Team MailSniper
Autore
Se stai leggendo questo probabilmente hai visto l'allerta: il gruppo SideCopy (quello legato al Pakistan) ha fatto irruzione nel Ministero delle Finanze dell'Afghanistan usando un RAT open-source chiamato Xeno. Non è una minaccia generica di spam — è un'operazione mirata, e le tecniche usate nella spear-phishing potrebbero facilmente replicarsi contro aziende italiane.
Il punto? Xeno RAT è open-source. Chiunque può scaricarlo da GitHub e usarlo. Il codice è già stato modificato da altri threat actor. Quindi anche se questa specifica campagna è diretta all'Afghanistan, le stesse email di phishing potrebbero arrivare nella tua inbox domani.
Il problema concreto: come fai a riconoscere un'email che porta Xeno RAT prima che il tuo utente ci clicchi sopra?
La campagna usa email che si fingono comunicazioni ufficiali. L'oggetto tipico è qualcosa come "Official Document - Ministry of Finance" o variazioni sul tema. Il corpo contiene un link o un allegato che scarica il malware.
Gli indicatori chiave:
Apri l'email sospetta e copia gli header completi. Cerca queste voci:
Received: from mail-relay-gov[.]xyz (unknown [185.220.101.xxx])Nota l'IP del server mittente. Se è in una range sconosciuto o geolocalizzato in Pakistan/India, è un primo segnale.
Authentication-Results: spf=fail (sender IP is 185.220.101.xxx)SPF fallito + dominio governativo farlocco = red flag enorme.
Nella tua console antispam, configura queste regole (esempio per MailSniper, adattabile):
Regola 1 — Oggetti sospetti:
Match: Subject contains "Ministry of Finance" OR "Official Document" OR "Urgent Action"
Action: Quarantine + Notify AdminRegola 2 — Allegati Office:
Match: Attachment extension in [.docm, .xlsm, .pptm]
AND Attachment contains macro
Action: Block + LogRegola 3 — Link sospetti:
Match: Body contains patterns like /bit\.ly/ OR /tinyurl\.com/ OR /dropbox\.com\/s\/
Action: Sandbox scan before deliveryQuesto è cruciale. Ogni allegato Office che arriva da mittenti esterni deve finire in sandboxing. Xeno RAT usa payload iniziali che sembrano documenti legittimi.
Se il tuo antispam ha sandboxing integrato (come MailSniper), attiva il detonazione automatica:
Settings > Sandbox > Enable for: All Office documents, All executables
Timeout: 60 seconds
Action on detection: Block + QuarantineSideCopy cambia tattica. Ogni settimana, controlla i log delle email bloccate e cerca:
Crea un log settimanale:
# Esempio comando per estrarre domini sospetti dai log
grep "Subject.*Official" /var/log/mailsniper/quarantine.log | awk '{print $NF}' | sort | uniq -c | sort -rnPer testare che le regole funzionano, puoi:
grep "Xeno" /var/log/mailsniper/detections.logSe vedi match, le regole funzionano. Se non trovi nulla, probabilmente non hai ancora ricevuto nulla di simile (per ora).
Controlla anche che i falsi positivi non esplodano: se improvvisamente hai centinaia di email legittime bloccate, la regola è troppo aggressiva.
Le email legittime vengono bloccate? Il problema è che molte aziende usano "Official" negli oggetti. Sposta la regola da "block" a "quarantine + notify" così controlli prima di bloccare.
Il sandboxing rallenta la consegna? Normale. Se hai più di 1000 email al giorno, aumenta il timeout a 120 secondi o attiva solo per allegati > 1MB.
Non ho accesso agli header completi? Chiedi al tuo provider antispam di abilitare l'opzione. Se non puoi, passa a una soluzione che te li mostra — senza header non puoi fare analisi seria.
SideCopy cambia domain ogni settimana, come tengo il passo? Qui serve threat intelligence. Non puoi farlo manualmente. Servono feed automatici che aggiornano le regole. MailSniper include aggiornamenti periodici basati su Threat Intelligence.
SideCopy non è l'unico gruppo che usa Xeno RAT — è open-source,意思是 chiunque può usarlo domani contro la tua azienda. La differenza tra essere compromessi e no è semplice: devi cercare i pattern giusti negli header e filtrare gli allegati Office prima che arrivino agli utenti.
Le regole che ti ho dato funzionano, ma devi mantenerle. Ogni mese, controlla cosa è stato bloccato e aggiusta. Se il tuo antispam attuale non ti permette di fare sandboxing degli allegati, valuta una soluzione dedicata — perché il antivirus base non basta più.
Il prossimo passo? Vai nella tua console e implementa almeno la Regola 2 sugli allegati Office. Oggi. Prima che qualcuno clicchi.
Team MailSniper
Team MailSniper
Esperti di sicurezza email e protezione aziendale. Il team MailSniper analizza quotidianamente le minacce informatiche per offrire soluzioni all'avanguardia alle aziende italiane.
Scopri chi siamoUna telefonata apparentemente innocua. Un tecnico che si presenta in ufficio con un badge falso. In pochi minuti, i dati sensibili di decine di aziende americane sono stati esfiltrati e i manager si sono ritrovati con una richiesta di riscatto. È successo davvero, e il caso UNC3753 sta cambiando il modo in cui le aziende pensano alla sicurezza.
LeggiI criminali informatici hanno trovato un nuovo trucco: usano Google DoubleClick per nascondere il malware. Il risultato? Email che sembrano sicure perché arrivano da un dominio fidato, ma che in realtà ti installano un RAT. Ti spiego cosa sta succedendo e come difenderti senza impazzire.
LeggiTi è mai capitato di ricevere una richiesta di amicizia da qualcuno che non conosci su Facebook? Potrebbe essere un hacker nordcoreano. Il gruppo APT37 sta usando i social media per avvicinare le vittime e installare il malware RokRAT. Te lo spiego come fossimo al bar.
LeggiRicevi i nostri articoli e consigli direttamente nella tua casella di posta.
Scopri come MailSniper puo' proteggere le tue email aziendali con tecnologia AI di livello enterprise.