Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza il modo in cui gli autori degli attacchi stanno combinando due kit di phishing-as-a-service in campagne ibride, rendendo più difficili il rilevamento e l’attribuzione. Successivamente, il team indaga su RomCom, un gruppo di hacker legato alla Russia che attualmente prende di mira le aziende statunitensi che sostengono l’Ucraina.
Infine, concludiamo con una panoramica sul gruppo iraniano MuddyWater, che ha recentemente lanciato una campagna rivolta contro siti governativi e infrastrutture critiche in Israele ed Egitto.
Il phishing “Hybrid 2FA ” rappresenta una minaccia per le imprese
ANY.RUN lancia l’allarme riguardo a una nuova minaccia di phishing denominata “ ” che combina i kit di phishing Salty2FA e Tycoon2FA in un’unica campagna ibrida. Tale evoluzione indica una svolta verso operazioni di phishing modulari e resilienti, in grado di adattarsi ai guasti delle infrastrutture e di eludere le difese tradizionali.
ANY.RUN ha rilevato un calo delle segnalazioni relative a Salty2FA sandbox a partire dalla fine dell' ottobre 2025. All’inizio di novembre, il calo ha subito una forte accelerazione, spingendo ANY.RUN ad avviare un’indagine.
I ricercatori hanno scoperto che i campioni prelevati a novembre erano o non funzionanti oppure presentavano un comportamento diverso rispetto ai campioni tipici della serie Salty2FA . Allo stesso tempo, hanno osservato che i risultati della sandbox segnalavano la presenza di indicatori sia del kit Salty2FA che del kit Tycoon2FA nello stesso campione: una prova del fatto che gli autori degli attacchi stavano combinando i due kit in payload ibridi.
Come funziona il carico utile ibrido?
Questa attività ha inizio con una pagina di phishing su Cloudflare Pages Dev, una piattaforma dedicata all’hosting di siti statici e allo sviluppo front-end. Gli analisti hanno individuato nel codice dei commenti che indicano che, qualora il payload iniziale non venisse caricato, lo script dovrebbe recuperarlo da un URL di backup. Nel campione analizzato, il dominio primario Salty2FA ha restituito un errore “ DNS ”, pertanto non è stato possibile recuperare il payload.
A seguito di tale errore, lo script ha seguito il percorso di riserva e ha richiesto la fase successiva. Questa fase esegue controlli anti-analisi, sostituisce il contenuto della pagina, blocca le scorciatoie da tastiera per DevTools ed esegue controlli temporali. Infine, il codice carica una sequenza che corrisponde in larga misura alla catena di esecuzione Tycoon2FA’s , il che suggerisce che Tycoon2FA funga da payload di riserva quando l'infrastruttura Salty2FA non è disponibile.
Questo meccanismo di riserva consente agli autori degli attacchi di portare avanti le proprie campagne anche in caso di malfunzionamento dell’infrastruttura di un kit, riducendo così l’efficacia delle operazioni di smantellamento mirate a un singolo punto.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa nuova campagna ibrida riflette una tendenza sempre più marcata verso ecosistemi di phishing consolidati, in cui la modularità e la ridondanza sono integrate fin dall’inizio. Questo fenomeno è analogo a come i gruppi di ransomware si siano evoluti verso modelli RaaS. Anche il phishing sta seguendo questa tendenza.
Gli autori degli attacchi stanno ora dando priorità alla continuità operativa e passano da un kit di phishing all’altro quando l’infrastruttura smette di funzionare: una tendenza che rispecchia le strategie di ripristino di emergenza adottate dalle grandi aziende. Ciò riduce l’efficacia delle operazioni di smantellamento, a meno che non vengano colpiti sia i kit che l’infrastruttura che li accomuna.
Il rapporto di ANY.RUN include consigli pratici su come i team SOC possano reagire a tale attività.
