Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza il modo in cui i criminali informatici stanno creando siti web fasulli che imitano servizi di intelligenza artificiale legittimi per diffondere malware. La rassegna comprende inoltre aggiornamenti su APT41, un attore malintenzionato cinese altamente sofisticato e sostenuto dallo Stato. Infine, il nostro team CTI sta indagando su un nuovo attore malintenzionato affiliato alla Russia denominato Void Blizzard.
UNC6032 crea siti web fasulli dedicati all’intelligenza artificiale
Secondo Mandiant (si apre in una nuova scheda), i criminali informatici stanno ora creando siti web fasulli basati sull’intelligenza artificiale e li utilizzano per diffondere malware tramite annunci ingannevoli.
Questa campagna, attribuita al gruppo UNC6032, prende di mira gli utenti a livello globale e mette in evidenza la tendenza crescente da parte degli autori delle minacce a sfruttare le tecnologie emergenti per il furto di credenziali e la sorveglianza su larga scala.
In che modo gli autori delle minacce utilizzano l’intelligenza artificiale e i social media per diffondere malware?
Come spiega Mandiant , gli autori delle minacce si sono affrettati a sfruttare la crescente popolarità dell’intelligenza artificiale. Ciò ha portato alla diffusione di campagne provenienti da siti che si spacciano per popolari strumenti di intelligenza artificiale, pubblicizzati tramite annunci su Facebook e LinkedIn .
Mandiant ha individuato oltre 30 siti web tra migliaia di annunci pubblicitari che presentano contenuti simili. Sembra che l’autore stia continuamente alternando i domini citati negli annunci per evitare di essere individuato; la maggior parte di essi ha vita breve e ogni giorno ne vengono creati di nuovi.
Cosa accade quando si clicca su un annuncio pubblicitario falso generato dall’intelligenza artificiale?
In questa campagna, l’annuncio su Facebook si presentava come un noto strumento di intelligenza artificiale per la conversione da testo a video denominato Luma AI. L'annuncio pubblicitario indirizza le vittime verso un sito web creato dall'autore dell'attacco, dove possono cliccare sul pulsante “Inizia subito gratuitamente” e selezionare le varie funzioni desiderate.
- Quando la vittima fa clic per generare il contenuto, viene visualizzata una barra di caricamento che dà l’impressione che il modello di IA stia elaborando la richiesta.
- Dopo pochi secondi, ricevono un video da scaricare. In questo modo verrà scaricato un file .zip sul dispositivo.
- Il file .zip scaricato contiene un eseguibile con doppia estensione, concepito per simulare un file .mp4 , ma che in realtà è un file .exe.
[Legga anche: Che cos’è l’IA agentica? Cosa occorre sapere su questo nuovo tipo di IA]
Che cos’è il contagocce STARKVEIL?
Il file eseguibile, identificato da Mandiant come STARKVEIL, è un malware dropper scritto in Rust. Estrarrà l’archivio incorporato e i suoi componenti malware, che verranno utilizzati in seguito nel corso dell’infezione per iniettare codice dannoso nei processi legittimi.
Mandiant ha rilevato che, affinché l'attacco abbia esito positivo, il file eseguibile deve essere eseguito due volte. A tal fine, il malware visualizza una finestra di errore al primo avvio, indurre potenzialmente gli utenti a tentare di avviarlo nuovamente.
Durante la seconda esecuzione, verrà avviato un Python Launcher contenente un comando Python. Si è scoperto che si trattava del contagocce COILHATCH. Maggiori informazioni su COILHATCH, insieme a ulteriori dettagli tecnici relativi al malware STARKVEIL, sono disponibili nel rapporto di Mandiant.
File eseguibili da conoscere
La campagna contiene tre file eseguibili, ovvero GRIMPULL, XWORM e FROSTRIFT:
- GRIMPULL is a downloader that uses anti-VM capabilities and Tor for its C2 communications.
