Mimecast Threat Research ha rilevato che alcuni autori di minacce utilizzano SharePoint e Google Drive per condividere file contenenti link a siti dannosi. L’esca consiste prevalentemente in un invito a partecipare a una gara d’appalto, con l’obiettivo di ottenere credenziali tramite un kit di phishing ospitato.
Di seguito è riportato un esempio tratto da questa campagna, che utilizza un account O365 compromesso. Nella maggior parte dei casi vengono utilizzati domini appartenenti a settori specifici correlati al bersaglio, aumentando così la probabilità che l’utente finale interagisca con l’e-mail.
L’e-mail contiene un link «Clicca qui per visualizzare il progetto» utilizzato per ottenere ulteriori informazioni sulla gara d’appalto. Cliccando sul link, gli utenti vengono reindirizzati a una pagina di cartella di SharePoint contenente un file, il che è insolito poiché di solito sono proprio i «file» stessi a rendere questa tecnica unica.
La logica alla base di questo ulteriore livello di occultamento è quella di eludere le soluzioni di sicurezza. Inoltre, l’esca può apparire più credibile grazie alla presenza di più file nella cartella, oppure per aiutare l’autore della minaccia a gestire le campagne in cui può utilizzare cartelle senza condividere direttamente un file.
In questo esempio di campagna, è stata creata una cartella sulla pagina SharePoint collegata a un’azienda reale, con il presunto proprietario del file associato alla stessa organizzazione. Una volta all’interno della cartella, all’utente viene richiesto di interagire con la pagina per accedere al file.
Cliccando sul file, compare un PDF sfocato che invita l’utente ad accedere a un link per effettuare il login al proprio account Microsoft e ottenere così l’accesso al file.
Le pagine di phishing presentano una struttura URL simile: hxxps://[NAME].[store/online/site]/?[8 caratteri], che è stata osservata nelle pagine di phishing acquistate su «NakedPages». In alcune campagne vengono aggiunte pagine con captcha per aumentare il numero di interazioni necessarie per raggiungere la pagina di phishing finale – a volte fino a 7. Questa è diventata una tecnica molto comune utilizzata dagli autori delle minacce per eludere il rilevamento.
Questo tipo di tecnica non si limita esclusivamente ai servizi Microsoft; ecco un esempio che utilizza Google Drive con un layout molto simile e una pagina finale per la raccolta delle credenziali:
Durante l’analisi dell’esempio relativo a Google Drive, è stata visualizzata una pagina di errore che fornisce qualche dettaglio in più sulla campagna, in cui si osserva un errore di licenza presumibilmente proveniente da “NakedPages”.
Ulteriori informazioni presenti nella pagina fanno riferimento a nkp.relay-proxy-i2p.com. I2P è un livello di rete incentrato sulla privacy per la comunicazione anonima. Ciò suggerisce che la pagina di phishing stesse tentando di connettersi a un relay o a un proxy I2P, probabilmente per sottrarre dati o comunicare in modo anonimo.
Ulteriori indagini rivelano che nkp.relay-proxy-i2p.com è attivo solo da poco e che il suo nome di dominio è risolto a FlokiNET. FlokiNET è un provider di hosting web noto per offrire servizi con una forte enfasi sulla privacy e sulla libertà di espressione, spesso utilizzato da attivisti e giornalisti, ma anche gli autori delle minacce fanno buon uso di questi servizi. Mimecast ha osservato un recente cambiamento nell’hosting che indica che gli autori delle minacce stanno ruotando maggiormente la propria infrastruttura per evitare il rilevamento e i tentativi di rimozione.
I server dei nomi per nkp.relay-proxy-i2p.com sono Njalla, il che costituisce un altro punto interessante. Njalla è un servizio di registrazione domini che pone l’accento sulla privacy e sull’anonimato, proteggendo l’identità dei proprietari dei domini. Lo fa fungendo da intermediario tra il registrar e il proprietario del dominio, registrando il dominio per conto dell’utente e mantenendo nascoste le informazioni personali.
A livello globale, tutti i settori
Siti per la raccolta di credenziali
Oggetti delle e-mail (esistono diverse varianti)
Scopri come l’unica piattaforma di Mimecast può proteggere il tuo personale, l’intelligenza artificiale e i tuoi dati.
Unisciti alle migliaia di professionisti della sicurezza che utilizzano i nostri avvisi selezionati, le analisi degli esperti e gli IOC delle campagne per difendersi dalle minacce informatiche emergenti.
Threat Intelligence1 set 2026
Threat Intelligence27 ago 2026