RomCom utilizza SocGholish per diffondere il malware Mythic Agent
Secondo Arctic Wolf, il gruppo di hacker legato alla Russia denominato RomCom sta ora utilizzando il framework malware SocGholish per diffondere il proprio malware Mythic Agent contro le aziende statunitensi che sostengono attivamente l’Ucraina. È la prima volta che RomCom ricorre a SocGholish.
Arctic Wolf ha valutato, con un grado di certezza medio-alto, che dietro l’attacco vi fosse l’Unità 29155 del GRU russo, sottolineandone l’importanza geopolitica. Arctic Wolf ha individuato e bloccato l’intrusione e sta ora condividendo informazioni che evidenziano la crescente sofisticazione e collaborazione tra gli attori informatici russi.
RomCom, SocGholish e una panoramica su TA569
- RomCom è un gruppo legato alla Russia, attivo da almeno tre anni, che prende di mira principalmente le organizzazioni che sostengono l’Ucraina — sia attraverso aiuti diretti, partnership o servizi correlati — indipendentemente dalla loro ubicazione.
- SocGholish è un framework di malware individuato per la prima volta nel 2017. Diffuso tramite codice JavaScript dannoso iniettato nei siti web, funge da downloader ed è sempre più utilizzato come vettore di accesso iniziale per le operazioni di ransomware.
- TA569 è un gruppo con finalità di lucro che gestisce SocGholish nell’ambito di un modello “Malware-as-a-Service”, vendendo l’accesso a sistemi compromessi agli affiliati di ransomware. È considerato il principale autore delle minacce responsabile della distribuzione e della gestione di SocGholish e utilizza esche sotto forma di falsi aggiornamenti del browser e di software, nonché malvertising, per diffondere le infezioni.
Comprendere il vettore di attacco
SocGholish in genere inserisce codice JavaScript dannoso in siti web legittimi e utilizza falsi inviti all’aggiornamento per indurre gli utenti a scaricare malware. Occasionalmente si diffonde tramite phishing. Una violazione di sicurezza di tipo SocGholish può fungere da punto di accesso iniziale per ulteriori attacchi, rendendo fondamentali il rilevamento tempestivo e il contenimento.
In un caso osservato, pochi minuti prima che venisse distribuito il caricatore di shellcode di RomCom, gli autori della minaccia hanno testato la connettività con Mythic Command and Control (C2), un framework multipiattaforma per il red teaming scritto in Python 3 e progettato per i test di sicurezza ma che, come molti strumenti simili, viene talvolta utilizzato in modo improprio dagli autori delle minacce per controllare i sistemi compromessi.
Quando si attiva il caricatore?
Una volta verificata la connettività con Mythic C2 , può avere inizio la fase successiva dell’attacco: l’invio del loader di RomCom. Il programma di caricamento, <code>msedge.dll</code>, verifica se il dominio Active Directory del sistema corrisponde a un valore predefinito prima di decriptare ed eseguire lo shellcode. Lo shellcode in questione è l’agente Mythic, che successivamente si collega alla propria infrastruttura C2 per ricevere ulteriori istruzioni.
Arctic Wolf ha individuato e messo in quarantena il loader in questa fase, impedendo che l'attacco procedesse.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come sottolinea Arctic Wolf, questa è la prima volta che RomCom utilizza SocGholish, il che suggerisce che gli autori delle minacce stiano fondendo sempre più spesso obiettivi criminali e geopolitici.
L'apparente coordinamento tra RomCom e TA569 evidenzia come i gruppi malintenzionati stiano stringendo alleanze e collaborando per amplificare l'impatto, complicando ulteriormente l'attribuzione della responsabilità e le strategie di difesa per gli esperti di sicurezza.
Se non altro, i risultati emersi da Arctic Wolf evidenziano quanto siano fondamentali le difese a più livelli e l’analisi comportamentale per contrastare queste minacce in continua evoluzione.
MuddyWater prende di mira le infrastrutture critiche con tattiche in continua evoluzione
Un recente articolo pubblicato da ESET rivela come MuddyWater abbia lanciato una nuova campagna rivolta alle istituzioni governative e alle infrastrutture critiche in Israele ed Egitto, avvalendosi di tattiche più furtive e di strumenti personalizzati quali la backdoor MuddyViper e il loader Fooder.
