Gianni Amato

L'analisi dei punti evidenziati mette in luce una strategia di attacco informatico ben congegnata e mirata. Il target selettivo indica che le aziende scelte operano in settori strategici, il che aumenta il valore delle informazioni che potrebbero essere compromesse.

Una campagna tecnicamente semplice ma, credibile e ben orchestrata, che fa leva su dinamiche tipiche del contesto aziendale, come gare d’appalto, progetti riservati o inviti a partecipare a iniziative commerciali.

I haven't seen macro in a long time #Formbook app.any.run/tasks/b284e691…

➡️ Nuove campagne di phishing mirate a utenti #SPID che sfruttano il logo di AgID. ➡️ #CitrixBleed 2 - oltre 70 i domini italiani potenzialmente vulnerabili. ➡️ Rilevate campagne di phishing Fascicolo Sanitario Elettronico e del Ministero dell’Interno.

💻 Totale host scansionati: 18K 🇮🇹 Domini Italiani potenzialmente esposti: 70+ 🏢 Enti impattati: Pubbliche Amministrazioni, istituti bancari, agenzie assicurative e organizzazioni private.

➡️ Individuata una nuova campagna ita #MintsLoader tramite messaggi inviati da caselle #PEC compromesse ➡️ Rilevata una nuova campagna di smishing ai danni di #INPS, finalizzata alla sottrazione di dati e documenti personali ➡️ Continua phishing con nome e il logo di #PagoPA

⚔️ TTP: TAR > JS (offuscato) > PS (offuscato) > Immagine steganografata > Katz Stealer & XWorm 🎯 Obiettivo: furto di credenziali di accesso 🛡 Azioni di contrasto: ➡️ Il provider di posta elettronica è stato allertato e le risorse malevole sono state dismesse.

🔎 @AgidCert che sta monitorando attentamente il fenomeno, sta registrando e analizzando quotidianamente decine di campagne di #phishing rivolte agli utenti italiani. 🎯 Lo scopo è quello di rubare i dati delle carte di credito delle vittime.

➡️ Registrato un significativo aumento delle campagne di phishing a tema #PagoPA per colpire gli utenti italiani, sottraendo loro dati di carte di pagamento elettroniche. ➡️ Riscontrato un nuovo annuncio di vendita online di documenti trafugati tramite campagne di phishing.

Tramite email ingannevoli che invitano gli utenti ad aggiornare il proprio account di posta elettronica istituzionale, gli attori malevoli rimandano a finte pagine di login finalizzate a sottrarre credenziali (email e password) di studenti e dipendenti.

🇮🇹 Nuova campagna #MintsLoader conferma una mirata strategia temporale 🔎 Colpire esclusivamente nelle giornate feriali, quando gli utenti sono più inclini a consultare le email lavorative, specialmente se a seguito di una pausa. 🔗 cert-agid.gov.it/news/nuova-cam…

🔑 Lo scopo della campagna è quello di ottenere le credenziali di accesso al servizio webmail "libero . it", raccogliendole in chiaro su un canale di #Telegram che ha iniziato a collezionare account email Libero dal 21 settembre 2023.

➡️ Campagne di #phishing mirate a utenti di diverse Università. ➡️ Analizzata una campagna #AsyncRAT distribuita in Ita con steganografia. ➡️ Continuano le campagne di phishing a tema #PagoPA. ➡️ Dataleak ai danni di Alliance Healthcare Italia, contenente ~17 mila indirizzi email

➡️ Richiesta la dismissione del dominio malevolo a glitch.com per impedire ulteriori compromissioni. ➡️ Gli #IoC sono stati diramati alle organizzazioni pubbliche accreditate al Flusso IoC di @AgidCert

🛡 Aruba è stata allertata e ha provveduto a rimuovere la risorsa. ℹ️ L'immagine è uno screenshot della GIF malevola

🇮🇹 #AsyncRAT distribuito in Italia tramite componenti steganografici ⚔️ TTP: TAR > JS > PS > GIF (steganografata) > .NET (loader) > AsyncRAT ℹ️ Informazioni e #IoC 👇 🔗 cert-agid.gov.it/news/asyncrat-…

🇮🇹 Campagna di #Phishing #AgenziaEntrate: finto modulo di rimborso ➡️ Informato il MEF ➡️ Richiesta la dismissione del dominio ➡️ #IoC diramati 🔗 t.me/certagid/831

Sintesi riepilogativa delle campagne malevole nella settimana del 17 – 23 maggio 2025 💣 #IoC 929 🦠 #Malware 15 (famiglie) 🐟 #Phishing 16 (brand) ℹ️ Ulteriori approfondimenti 👇 🔗 cert-agid.gov.it/news/sintesi-r…

⚠️ La campagna osservata dal CERT-AGID prevede l’utilizzo di un allegato PDF, solitamente denominato Documento.pdf o Fattura.pdf, contenente un collegamento a servizi di cloud storage come OneDrive o Dropbox, da cui viene scaricato un file VBS o HTML con codice offuscato.

🎯 Durante la presentazione verranno condivise analisi e riflessioni sulle principali minacce informatiche che hanno interessato il nostro Paese nel corso del 2024 e dei primi mesi del 2025.