La nuova falla della cybersecurity è la fiducia: HP mostra come il malware si nasconde dentro strumenti credibili

Un assistente di IA AI che promette di gestire automaticamente gli investimenti in criptovalute. Una fattura in PDF con un QR code da scansionare per visualizzarne il contenuto. Un software trovato attraverso un motore di ricerca e apparentemente firmato in modo regolare. Un archivio compresso che sembra contenere un normale documento aziendale.

Sono situazioni molto diverse, ma hanno un elemento in comune: non sembrano attacchi informatici. Ed è proprio questo l'aspetto su cui si concentra il più recente HP Wolf Security Threat Insights Report, che prende in esame le campagne osservate nel secondo trimestre dell’anno, fra aprile e giugno. La ricerca si basa sulla telemetria condivisa volontariamente dai clienti di HP Wolf Security e analizzata dal team HP Threat Research.

HP Wolf Security Threat Insights Report: quando le minacce non sembrano tali

Il quadro che emerge è quello di un cybercrimimine che non deve necessariamente inventare tecniche rivoluzionarie. È spesso più efficace costruire una trappola credibile intorno a strumenti, marchi e comportamenti che gli utenti già conoscono.

I numeri del trimestre confermano quanto restino centrali i vettori tradizionali. Il 56% delle minacce intercettate da HP Sure Click è arrivato attraverso l’email, il 24% tramite download dal browser e il restante 20% attraverso altri canali. Gli eseguibili sono stati il principale formato utilizzato per distribuire malware, con il 40% dei casi, seguiti dagli archivi compressi al 38%. I PDF sono scesi dal 10% all’8%, mentre i documenti Word sono passati dal 7% al 6%. I file Excel, invece, sono saliti dal 4% al 6%.

C’è poi un dato particolarmente interessante: il 10% delle minacce arrivate via email ha superato uno o più sistemi di scansione del gateway, fatto che mostra come le tecnologie di filtraggio delle email non siano in grado di bloccare tutti i tentativi di attacco. 

L’AI agentica diventa un’esca per convincere l’utente a installare il malware

La campagna più attuale descritta da HP sfrutta uno dei temi più caldi del momento: gli agenti di IA.

I ricercatori hanno individuato un sito che si presentava come un assistente intelligente per il trading di criptovalute. La promessa era quella tipica di molti strumenti di automazione finanziaria: configurare una strategia personale e lasciare che il sistema operasse in autonomia 24 ore su 24. Gli attaccanti portavano traffico verso il sito attraverso tecniche di manipolazione dei risultati dei motori di ricerca e annunci pubblicitari.

Chi scaricava il presunto programma riceveva però un archivio ZIP contenente due file. Uno di questi era OLEView, un programma legittimo firmato da Microsoft; l’altro era una DLL malevola. Il programma firmato veniva sfruttato per caricare il codice dannoso e rendere più credibile l’intera catena di infezione.

Il malware finale era Needle Stealer, progettato soprattutto per intervenire sulle estensioni del browser. Il codice cercava specificamente sette portafogli di criptovalute, fra cui MetaMask, Coinbase Wallet, Trust Wallet, Phantom, Atomic Wallet, OKX Wallet e Tonkeeper. Quando individuava una di queste estensioni, cercava di sostituirla con una versione modificata dagli attaccanti.

L’interfaccia contraffatta era costruita per assomigliare a quella autentica. Se l’utente inseriva identificativo e password del portafoglio, le informazioni venivano inviate al server di comando e controllo degli aggressori, dando loro la possibilità di accedere ai fondi. HP sottolinea anche la cura dedicata alla parte grafica delle false estensioni, pensata proprio per ridurre i segnali che potrebbero insospettire la vittima.

Questo evidenzia come la rapida adozione di nuovi strumenti di IA possa essere problematica: ogni settimana compaiono assistenti, estensioni, agenti, applicazioni e servizi che gli utenti non conoscevano pochi giorni prima. Distinguere un nuovo prodotto legittimo da una copia costruita per distribuire malware diventa quindi sempre più difficile. 

Il QR code sposta l’attacco dal PC aziendale allo smartphone

Un altro caso analizzato da HP riguarda il quishing, cioè il phishing realizzato attraverso QR code.

