Sicurezza Email7 min
Phishing Device Code Microsoft 365: Il Rischio
Un nuovo attacco sfrutta il flusso device code di Microsoft per rubare account M365. Ma il vero problema? Il costo che nessuno calcola. Ecco l'analisi per il CDA.
LeggiTHREAT BRIEF
Una campagna phishing denominata EvilTokens sta colpendo organizzazioni negli Stati Uniti e in Europa utilizzando una tecnica definita "ghost phishing". Il vettore d'attacco sfrutta email che contengono link verso pagine web il cui contenuto malevolo viene caricato solo dopo la decrittografia dinamica nel browser della vittima.
Vettore: Email con link a pagine HTML che utilizzano tecniche di offuscamento JavaScript Target: Aziende medio-grandi nei settori finance, technology e manufacturing Geografia: Stati Uniti, Europa occidentale (focus su Italia, Germania, Regno Unito) Tattica MITRE ATT&CK: T1566 (Phishing), T1189 (Drive-by Compromise)
I filtri antispam tradizionali basati su scansione statica del contenuto non riescono a rilevare questa minaccia perché il codice malevolo non è presente nel momento dell'analisi. La pagina appare come un normale documento HTML vuoto o con contenuto legittimo, e solo l'esecuzione JavaScript nel client della vittima attiva il payload finale.
ANALISI DELLA MINACCIA
Vettore d'attacco
La campagna EvilTokens utilizza un pattern sofisticato che sfrutta le limitazioni architetturali dei gateway email tradizionali. L'attacco inizia con email di phishing che si spacciano per comunicazioni aziendali legittime: fatture, documenti HR, notifiche di servizio.
Il link contenuto nell'email punta a una pagina ospitata su domini compromessi o servizi di cloud storage legittimi (Google Drive, Dropbox). La pagina HTML caricata contiene codice JavaScript offuscato che implementa un meccanismo di decrittografia dinamica.
Meccanismo tecnico
Quando la vittima apre il link nel browser, il codice JavaScript esegue le seguenti operazioni:
- Recupero del payload crittografato: Il codice effettua richieste a endpoint remoti per ottenere i dati crittografati
- Decrittografia dinamica: Utilizza algoritmi di decrittografia (tipicamente AES o RC4) per decodificare il contenuto malevolo
- Rendering della pagina fake: Il contenuto decrittografato viene iniettato nel DOM della pagina, mostrando una falsa pagina di login
- Exfiltration delle credenziali: Le credenziali inserite vengono inviate ai server degli attaccanti
Questa tecnica è particolarmente efficace perché i filtri antispam analizzano il contenuto email e gli allegati in un contesto server-side, dove il codice JavaScript non viene eseguito. La pagina appare come HTML benigno durante la scansione.
Indicatori di compromissione (IOC)
| Tipo IOC | Descrizione |
|---|---|
| Dominio sospetti | Domini recently registered con pattern di typo-squatting |
| URL pattern | Presenza di parametri di query con contenuto base64 |
| Comportamento JS | Codice che effettua fetch verso domini terzi |
| Payload network | Comunicazioni verso IP non standard per il business |
Riferimenti MITRE ATT&CK
- T1566.001 - Phishing: Spearphishing Link
- T1189 - Drive-by Compromise
- T1059.007 - JavaScript/JScript Execution
- T1041 - Exfiltration Over C2 Channel
IMPATTO E PORTATA
Settori colpiti
La campagna EvilTokens mostra una preferenza per settori con elevato valore delle credenziali e infrastrutture IT complesse:
- Financial Services: Banche, assicurazioni, fintech - obiettivo primario per il valore delle credenziali bancarie e l'accesso a sistemi di pagamento
- Technology: Software house, provider cloud, aziende IT - obiettivo per l'accesso a codice sorgente e dati clienti
- Manufacturing: Aziende manifatturiere con supply chain digitalizzate - obiettivo per frodi B2B e BEC
- Healthcare: Ospedali e case di cura - obiettivo per dati sanitari sensibili
Dimensioni aziendali a rischio
| Dimensione | Livello Rischio | Motivazione |
|---|---|---|
| Grandi imprese (>1000 dipendenti) | Alto | Infrastrutture complesse, più punti di accesso, alto valore dei dati |
| Medie imprese (250-1000) | Alto | Spesso targetizzate per BEC, risorse security limitate |
| PMI (50-250) | Medio-Alto | Minore consapevolezza security, protezioni base |
| Micro imprese (<50) | Medio | Meno targetizzate ma più vulnerabili |
Geografie
Il focus della campagna è sulle organizzazioni operanti in:
- Stati Uniti: Target primario, particolare focus su aziende della costa east e west
- Europa occidentale: Italia, Germania, Francia, Regno Unito
- Settori regulati: Banche e assicurazioni nell'area SEPA
Il pattern suggerisce un'operazione criminale organizzata con capacità di linguistic adaptation per diverse lingue europee.
