Spearphishing Link: Phishing a Link Malicious (T1566.002)
Lo spearphishing con link malevoli rappresenta una delle tecniche di compromissione iniziale più versatili nell'arsenale degli attaccanti. Questa variante del phishing mirato sfrutta la tendenza umana a cliccare su link apparentemente legittimi, evitando i controlli tradizionali sugli allegati email.
La tecnica si manifesta esclusivamente nella tattica TA0001 (Initial Access), posizionandosi nella fase iniziale della kill chain quando l'attaccante cerca di stabilire il primo foothold nella rete target. A differenza del phishing massivo, ogni campagna viene personalizzata per specifiche vittime attraverso tecniche di ingegneria sociale raffinate.
I numeri parlano chiaro: 43 gruppi APT documentati utilizzano attivamente questa tecnica, supportati da 29 famiglie di malware progettate per la distribuzione via link. Otto campagne di alto profilo hanno dimostrato l'efficacia di questo vettore d'attacco contro settori critici come energia, difesa e istituzioni governative.
L'evoluzione recente include l'abuso di servizi cloud legittimi come Google Drive e OneDrive per ospitare payload malevoli, rendendo la detection più complessa. Gli attaccanti sfruttano anche tecniche sofisticate come IDN homograph attacks e URL obfuscation per mascherare i domini malevoli.
Replicare un attacco di spearphishing link in laboratorio richiede la comprensione delle catene d'attacco reali utilizzate dai gruppi APT. Il processo inizia sempre con la creazione di un'infrastruttura credibile.
Per simulare un IDN homograph attack, puoi registrare domini con caratteri Unicode che sembrano identici a quelli legittimi. Ad esempio, sostituire la "o" latina con la "о" cirillica in "google.com". Gli strumenti come dnstwist automatizzano la generazione di varianti:
python3 dnstwist.py -r microsoft.com
La preparazione del link malevolo può sfruttare diversi meccanismi di offuscamento. Un classico esempio è l'abuso del simbolo "@" negli URL che molti parser ignorano:
https://microsoft.com@evil-domain.com/payload.exe
APT29 ha dimostrato l'efficacia dei link a file ZIP ospitati su servizi legittimi. Puoi replicare questa catena creando un archivio con doppia estensione e caricandolo su Google Drive, ottenendo un link apparentemente innocuo che bypassa molti filtri.
Per testare OAuth consent phishing, strumenti come AADInternals permettono di creare flussi malevoli che richiedono permessi eccessivi. Il comando base per generare un URL di phishing OAuth:
New-AADIntPhishingEmail -Recipient "target@company.com" -Subject "Action Required" -ApplicationName "Office365 Security Update"
La fase di hosting del payload richiede particolare attenzione. Lazarus Group ha utilizzato con successo OneDrive per ospitare falsi annunci di lavoro. Replicare questa tecnica implica:
- Creare un documento Word con macro malevole
- Caricarlo su OneDrive con nome credibile
- Generare un link di condivisione pubblico
- Embedded il link in email HTML professionale
Per testare la resilienza contro URL shortener, concatena più servizi:
bit.ly → tinyurl.com → rebrand.ly → dominio finale
Questo approccio multi-hop complica l'analisi automatica dei link. FIN7 ha perfezionato questa tecnica usando domini typosquatted come "ip-sccanner[.]com" che sembrano tool legittimi di sicurezza.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo