I ricercatori di Mimecast specializzati in minacce hanno individuato una campagna di malware che utilizza Sendinblue (ora Brevo) per la distribuzione (identificata internamente come MCTO1020). Brevo è una piattaforma di marketing all-in-one che offre strumenti di email marketing, SMS, automazione e CRM per il coinvolgimento dei clienti. Le campagne puntano sull’utilizzo di esche legate a questioni relative alle prenotazioni per indurre gli utenti a cliccare su link che sembrano provenire da booking.com. Tuttavia, questi link utilizzano il servizio di reindirizzamento Sendinblue/Brevo per tracciare i clic e reindirizzare gli utenti verso siti dannosi di proprietà degli autori dell'attacco. Poiché la maggior parte degli utenti accede ai propri siti web personali tramite dispositivi aziendali, è importante sottolineare in che modo i servizi personali vengano utilizzati per prendere di mira tali dispositivi.
Una volta reindirizzato, l'utente vede la pagina CAPTCHA sottostante che contiene istruzioni per copiare e incollare i comandi negli appunti, come parte di un passaggio di verifica da utilizzare nel prompt dei comandi.
Una volta che l'utente esegue il comando, verrà scaricato un infostealer; in questo caso, il malware identificato è stato LummaC, che di solito prende di mira credenziali, dati del browser e portafogli di criptovalute.
Questa campagna, utilizzando Brevo come metodo di distribuzione e reindirizzamento, è stata osservata per la prima volta all'inizio di gennaio con volumi bassi e ha registrato un aumento significativo a metà e fine gennaio. Poiché gli obiettivi erano hotel, catene alberghiere, resort, ecc., ciò è coerente con il fatto che le persone prenotano le vacanze per l'anno successivo in anticipo per essere preparate.
Abbiamo identificato diversi elementi nelle campagne che sono stati aggiunti alle nostre capacità di rilevamento.
Regno Unito, settore dell'ospitalità
URL’s
admin-booking-service[.]com
adminbokingcapha64578[.]com
booking[.]parner-id-010101743[.]com
commentsvisitor58100[.]world
commentsvisitor589360[.]world
concernguest68549[.]com
concernguest74549[.]com
feedbackguest485100[.]world
feedbackguest485121[.]world
feedbackguest48594821[.]world
feedbackguest84560[.]world
feedbackpage91293[.]world
issueguest423239[.]world
issueguest495139[.]world
parner-id-010101743[.]com
parner-id1501202500[.]com
reportguest4893921[.]world
reportguest4895921[.]world
roomsattendes999923[.]world
roomsvisitor9934224[.]world
T1566.002: phishing: link di spear phishing
T1585.002: creare account: account di posta elettronica
T1204.002: esecuzione da parte dell'utente: file dannoso
T1059.003: interprete di comandi e script: Windows Command Shell
T1547.001: esecuzione automatica all'avvio o all'accesso: chiavi di esecuzione del registro / cartella di avvio
T1027: file o informazioni offuscate
T1202: esecuzione indiretta di comandi
T1555: credenziali dagli archivi di password
T1083: scoperta di file e directory
T1518.001: individuazione del software: individuazione del software di sicurezza
T1113: acquisizione dello schermo
Scopri come l’unica piattaforma di Mimecast può proteggere il tuo personale, l’intelligenza artificiale e i tuoi dati.
Unisciti alle migliaia di professionisti della sicurezza che utilizzano i nostri avvisi selezionati, le analisi degli esperti e gli IOC delle campagne per difendersi dalle minacce informatiche emergenti.
Threat Intelligence1 set 2026
Threat Intelligence27 ago 2026