ANALISI COMPARATIVA
Evoluzione delle tecniche phishing
Il ghost phishing rappresenta un'evoluzione significativa rispetto alle tecniche tradizionali. Per comprendere il salto qualitativo, è utile analizzare l'evoluzione:
| Era | Tecnica | Rilevabilità |
|---|---|---|
| 2010-2015 | Email con allegati malware | Alta (signature-based) |
| 2015-2020 | Phishing con URL diretto | Media (URL reputation) |
| 2020-2024 | QR phishing, OAuth consent | Media-Bassa |
| 2024-oggi | Ghost phishing, HTML smuggling | Bassa |
Confronto con tecniche precedenti
HTML Smuggling (2020-2023): Tecnica che nasconde il malware in HTML, sbloccato dal browser. Rilevabile tramite analisi del contenuto HTML. Il ghost phishing va oltre nascondendo l'intera pagina di phishing.
Zero-font Attack: Utilizza font invisibili per ingannare i filtri. Rilevabile con analisi font. Il ghost phishing non dipende da trick visuali ma da logica JavaScript.
Callback Phishing: Richiede interazione telefonica. Più complesso da eseguire su larga scala. Il ghost phishing mantiene la semplicità del phishing email.
Vantaggi per l'attaccante
- Bypass delle sandbox: I contenuti malevoli non vengono eseguiti nell'ambiente di analisi
- Bypass dei filtri URL: L'URL finale appare benigno durante la scansione
- Resistenza al machine learning: I modelli ML non hanno pattern di training per questa tecnica
- Scalabilità: Un singolo template può generare infinite varianti
Trend quantitativi
I report ENISA e NIST del 2025 indicano un incremento del 340% nelle tecniche di phishing che sfruttano JavaScript dinamico. Il ghost phishing rappresenta circa il 15% di queste nuove varianti, con trend in crescita per il 2026.
RACCOMANDAZIONI
Priorità immediata (0-48 ore)
- Aggiornamento dei filtri URL: Configurare i gateway email per eseguire scansione dei link al momento del click, non solo al momento della ricezione
- Implementazione di browser isolation: Per utenti ad alto rischio, valutare soluzioni di remote browser isolation che eseguono il rendering in ambiente sandbox
- Comunicazione al personale: Avvisare i dipendenti della campagna con indicazioni specifiche di non cliccare su link non richiesti
Breve termine (1-4 settimane)
- Analisi comportamentale: Implementare soluzioni che analizzano il comportamento JavaScript al momento dell'esecuzione, non solo il contenuto statico
- Web security gateway: Aggiornare o implementare web security gateway con capacità di JavaScript analysis
- MFA robusto: Implementare MFA hardware-based (FIDO2) per tutti gli account critici, riducendo il valore delle credenziali rubate
Medio termine (1-3 mesi)
- Threat intelligence: Integrare feed di threat intelligence specifici per ghost phishing e tecniche evasion
- Red team testing: Testare la resilienza dell'organizzazione con simulazioni di ghost phishing
- Segmentazione rete: Implementare segmentazione per limitare l'esposizione in caso di compromissione
Strumenti e tecnologie
Le soluzioni moderne di email security che combinano più livelli di protezione sono essenziali:
- Sandboxing avanzato: Soluzioni che eseguono il rendering completo delle pagine web in ambiente isolato
- URL analysis real-time: Scansione dei link al momento del click con valutazione del comportamento dinamico
- AI semantica: Machine learning addestrato su pattern di ghost phishing
MailSniper offre protezione inbound e outbound con URL analysis real-time e sandboxing degli allegati, integrando questi livelli di difesa in un'unica piattaforma.
Indicatori da monitorare
- Incremento di click su URL da domini recently registered
- Richieste di login da posizioni geografiche anomale
- Sessioni utente da device non riconosciuti
- Spike di richieste password reset
OUTLOOK
Nei prossimi 3-6 mesi prevediamo:
- Espansione della tecnica: Altri gruppi criminali adoteranno il ghost phishing data l'alta efficacia
- Evoluzione difensiva: I vendor di sicurezza email implementeranno contromisure specifiche
- Target diversification: La tecnica verrà adattata per colpire anche PMI e settori non ancora targetizzati
- Combinazione con altre tecniche: Il ghost phishing verrà combinato con AI-generated content per email più convincenti
Le organizzazioni che non aggiornano le proprie difese email entro i prossimi 6 mesi saranno significativamente esposte a questa categoria di minacce.
Fonti e riferimenti
- The Hacker News: "New Ghost Phishing Wave Is Breaking Traditional Email Security"
- MITRE ATT&CK Framework v14
- NIST SP 800-53 Security Controls
- ENISA Threat Landscape Report 2025