Iscriviti al webinar gratuito del 20 Ottobre per diventare Ethical Hacker! Scopri di più
Phishing con Link Mirato: Spearphishing Link (T1566.002)
Il Spearphishing Link rappresenta una variante mirata del phishing in cui l'attaccante recapita via email un collegamento ipertestuale malevolo anziché un allegato, aggirando così i controlli antivirus perimetrali che ispezionano il contenuto dei messaggi. La tecnica è classificata sotto la tattica TA0001 Initial Access e costituisce uno dei vettori di ingresso più sfruttati nella kill chain moderna, poiché sposta il payload dannoso su infrastruttura esterna controllata dall'avversario.
Il bersaglio riceve un messaggio confezionato con tecniche di social engineering — falsa identità di brand, offerte di lavoro, comunicazioni bancarie — e viene indotto a cliccare un URL che può portare a un sito exploit-kit, a un download diretto di malware, oppure a una pagina di consenso OAuth 2.0 progettata per rubare access token applicativi. Varianti sofisticate includono attacchi IDN homograph che sfruttano caratteri Unicode visivamente simili a domini legittimi, oppure schemi URL offuscati come hxxp://google.com@1157586937 che nascondono l'host reale dopo il simbolo @.
I numeri raccontano la portata del fenomeno: 43 gruppi APT tracciati, 29 famiglie malware distribuite tramite questo vettore, 8 campagne documentate. Tra queste ultime spiccano Operation Dream Job attribuita a Lazarus Group, Operation Spalax contro entità colombiane, e la campagna C0021 ricondotta ad APT29 con link personalizzati per il tracciamento click-per-vittima.
In un ingaggio red team autorizzato, la simulazione di uno Spearphishing Link richiede infrastruttura, pretesto e payload coerenti con il target. Il framework di riferimento resta GoPhish (open source), che permette di orchestrare campagne end-to-end con landing page, tracking dei click e gestione dei sending profile SMTP. Un flusso tipico inizia con la creazione della campagna via API:
curl -X POST https-endpoint-gophish/api/campaigns/ -H "Authorization: Bearer
Per la fase di pretexting più raffinata, Evilginx3 (open source) implementa un reverse proxy trasparente che intercetta credenziali e cookie di sessione bypassando l'MFA basata su token temporanei — la stessa tecnica sfruttata da Storm-1811 con EvilProxy. La configurazione parte da un phishlet YAML che replica il flusso di login del provider target:
evilginx2 -p ./phishlets
Sul fronte della registrazione dominio, i team red usano dnstwist (open source) per generare permutazioni tipografiche del dominio bersaglio (typosquatting come ip-sccanner[.]com usato da FIN7) e URLCrazy (open source) per varianti IDN homograph. La verifica della categorizzazione presso i principali web filter avviene tramite servizi come VirusTotal (freemium) prima del lancio, per evitare che il dominio sia già flaggato.
Per scenari di consent phishing OAuth 2.0, lo strumento di riferimento è AADInternals (S0677, open source), modulo PowerShell che consente di generare richieste di consenso malevole verso tenant Azure AD:
Send-AADIntPhishingMail -Recipients target@vittima.tld -Subject "Documento condiviso" -Body $htmlBody
Il payload finale, se non è semplice credential harvesting, viene tipicamente ospitato su servizi cloud legittimi — Google Drive, Dropbox, OneDrive — pattern replicato da Wizard Spider, LuminousMoth, Evilnum e Mustang Panda per aggirare reputation filter. Per la generazione di loader HTA (tecnica cara ad APT33), Nishang (open source) fornisce template pronti; per macro-based delivery à la Cobalt Group, macro_pack (open source) automatizza offuscamento e VBA-purge.
La catena tipica in laboratorio: dominio typosquat → certificato Let's Encrypt (gratuito) → landing con Evilginx3 → email inviata via Postfix con record SPF/DKIM/DMARC allineati sul dominio d'attacco → tracking dei click e cattura token. Documentare ogni artefatto per la fase di remediation è parte integrante del deliverable.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo
2 minuti · 7 domande
Che professionista cyber sei?
Scopri il profilo più vicino al tuo modo di pensare e inizia dal percorso giusto.