- XWORM si avvia in secondo piano e viene iniettato in un processo legittimo di Windows . Si tratta di una backdoor che amplia le proprie funzionalità tramite plugin.
- FROSTRIFT viene iniettato in un processo legittimo di Windows e raccoglie informazioni sul sistema. Riceve i moduli provenienti dal C2 , che vengono memorizzati per essere caricati in memoria.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna costituisce un esempio da manuale di come gli autori delle minacce si adattino rapidamente per sfruttare le tecnologie di tendenza. In questo caso, il clamore suscitato dall’intelligenza artificiale funge da esca perfetta per un attacco di ingegneria sociale di tipo “ ”.
Inoltre, l’uso improprio di piattaforme pubblicitarie quali Facebook e LinkedIn mette in luce un punto cieco sempre più evidente nel rilevamento delle minacce. Attualmente si stanno creando infrastrutture dannose all’interno di ecosistemi legittimi.
Con la presente desideriamo ricordarvi che il monitoraggio dei payload dei malware non è sufficiente. È necessario prestare la stessa attenzione all’identificazione e al monitoraggio dei vettori di trasmissione.
Il APT41 utilizza il calendari Google per il comando e il controllo
Google L’ultimo rapporto del Threat Intelligence Group, intitolato “ ” (si apre in una nuova scheda), tratta del caso “ APT41”, un attore malintenzionato sostenuto dallo Stato cinese che recentemente ha utilizzato un sito web governativo compromesso per diffondere un sofisticato malware in tre fasi denominato TOUGHPROGRESS.
L'attacco ha sfruttato strutture di file ingannevoli e il Calendario di Google per le operazioni di comando e controllo. Google è riuscita a contrastare con successo la campagna implementando sistemi di rilevamento personalizzati e disattivando l’infrastruttura degli autori dell’attacco.
In che modo APT41 ha utilizzato file PDF contraffatti per diffondere malware?
Il gruppo APT41 ha dato il via all'attacco inviando e-mail di spear phishing alle vittime designate. Le e-mail contenevano un link a un archivio .zip ospitato su un sito web governativo compromesso.
L'archivio conteneva sette immagini in formato .jpg e un file .lnk camuffato da file .pdf. Il payload è stato eseguito tramite il file .lnk; successivamente, il file .lnk è stato eliminato e sostituito con un file .pdf di copertura.
Comprendere la catena di infezione da malware
Il malware contiene tre moduli, ciascuno dei quali svolge una propria funzione e viene attivato in sequenza:
- PLUSDROP è una DLL progettata per decriptare ed eseguire la fase successiva dell'attacco.
- PLUSINJECT esegue l’eviduazione del processo e inietta il carico utile finale.
- TOUGHPROGRESS esegue le azioni effettive sul dispositivo compromesso e sfrutta il calendario di Google per le operazioni di comando e controllo (C2).
Come APT41 ha trasformato il calendari Google e in un canale C2
Come già osservato, TOUGHPROGRESS fa un uso improprio del calendario “ Google ”. È in grado di leggere e scrivere eventi avvalendosi di un calendario Google controllato dall’autore dell’attacco. Una volta eseguito, creerà un evento nel calendario impostato su una data fissa, ovvero il 30 maggio 2023, con un'ora pari a zero minuti.
L'evento include i dati raccolti dal dispositivo compromesso, riportati nella descrizione dell'evento. L'autore dell'attacco inserisce inoltre comandi crittografati in ulteriori eventi del calendario, in date predefinite nel malware.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
APT41’s use of Google Calendar for command and control is a stark reminder that adversaries are increasingly leveraging legitimate cloud services to mask malicious activity.
Questa tattica complica il rilevamento e sottolinea la necessità di analisi comportamentali che vadano oltre il tradizionale rilevamento basato sugli “ IOC” (abbreviazione di “”, ovvero “indicatori di compromissione”, che si riferisce all’identificazione delle minacce mediante elementi noti quali indirizzi IP dannosi, hash di file o nomi di dominio associati ad attacchi precedenti).
