Spearphishing via Link: Spearphishing Link (T1566.002)

Lo spearphishing link rappresenta una delle varianti più insidiose dell'ingegneria sociale mirata: anziché allegare un file malevolo direttamente all'email, l'attaccante inserisce un collegamento che conduce la vittima verso contenuti pericolosi ospitati su infrastrutture esterne. Questa scelta tattica è tutt'altro che casuale — molte soluzioni di sicurezza email ispezionano gli allegati con sandbox e antivirus, ma trattano i link con meno rigore, soprattutto quando puntano a servizi cloud legittimi come Google Drive o Dropbox.

La tecnica appartiene alla tattica Initial Access (TA0001), il momento in cui l'avversario ottiene il primo punto d'appoggio nella rete bersaglio. La sua versatilità è notevole: il link può condurre a exploit browser, download di archivi ZIP/RAR con payload, documenti Office armati con macro, oppure pagine di consent phishing OAuth 2.0 che sottraggono token di accesso senza nemmeno eseguire codice sulla macchina vittima. Varianti più sofisticate sfruttano attacchi IDN homograph per mascherare domini malevoli con caratteri Unicode visivamente identici a quelli legittimi, o abusano delle quirk dello schema URL — come l'inserimento di testo prima del simbolo "@" — per ingannare l'utente.

I numeri confermano la popolarità della tecnica: 43 gruppi APT documentati, 29 software distribuiti tramite questo vettore, 8 campagne tracciate e 5 mitigazioni raccomandate. Dai gruppi state-sponsored cinesi e iraniani fino alle operazioni cybercriminali finanziariamente motivate, lo spearphishing link resta il grimaldello preferito per varcare la soglia del perimetro difensivo.

Simulare una campagna di spearphishing link in laboratorio è un esercizio fondamentale per testare la resilienza umana e tecnologica dell'organizzazione. Lo strumento di riferimento è GoPhish (open source), un framework completo che permette di orchestrare campagne di phishing simulato con tracciamento dei click e reportistica integrata.

Il setup iniziale prevede il download del binario e l'avvio del server di gestione. Una volta operativo, GoPhish espone un'interfaccia web dove configurare il template email, il profilo SMTP di invio e il landing page che raccoglierà le interazioni. Per un test realistico, il landing page dovrebbe replicare un portale aziendale o un servizio cloud noto, senza esfiltrare credenziali reali — l'obiettivo è misurare il tasso di click, non compromettere account.

Per scenari più avanzati, l'approccio prevede di combinare il phishing link con un redirect verso una pagina di consent OAuth. AADInternals (open source) include funzionalità specifiche per inviare email di consent phishing che richiedono alla vittima di autorizzare un'applicazione OAuth malevola, simulando esattamente il flusso documentato per gruppi come APT42 e Storm-1811. Il modulo rilevante si invoca con:

Install-Module AADInternals -Scope CurrentUser

Send-AADIntOAuthConsentPhishingEmail -Recipient target@dominio.lab -ClientId -RedirectUri

Per testare la robustezza del gateway email contro i link offuscati, è utile preparare payload che sfruttino le tecniche di evasione reali: URL con encoding esadecimale dell'hostname, domini IDN con caratteri omografi e URL shortener a catena. Lo strumento Evilginx2 (open source) consente di creare proxy reverse trasparenti che intercettano le sessioni autenticate, simulando un attacco man-in-the-middle post-click particolarmente efficace contro portali protetti da MFA.

Una catena d'attacco tipica da laboratorio segue questa sequenza:

  1. Registrazione di un dominio typosquatted che imita il brand aziendale
  2. Configurazione di Evilginx2 come reverse proxy verso il portale di autenticazione reale
  3. Invio della campagna GoPhish con link al dominio typosquatted
  4. Raccolta delle sessioni autenticate e dei token di sessione
  5. Documentazione del tasso di click, del tempo medio tra ricezione e interazione, e del numero di segnalazioni al SOC

Sul versante macOS, il test dovrebbe includere link che innescano il download di file .dmg o script AppleScript, verificando se le policy Gatekeeper e XProtect intervengono correttamente. Su Linux, il focus si sposta su payload .desktop o script bash mascherati da documenti, distribuiti tramite link a servizi di file sharing.

Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?

Scarica la guida gratuita e segui il percorso corretto fin dal primo passo