia pelle ogni giorno, ma mantiene un obiettivo fisso: gli Stati Uniti. Il 45% delle attività rilevate nella nuova campagna di phishing RMM - orchestrata su scala globale - prende di mira proprio il mercato americano, lasciando indietro il Canada, da cui tutto era partito.
Dietro la facciata di documenti fiscali, avvisi della Social Security Administration, finte fatture e comunicazioni di spedizione, si nasconde una strategia raffinata: indurre le vittime a installare software di Remote Monitoring and Management (RMM) perfettamente legittimi, ma usati per scopi malevoli. Gli attaccanti non si limitano a un solo trucco: adattano i loro messaggi a seconda del paese e del settore, colpendo in particolare istruzione, tecnologia, pubblica amministrazione, banche e manifattura.
Infrastrutture effimere, impronte persistenti
La vera forza della campagna non sta solo nei contenuti, ma nella velocità con cui cambia casa. I ricercatori di ANY.RUN hanno contato 425 URL di kit di phishing distribuiti su 240 host diversi, con il 94% delle infrastrutture attive per appena un giorno. Vercel, GitHub Pages, Netlify, siti compromessi e servizi cloud come Amazon S3, Cloudflare R2, DigitalOcean Spaces, Dropbox e GoFile vengono usati come trampolini di lancio per i payload.
Eppure, nonostante questa volatilità, la campagna lascia tracce riconoscibili: asset condivisi come font1.woff2, immagini ricorrenti e la catena di consegna secure.html > project/*.zip hanno permesso agli analisti di collegare tra loro infrastrutture apparentemente scollegate. Il risultato? Una rete globale difficile da mappare, ma non del tutto invisibile.
Difendersi senza farsi ingannare dai falsi positivi
La vera sfida per i Security Operations Center (SOC) non è solo individuare un dominio sospetto - che spesso sparisce in 24 ore - ma riconoscere i pattern comportamentali che distinguono l'uso legittimo degli RMM dall'abuso criminale. Le raccomandazioni degli esperti sono chiare: difese agnostiche rispetto al prodotto, attenzione alla catena di consegna e agli asset persistenti, controlli a livello di posta elettronica e formazione degli utenti per riconoscere archivi protetti da password.
ANY.RUN ha dimostrato che solo una visibilità profonda sulle attività di browser, script, processi e traffico di rete consente di collegare i puntini tra casi diversi e reagire in tempo reale. La minaccia non si ferma ai soliti indicatori di compromissione: serve un contesto comportamentale e di intelligence che vada oltre la superficie.
Questa campagna segna un salto di qualità nell'uso combinato di software legittimi, servizi cloud affidabili e infrastrutture digitali usa-e-getta. Chi si limita a bloccare un dominio o a fidarsi dei verdict automatici rischia di restare sempre un passo indietro. La realtà è che la sicurezza oggi si gioca sulla capacità di leggere tra le righe, riconoscere le impronte digitali più sottili e reagire prima che la minaccia cambi ancora volto.