La dinamica è particolarmente interessante: la vittima riceve via email un PDF che sembra una fattura. Il contenuto è sfocato e in primo piano compare un QR code con l’invito a scansionarlo utilizzando lo smartphone per accedere al documento.

Dopo la scansione iniziano diversi reindirizzamenti. L’utente passa prima attraverso un servizio per la generazione di QR code, poi attraverso una falsa pagina che sostiene di verificare la sicurezza del collegamento. Successivamente compare una verifica Cloudflare Turnstile e, solo alla fine, viene mostrata la vera pagina di phishing, che imita un documento protetto e richiede l’autenticazione con credenziali Microsoft. Le credenziali inserite vengono quindi trasmesse all’attaccante.

Il passaggio al telefono è tutt’altro che casuale. Un indirizzo già riconosciuto e bloccato dal browser del PC aziendale potrebbe essere comunque raggiungibile dallo smartphone, dove le protezioni possono essere meno estese. In questo modo l’attaccante sfrutta non soltanto l’utente, ma anche la discontinuità fra i diversi dispositivi utilizzati durante la giornata lavorativa.

Malware come servizio: componenti pronti per costruire attacchi su scala maggiore

Il terzo elemento che emerge dal report riguarda l’industrializzazione del cybercrime.

Phantom Stealer è un software progettato per sottrarre informazioni. HP ha intercettato diverse campagne che distribuivano Phantom Stealer attraverso allegati email compressi. La catena utilizzava script Visual Basic e PowerShell e nascondeva componenti malevoli anche all’interno di immagini. I ricercatori hanno inoltre identificato un caricatore chiamato Phantom Gate, che potrebbe essere collegato allo stesso autore di Phantom Stealer.

La novità non è nel malware in sé, quando il fatto che Phantom Stealer viene venduto apertamente sul Web. Un'offerta comprende aggiornamenti continui, dati sulle prestazioni e persino assistenza agli acquirenti disponibile 24 ore su 24, secondo un modello identico a quello dei normali servizi software commerciali, anche se gestito da criminali. 

Lo stesso schema ricorre in altre operazioni osservate da HP. Finte fatture, conferme di pagamento e siti costruiti attorno a parole chiave legate alla contabilità sono stati utilizzati per distribuire script che avviavano PowerShell e recuperavano immagini contenenti codice nascosto. Le catene terminavano con software per il furto di informazioni o strumenti per il controllo remoto come XWorm, PureLogs Stealer e Formbook.

HP ha identificato tramite VirusTotal circa 400 immagini distinte associate a queste campagne nell’arco di tre mesi. È un buon esempio di come tecniche note possano essere riutilizzate su larga scala senza bisogno di sviluppare ogni volta un attacco completamente nuovo.

C’è infine un altro problema: la crescente difficoltà nel distinguere il software semplicemente indesiderato da quello apertamente malevolo. Il report di HP analizza siti che imitavano software conosciuti o offrivano strumenti per modificare PDF e gestire archivi compressi. Alcuni programmi erano accompagnati da certificati per la firma del codice e da installatori dall’aspetto professionale, ma modificavano le impostazioni del browser, sostituivano il motore di ricerca o trasmettevano dati a server remoti.

Quello che emerge è che la presenza di un certificato digitale, un marchio conosciuto o un’applicazione sicura costituiscano da soli una garanzia di affidabilità. È sempre più importante controllare l’origine dei software installati, limitare l’uso di estensioni non autorizzate, applicare protezioni coerenti anche ai dispositivi mobili e adottare meccanismi capaci di isolare file e attività non ancora ritenuti affidabili. E anche la formazione dovrebbe cambiare: meno esempi astratti e più casi costruiti attorno alle azioni che le persone compiono davvero ogni giorno, dal download di un nuovo strumento AI alla scansione di un QR code.

Come spiega Patrick Schläpfer, Principal Threat Researcher di HP Security Lab, "gli attaccanti stanno sfruttando l’adozione degli strumenti di IA agentica per trovare nuovi escamotage e indurre gli utenti a scaricare software dannoso che sembra legittimo. Questa tattica rende la distribuzione del malware più curata e più difficile da rilevare. Nuovi strumenti di attacco come Phantom Gate riflettono l’espansione del panorama delle minacce. Consentono agli aggressori di comporre facilmente catene di infezione pericolose, aumentando notevolmente il rischio di compromissione per le aziende".