L'architettura a tre livelli di TOUGHPROGRESS riflette una tendenza crescente nella progettazione di malware modulare, che consente agli autori degli attacchi di adattare dinamicamente i payload ed eludere le difese statiche. Tale modularità facilita inoltre il riutilizzo tra le diverse campagne, rendendo più complesse l’attribuzione e la mitigazione.
Void Blizzard: una nuova minaccia per i settori critici
Microsoft (si apre in una nuova scheda) hanno individuato un nuovo attore malintenzionato affiliato alla Russia denominato Void Blizzard, il quale sta conducendo attivamente campagne di spionaggio informatico contro settori critici. Il gruppo utilizza credenziali rubate e tecniche di spear phishing per infiltrarsi nelle reti e sottrarre grandi quantità di dati sensibili.
A chi si rivolge Void Blizzard?
È stato osservato che Void Blizzard ha preso di mira organizzazioni operanti in diversi settori, tra cui comunicazioni/telecomunicazioni, difesa, sanità, istruzione, enti e servizi governativi, tecnologia dell’informazione, organizzazioni intergovernative, media, ONG e trasporti.
Nella maggior parte dei casi, il gruppo prende di mira organizzazioni governative e forze dell’ordine, in particolare quelle degli Stati membri della NATO.
In che modo Void Blizzard ottiene l’accesso iniziale?
Il gruppo ricorre principalmente a tecniche poco sofisticate per ottenere l'accesso iniziale, tra cui il “password spraying” e il furto di credenziali. Microsoft ritiene che il gruppo ottenga cookie e credenziali attraverso l’ecosistema dei criminali informatici e che poi li utilizzi per accedere a servizi quali Exchange e SharePoint Online.
In “ aprile 2025”, Microsoft ha individuato una campagna di spear phishing denominata “Void Blizzard” che utilizzava la tecnica “adversary-in-the-middle” (AiTM). Questa campagna era rivolta a oltre 20 organizzazioni non governative negli Stati Uniti e in Europa.
Le e-mail di phishing relative all’ , all’indirizzo , fingevano di provenire dall’European Defense and Security Summit e contenevano file PDF con un invito falso all’evento. Il file PDF conteneva un codice QR che rimandava a un dominio oggetto di typosquatting che si spacciava per il sito Microsoft Online. La pagina di phishing riproduceva fedelmente il portale di autenticazione di Entra all’indirizzo Microsoft . Microsoft ritiene inoltre che Void Blizzard stia probabilmente utilizzando il framework Evilginx per condurre campagne di questo tipo.
Cosa accade dopo l'accesso iniziale?
Una volta ottenuto l’accesso iniziale a un ambiente, il gruppo sfrutterà in modo improprio le API cloud legittime, tra cui Exchange Online e Microsoft Graph. Ciò consente loro di individuare le caselle di posta elettronica dei soggetti interessati, oltre a vari file ospitati su piattaforme cloud.
In alcune campagne, gli autori degli attacchi hanno inoltre avuto accesso alle conversazioni di Teams su Microsoft , in particolare tramite il client web.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Non capita spesso di sentire parlare di un nuovo autore o gruppo di attacchi informatici. Void Blizzard potrebbe ricorrere a tecniche meno sofisticate, ma la sua capacità di compromettere con successo le organizzazioni ci ricorda come anche le strategie più “elementari” possano comunque rappresentare una minaccia concreta. Detto questo, la capacità di individuare e riconoscere alcune delle tattiche, tecniche e procedure (TTP) più elementari può rivelarsi fondamentale.
Come di consueto, Microsoft ha fornito linee guida in materia di mitigazione e protezione (si apre in una nuova scheda) relative all’identità e all’autenticazione, alla sicurezza della posta elettronica e alle attività successive alla compromissione. Microsoft Sono state inoltre incluse varie rilevazioni del Defender e ricerche mirate per individuare eventuali attività correlate a Void Blizzard.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito e il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
