Torniamo a parlare di minacce via PEC, una serie di campagne che sulle nostre pagine abbiamo già analizzato in diverse occasioni. La persistenza di questa minaccia nei radar della cybersicurezza italiana dimostra quanto i criminali informatici affinino continuamente le proprie strategie di attacco, adattandole al contesto del nostro Paese. In passato abbiamo osservato l’evoluzione delle tecniche distributive di questo codice malevolo, ma l’ultima offensiva intercettata dagli esperti conferma una tendenza particolarmente insidiosa, ovvero l’impiego di strumenti digitali che gli utenti considerano intrinsecamente sicuri per superare le barriere difensive e la naturale diffidenza delle vittime.
L’allarme più recente è stato lanciato dal CERT-AGID, che ha individuato una massiccia campagna malevola veicolata attraverso la Posta Elettronica Certificata. Gli attaccanti sono riusciti a prendere il controllo di reali caselle PEC per inviare messaggi a loro volta destinati ad altri indirizzi certificati, sfruttando una falsa urgenza di tipo amministrativo. Le e-mail simulano solleciti di pagamento e solleciti per fatture scadute con importi da saldare celermente, utilizzando oggettistica credibile come posizioni contabili irregolari o promemoria di fatture in sospeso. La trappola si basa sul presupposto che una comunicazione certificata infonda immediata fiducia nel destinatario, spingendolo ad aprire l’allegato per verificare la contestazione.
Analizzando il funzionamento dell’attacco, la mail malevola contiene un file ZIP che al suo interno nasconde un file HTML anziché la documentazione contabile promessa. L’apertura del file HTML avvia il primo stadio della catena d’infezione contattando un server esterno per scaricare uno script JavaScript. Questo codice sfrutta componenti presenti in Windows e script in PowerShell per installare ed eseguire MintsLoader, il cui scopo finale è quello di scaricare ed eseguire ulteriori minacce ad alto impatto, come i trojan e gli infostealer dedicati al furto di credenziali. Gli indirizzi impiegati per recuperare i vari componenti malevoli variano di continuo sfruttando la tecnica DGA (Domain Generation Algorithm), attiva soprattutto nelle ore lavorative per massimizzare la riuscita dell’infezione. Nei tanti articoli che abbiamo dedicato a questo genere di offensive quest’ultima caratteristica è quella che torna con più frequenza, visto che l’arrivo di una PEC in un certo orario piuttosto che in un altro può vanificare o rendere più possibile la corretta riuscita della truffa.
La tempestiva risposta del CERT-AGID, in collaborazione con i Gestori PEC, ha permesso di condividere rapidamente gli Indicatori di Compromissione (IoC) attraverso i canali ufficiali e avviare il blocco delle infrastrutture coinvolte. Tuttavia, questa vicenda offre lo spunto per una riflessione più ampia sulla percezione della sicurezza informatica nel nostro ecosistema digitale. Esiste infatti un fraintendimento culturale profondo attorno allo strumento della PEC: se da un lato la Posta Elettronica Certificata garantisce il processo di trasmissione e l’identità dell’intestatario della casella, dall’altro non offre alcuna garanzia sull’integrità del contenuto o sulla sicurezza degli allegati inviati.
Trattare la PEC come un canale del tutto esente da rischi rappresenta una vulnerabilità psicologica che i cybercriminali continuano a sfruttare con successo. Così come è necessario dotarsi di strumenti di difesa è anche impensabile credere di essere automaticamente protetti e non controllare di persona ciò che si apre. È indispensabile adottare un approccio basato sul Zero Trust anche verso la posta certificata, diffidando da sollecitazioni finanziarie inattese, verificando sempre la coerenza degli allegati ed evitando l’apertura di archivi compressi o file eseguibili inviati da fonti improvvise, indipendentemente dal valore legale del canale con cui sono stati recapitati.
Fonte: 1