In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 182 campagne malevole, di cui 157 con obiettivi italiani e 25 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 1368 indicatori di compromissione (IoC) individuati.

Riportiamo a seguire il dettaglio delle tipologie illustrate nei grafici, risultanti dai dati estratti dalle piattaforme del CERT-AGID e consultabili tramite la pagina delle Statistiche.

Andamento della settimana

I temi più rilevanti della settimana

Sono 25 i temi sfruttati questa settimana per veicolare le campagne malevole sul territorio italiano. In particolare si rileva:

1. Multe – Argomento usato in 64 campagne di phishing italiane, veicolate tramite email o SMS che si fingono comunicazioni di sanzioni non saldate. Brand sfruttati: SEND e PagoPA.
2. Banking – Tema impiegato in 29 campagne: 27 di phishing italiane e 2 di malware generiche, rivolte principalmente a clienti di istituti bancari. Brand sfruttati: ING, Nexi, Fineco, Intesa Sanpaolo, Klarna, Mooney, più 7 altre. Malware veicolati: RelayNFC e XWorm.
3. Rinnovo – Tema sfruttato in 11 campagne: 10 di phishing italiane e 1 di malware italiana. Brand sfruttati: Aruba, Ministero Salute, Disney+, Norton.
4. Verifica – Argomento usato in 11 campagne di phishing italiane. Brand sfruttati: INPS, Tessera Sanitaria, Amazon, Klarna, PayPal.
5. Delivery – Argomento utilizzato in 8 campagne: 5 di phishing italiane e 3 di malware generiche, che simulano avvisi di spedizioni e consegne. Brand sfruttati: BRT, FedEx, GLS. Malware veicolati: FleetDeck, FormBook, Remcos.
6. Aggiornamenti – Tema usato in 7 campagne: 5 di phishing italiane, 1 di malware italiana e 1 di malware generica. Brand sfruttati: Poste Italiane, iCloud, Ledger, Webmail. Malware veicolati: Darkcore, ScreenConnect.

I restanti temi sono stati utilizzati per veicolare campagne di malware e di phishing di vario tipo.

Eventi di particolare interesse:

• Individuato un sito fraudolento che replica il portale INPS, diffuso tramite SMS, predisposto per la futura distribuzione di un’applicazione Android malevola (APK). L’infrastruttura utilizza un bot Telegram per gestire la distribuzione del payload e raccogliere informazioni sui visitatori. Al momento dell’analisi, il download dell’APK risultava simulato. Sono stati condivisi i relativi IoC con le strutture accreditate al Flusso IoC ed è stata richiesta la dismissione del dominio.

Malware della settimana

Sono state individuate, nell’arco della settimana, 15 famiglie di malware che hanno interessato l’Italia. Nello specifico, di particolare rilievo, troviamo le seguenti campagne:

1. Remcos – Scoperte otto campagne generiche a tema “Ordine”, “Documenti”, “Delivery”, “Generico” e “Prezzi”, distribuite per mezzo di allegati GZ, ZIP, RAR, TAR e XLS.
2. FormBook – Rilevate cinque campagne generiche a tema “Ordine”, “Contratti”, “Delivery” e “Preventivo”, diffuse per mezzo di allegati 7Z, RAR e ZIP.
3. MintsLoader – Rilevate tre campagne italiane a tema “Fattura”, veicolate per mezzo di allegato ZIP.
4. AgentTesla – Individuata una campagna italiana a tema “Fattura” e una campagna generica a tema “Prezzi”, veicolate per mezzo di allegati GZ e TAR.
5. ScreenConnect – Rilevate due campagne generiche a tema “Aggiornamenti” e “Documenti”, distribuite per mezzo di allegati EXE e MSI.
6. Darkcore – Osservata una campagna italiana a tema “Aggiornamenti”, veicolata per mezzo di allegato TAR.
7. Rilevate infine altre campagne di FleetDeck, Grandoreiro, Guloader, MassLogger, MintLoader, PureLogs Stealer, RelayNFC e XWorm che hanno sfruttato i temi “Banking”, “Ordine”, “Delivery”, “Fattura” e “Legale”.

Phishing della settimana

Sono 38 i brand della settimana coinvolti nelle campagne di phishing. Per quantità spiccano le campagne a tema SEND, PagoPA, Webmail, Aruba, Cloud e INPS.

Formati di file principalmente utilizzati per veicolare i malware

Canali di diffusione

Campagne mirate e generiche