CERT-AGID 11 – 17 gennaio: una campagna di phishing sul Ministero della Salute e di nuovo Lumma Stealer.

Di queste, 29 erano mirate specificamente a obiettivi italiani, mentre le altre 20, pur essendo di carattere generico, hanno avuto un impatto anche sull’Italia.

Gli enti accreditati hanno ricevuto 796 indicatori di compromissione (IoC) identificati nel corso delle analisi.

I temi della settimana

Questa settimana sono stati individuati 16 temi sfruttati per condurre campagne malevole sul territorio italiano.

Tra i principali troviamo il tema dei Pagamenti è stato ampiamente utilizzato per diffondere vari malware, tra cui Snake Keylogger, Strela Stealer, Formbook e Darkcloud. Inoltre, sono state individuate due campagne generiche di phishing che prendevano di mira DHL e una generica webmail.

Il settore bancario (Banking) si è confermato un bersaglio ricorrente, con campagne di smishing e phishing indirizzate ai clienti di istituti italiani e internazionali come Poste Italiane, Intesa Sanpaolo e Mediolanum. Tre campagne italiane di smishing hanno veicolato i malware Irata e SpyNote attraverso APK malevoli.

Il tema delle consegne (Delivery) è stato sfruttato per cinque campagne italiane di phishing e smishing che prendevano di mira DHL, GLS e Poste Italiane. Gli altri temi rilevati sono stati utilizzati per varie campagne di malware e phishing.

Tra gli eventi di rilievo il CERT-AGID segna una campagna di phishing, attualmente in corso, che sfrutta il nome e il logo del Ministero della Salute per ingannare le vittime e ottenere dati personali e finanziari.

Le email fraudolente, spacciate per comunicazioni ufficiali, invitano gli utenti a fornire i propri dati personali con la promessa di un presunto rimborso di 265,67 euro da parte del Servizio Sanitario Nazionale.

Inoltre, su forum underground sono stati recentemente pubblicati oltre 10 GB di dati sottratti tramite il malware Lumma Stealer.

Tra le informazioni esposte figurano dati personali come username, password, URL dei siti web associati alle credenziali rubate, dettagli sul browser utilizzato, la relativa versione e il sistema operativo.

Il CERT-AGID ha poi analizzato una campagna Lumma Stealer risalente a ottobre 2024, che utilizzava un falso CAPTCHA su un dominio italiano compromesso.

Questa tecnica si è rivelata particolarmente efficace, sfruttando la fiducia che gli utenti ripongono nei CAPTCHA, comunemente considerati strumenti legittimi per verificare l’identità umana.

Fonte: CERT-AGID

Cessione crediti fiscali

procedure celeri

 

Malware della settimana

Nel corso della settimana sono state identificate 14 famiglie di malware che hanno colpito l’Italia.

Tra le campagne più significative si segnalano diverse operazioni legate a temi specifici. AgentTesla è stato utilizzato in una campagna italiana a tema “Prezzi” e in tre campagne generiche su “Booking” e “Pagamenti”, diffuse tramite email con allegati come ARJ, 7Z, TAR e RAR.

MassLogger è stato impiegato in due campagne italiane a tema “Contratti” e “Banking” e in una campagna generica a tema “Ordine”, con email contenenti allegati BAT, ZIP e RAR.

Remcos ha caratterizzato tre campagne italiane basate su temi come “Ordine”, “Preventivo” e “Documenti”, distribuite tramite email con allegati GZ, TGZ e ZIP.

LummaStealer è stato rilevato in due campagne generiche legate al tema “Booking”, veicolate attraverso email con allegati PDF e link a script malevoli PS1. SpyNote è emerso in due campagne italiane a tema “Banking”, nelle quali l’APK malevolo è stato diffuso tramite SMS.

Anche FormBook è stato protagonista di una campagna italiana legata al tema “Ordine” e di una generica a tema “Pagamenti”, veicolate tramite email con allegati XZ e Z. NetSupport è stato individuato in una campagna italiana focalizzata su “Booking” e diffusa con email contenenti allegati PDF.

Fonte: CERT-AGID

SnakeKeylogger è stato utilizzato sia in una campagna italiana a tema “Ordine”, con email contenenti allegati IMG, sia in una campagna generica a tema “Pagamenti”, distribuita tramite allegati ZIP.

Irata è stato riscontrato in una campagna italiana a tema “Banking”, con diffusione di APK malevoli tramite SMS. DarkCloud è stato individuato in una campagna generica legata al tema “Pagamenti”, veicolata con email che includevano allegati RAR.

Modiloader è stato protagonista di una campagna italiana sul tema “Preventivo”, diffusa tramite email con allegati GZ. CobaltStrike ha caratterizzato una campagna italiana a tema “Aggiornamenti”, veicolata tramite email con link malevoli.

Infine, VIPKeylogger è stato rilevato in una campagna generica a tema “Preventivo”, distribuita tramite email con allegati PDF.

Phishing della settimana

Nel corso della settimana, sono stati 11 i brand presi di mira nelle campagne di phishing attive sul territorio italiano.

Tra questi, emergono in particolare i nomi di Intesa Sanpaolo, Poste Italiane, DHL e GLS, che rappresentano i bersagli principali per quantità di attacchi rilevati.

Le campagne che sfruttano questi marchi si concentrano su temi ricorrenti come operazioni bancarie, spedizioni e consegne, facendo leva sulla fiducia degli utenti per indurli a rivelare dati sensibili o scaricare malware tramite link o allegati malevoli.

Fonte: CERT-AGID

Come sempre, ugualmente pericolose sono le campagne di phishing non direttamente associate a un brand specifico, ma mascherate come comunicazioni generiche di servizi di webmail.

Questi attacchi puntano principalmente al furto di credenziali d’accesso, sfruttando messaggi che simulano notifiche urgenti, come presunti problemi con l’account o richieste di verifica. L’assenza di un marchio noto può, in alcuni casi, risultare più insidiosa, poiché gli utenti potrebbero non sospettare immediatamente della legittimità del messaggio.

Formati e canali di diffusione

Il rapporto settimanale del CERT-AGID ha evidenziato l’uso di 15 tipologie di file diverse per la distribuzione di contenuti dannosi.

Tra i formati analizzati, il file ZIP è risultato il più utilizzato, coinvolto in 5 campagne malevole. Seguono, con 3 utilizzi ciascuno, i file PDF, RAR e APK, mentre i formati GZ, HTML e BAT sono stati impiegati in 2 operazioni.

Altri formati, come TGZ, TAR, ARJ, IMG, Z, 7Z, PS1 e XZ, sono stati rilevati in una sola campagna ciascuno.

Fonte: CERT-AGID

Per quanto riguarda i canali di diffusione, le email si confermano il vettore principale, utilizzato in ben 39 campagne. Questo dato sottolinea ancora una volta l’efficacia di questo mezzo per raggiungere un ampio numero di vittime.

Gli SMS sono stati impiegati in 7 campagne, confermando che anche i messaggi brevi continuano a rappresentare una modalità di attacco significativa. La Posta Elettronica Certificata (PEC), sebbene più circoscritta, è stata sfruttata in 3 campagne malevole, dimostrando come gli attaccanti stiano diversificando le strategie per colpire contesti più specifici.