Gli inviti alle feste natalizie offrono strumenti di accesso remoto

Panoramica della campagna

Il team Mimecast Threat Research ha individuato una campagna ancora in corso che sfrutta il periodo delle festività natalizie per diffondere strumenti di accesso remoto camuffati da inviti a feste natalizie; sono stati individuati oltre 2.300 domini presi di mira, principalmente negli Stati Uniti, con una notevole concentrazione in Australia. Questa tecnica si basa su schemi consolidati di contraffazione di servizi di inviti legittimi, quali Evite e Punchbowl, al fine di diffondere sia pagine di phishing volte al furto di credenziali sia malware. La campagna attuale rappresenta un’evoluzione di questa strategia, mirata in particolare al crescente volume di comunicazioni relative agli eventi aziendali legati alle festività.

Flusso dell'attacco

L'attacco ha inizio con l'invio di e-mail da Business Email accounts legittimi ma compromessi, il che conferisce immediata credibilità al messaggio. Questi account compromessi appartengono spesso a fornitori di servizi di terze parti di fiducia, quali studi contabili, studi legali o consulenti aziendali. I destinatari ricevono quello che sembra essere un invito autentico a una festa o a un evento festivo. L'e-mail contiene un link che, a quanto pare, fornisce i dettagli dell'evento o le opzioni per confermare la propria partecipazione.

Quando si fa clic sul link, si avvia una catena di reindirizzamenti a più fasi studiata per eludere il rilevamento. In alcune campagne si osserva che gli utenti vengono reindirizzati tramite Google Sites o il servizio di coinvolgimento di HubSpot, il che rende ancora più difficile individuare la destinazione dannosa. In altre campagne vediamo una pagina di destinazione che invita l'utente a cliccare sul pulsante “Scarica file”, il quale avvierà il download. Le pagine di destinazione finali ospitano i programmi di installazione del client ScreenConnect RMM, camuffati da file scaricabili contenenti inviti a feste.