Questo cambiamento indica l’evoluzione del gruppo verso operazioni più sofisticate e in grado di eludere i sistemi di difesa, a testimonianza di una maggiore capacità e tenacia.
Chi è MuddyWater?
MuddyWater — noto anche come Mango Sandstorm o TA450—is — è un gruppo di spionaggio informatico legato all’Iran, attivo almeno dal 2017. Si rivolge principalmente ai settori governativi e delle infrastrutture critiche in Medio Oriente e oltre.
All’inizio di quest’anno, ESET ha rilevato una sovrapposizione operativa tra MuddyWater e Lyceum, un sottogruppo di OilRig (noto anche come HEXANE), allineato con l’Iran. Come spiega ESET, ciò suggerisce che MuddyWater «potrebbe agire in qualità di broker di accesso iniziale per altri gruppi allineati con l’Iran».
Il set di strumenti di MuddyWater
ESET ha reso noti i dettagli relativi a strumenti finora sconosciuti utilizzati da MuddyWater:
- Caricatore Fooder: Un caricatore C/C++ a 64 bit che carica in modo riflessivo la backdoor MuddyViper in memoria e la esegue. È stato inoltre osservato che Fooder distribuisce l’utilità open source HackBrowserData. Tra le caratteristiche degne di nota figurano una funzione di ritardo personalizzata e versioni che si presentano come il classico gioco Snake.
- Backdoor MuddyViper: Un backdoor scritto in C/C++ che raccoglie informazioni di sistema, scarica e carica file, esegue comandi e sottrae credenziali. Mantiene la persistenza tramite valori del Registro di sistema o attività pianificate e supporta 20 comandi backdoor. Per la comunicazione C2 , utilizza richieste <code>HTTP GET</code> sulla <code>porta 443</code> con aggiornamenti di stato dettagliati.
- CE-Notes, programma per il furto di dati dai browser: Scoperto per la prima volta nel 2024, CE-Notes prende di mira i browser basati su Chromium (Chrome, Edge, Brave). Viene scaricato dal sito PowerShell e sottrae la chiave di crittografia associata a App, introdotta nella versione 127 di Chrome.
- LP-Notes: programma per il furto di credenziali: Un programma per il furto di credenziali denominato “ Windows ” che visualizza una finestra di dialogo di sicurezza contraffatta di Windows per indurre le vittime a inserire le proprie credenziali. Verifica le credenziali in tempo reale e tenta di effettuare l'accesso utilizzandole.
- Blub, programma per il furto di dati del browser: Uno strumento scritto in C/C++ che raccoglie i dati di accesso da Chrome, Edge, Firefox e Opera. Utilizza una libreria SQLite collegata staticamente e include semplici tecniche di offuscamento.
- Tunnel inversi: MuddyWater utilizza spesso i tunnel inversi go-socks5 — una raccolta di strumenti compilati in Go basati su librerie quali go-socks5, yamux e resocks — per consentire comunicazioni di rete invisibili e aggirare i firewall.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’evoluzione di MuddyWater, da sessioni rumorose e interattive a tecniche più furtive e residenti in memoria, suggerisce un passaggio deliberato verso la persistenza a lungo termine e l’evasione, il che è generalmente in linea con le tendenze degli attori sponsorizzati dallo Stato.
MuddyWater sta colmando il divario rispetto alle minacce persistenti avanzate (APT) più sofisticate, il che significa che i responsabili della sicurezza non possono più fare affidamento sulle ipotesi storiche relative a determinati gruppi. Tale attività continua a fare ricorso allo spear phishing per ottenere l’accesso iniziale, ma la combinazione con loader personalizzati camuffati da giochi evidenzia la necessità di una formazione volta a sensibilizzare gli utenti e di sistemi di rilevamento comportamentale, non solo di difese basate su firme.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti i siti , , il forum di discussione di Tanium,e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.