Campagna di phishing contro le aziende: MixShell e nuove tecniche di ingegneria sociale

Una sofisticata campagna di phishing sta prendendo di mira aziende manifatturiere industriali e altre organizzazioni strategiche coinvolte nelle catene di fornitura. L’operazione, individuata dai ricercatori di Check Point, utilizza tecniche avanzate di ingegneria sociale per aggirare i sistemi di sicurezza email e convincere i dipendenti a scaricare file malevoli.

L’attacco si distingue per l’elevato livello di preparazione degli aggressori, che costruiscono rapporti apparentemente professionali con le potenziali vittime prima di proporre il download del malware. L’obiettivo è distribuire MixShell, un backdoor personalizzato progettato per operare direttamente in memoria.

Come funziona la campagna di phishing

Secondo i ricercatori, la campagna è condotta da criminali informatici motivati da finalità economiche. Il payload principale è MixShell, una backdoor eseguita interamente in memoria e distribuita attraverso un archivio ZIP contenente uno script PowerShell.

Il malware utilizza tunneling DNS TXT con fallback HTTP per comunicare con l’infrastruttura di comando e controllo. Questa tecnica permette agli attaccanti di eseguire comandi da remoto, gestire file e mantenere le comunicazioni con il sistema compromesso.

L’ingegneria sociale come arma principale

Uno degli aspetti più interessanti dell’operazione è l’utilizzo sistematico dell’ingegneria sociale. Invece di affidarsi esclusivamente alle tradizionali email di phishing, gli aggressori sfruttano i moduli “Contattaci” presenti sui siti web aziendali.

La tecnica consente agli attaccanti di fare in modo che sia la stessa azienda bersaglio ad avviare una conversazione via email. In questo modo il traffico può apparire più affidabile e risultare meno sospetto rispetto a un messaggio proveniente direttamente da un mittente sconosciuto.

Conversazioni professionali e falsi NDA

Gli aggressori possono dedicare giorni o settimane alla conversazione con la vittima, mantenendo un dialogo apparentemente professionale e costruendo gradualmente un rapporto di fiducia.

In alcuni casi viene richiesto di firmare un NDA, ovvero un accordo di riservatezza. Il documento rappresenta un’ulteriore esca utilizzata per rendere credibile l’iniziativa e spingere il destinatario a considerare legittima la richiesta.

Per aumentare ulteriormente la credibilità, gli attaccanti utilizzano domini molto datati e associati a società statunitensi reali o precedentemente legittime. Molti dei domini osservati risultano registrati da oltre cinque anni, rendendo più difficile identificarli immediatamente come infrastrutture sospette.

Nuove tattiche per distribuire MixShell

Dopo aver conquistato la fiducia della vittima, gli aggressori la invitano a scaricare un file apparentemente legittimo ospitato su un sottodominio di herokuapp.com. Il file contiene gli elementi necessari per avviare la catena di infezione e distribuire il payload malevolo.

Successivamente, la campagna ha adottato una strategia differente. Invece di utilizzare esclusivamente i moduli di contatto aziendali, gli aggressori hanno iniziato a inviare email dirette ai dipendenti, fingendosi membri dell’organizzazione.

La nuova tecnica presenta l’attività come una presunta “Valutazione dell’impatto dell’IA”. Alla vittima viene richiesto di compilare un breve questionario, mentre il senso di urgenza viene rafforzato sostenendo che la richiesta proviene direttamente dal management aziendale.

Una campagna ancora attiva

La campagna di phishing risulta ancora attiva e non è stato stabilito con certezza se gli aggressori utilizzino sempre lo stesso payload. Questa caratteristica rende particolarmente importante mantenere aggiornati i sistemi di sicurezza e monitorare costantemente comportamenti e comunicazioni anomale.

La capacità degli attaccanti di modificare le modalità di contatto e adattare le tecniche di distribuzione dimostra come le campagne moderne di cybercrime siano sempre più dinamiche e difficili da individuare attraverso semplici regole di sicurezza.

Chi sono le aziende colpite

Oltre l’80% delle vittime identificate si trova negli Stati Uniti, ma la campagna ha interessato anche organizzazioni presenti a Singapore, Giappone e Svizzera.

I principali bersagli sono grandi imprese, ma sono state coinvolte anche piccole e medie imprese. Questo dimostra che le dimensioni dell’organizzazione non rappresentano necessariamente un fattore di esclusione per gli aggressori.

La strategia basata su conversazioni prolungate evidenzia inoltre la disponibilità dei criminali a investire settimane nella fase di ingaggio, adattando il comportamento in base al valore percepito dell’obiettivo e alla possibilità di ottenere un accesso utile.

Come proteggersi dal phishing mirato

La campagna MixShell dimostra che la formazione sulla cybersecurity è fondamentale anche quando le email e le conversazioni sembrano provenire da contatti professionali reali. Le aziende dovrebbero adottare procedure interne per verificare richieste insolite, documenti, questionari e link ricevuti durante trattative o collaborazioni.

• verificare sempre l’identità del mittente e dell’organizzazione coinvolta;
• evitare di scaricare file da domini non verificati;
• controllare con attenzione archivi ZIP e script PowerShell ricevuti via email;
• formare periodicamente i dipendenti sulle tecniche di social engineering;
• utilizzare sistemi avanzati di protezione della posta elettronica;
• monitorare comportamenti anomali sugli endpoint e sulla rete aziendale;
• limitare l’esecuzione di script non necessari sui dispositivi aziendali.
  
  

MixShell e l’evoluzione del phishing aziendale

La campagna che distribuisce MixShell evidenzia l’evoluzione delle tecniche di phishing utilizzate contro le aziende. Gli attaccanti non si limitano più a inviare messaggi fraudolenti, ma possono costruire vere e proprie relazioni professionali con le vittime, sfruttando fiducia, urgenza e autorevolezza.

La combinazione tra ingegneria sociale, PowerShell, tunneling DNS, infrastrutture datate e malware eseguito in memoria rende questa tipologia di minaccia particolarmente insidiosa. Per questo motivo, una strategia efficace di cybersecurity deve integrare tecnologie di protezione, monitoraggio continuo e formazione del personale.

Proteggere un’azienda dal phishing moderno significa quindi non soltanto bloccare le email sospette, ma anche riconoscere i segnali di una possibile manipolazione psicologica e verificare ogni richiesta che potrebbe portare all’esecuzione di software o script non autorizzati.

Seguite Cyb&Des Consulting sui nostri social!