Iscriviti al webinar gratuito del 12 Maggio per diventare Forensic Analyst! Scopri di più
Corso Ethical Hacker: accedi alla promozione fino al 30 Aprile! Scopri di più
Spearphishing con Link Malevolo: Spearphishing Link (T1598.003)
Lo spearphishing con link malevolo è una tecnica di raccolta informazioni in cui l'avversario invia email mirate contenenti collegamenti a siti fraudolenti — tipicamente portali di login clonati — per sottrarre credenziali o altri dati sensibili. La tecnica si colloca nella fase di Reconnaissance (TA0043), ovvero quella porzione della kill chain in cui l'attaccante raccoglie attivamente informazioni da sfruttare nelle fasi successive, come l'accesso iniziale o la pianificazione di obiettivi post-compromissione.
L'arsenale di inganni è ampio: si va dai classici portali di autenticazione clonati agli attacchi Browser-in-the-Browser (BitB) che simulano popup di login con barre degli indirizzi HTML, fino alle tecniche adversary-in-the-middle con kit come EvilProxy ed Evilginx2 capaci di intercettare cookie di sessione e bypassare l'MFA. Più recentemente, il quishing — link malevoli veicolati tramite QR code — sfrutta il fatto che molti scanner email non analizzano immagini codificate e che i dispositivi mobili offrono minor visibilità sull'URL effettivo.
A completare il quadro, i tracking pixel (web beacon) consentono all'attaccante di profilare i destinatari prima ancora che clicchino: verificano l'apertura del messaggio, acquisiscono indirizzo IP e user agent, e affinano le ondate successive. Con 15 gruppi APT documentati, 2 software associati e 2 mitigazioni principali, questa tecnica resta una delle più diffuse e trasversali nel panorama delle minacce.
In un engagement red team, simulare lo spearphishing con link richiede la costruzione di un'infrastruttura credibile e misurabile. Il punto di partenza è un framework di phishing campaign management: GoPhish (open source) è lo standard de facto. Una volta installato, la creazione di una campagna si articola in tre fasi: configurazione del profilo SMTP, costruzione del template email e definizione del landing page.
Per la pagina di credential harvesting, GoPhish include un editor integrato che può importare pagine esistenti. Tuttavia, per simulare attacchi adversary-in-the-middle più sofisticati — quelli che catturano cookie di sessione oltre alle credenziali — lo strumento di riferimento è Evilginx2 (open source). Evilginx2 opera come reverse proxy tra la vittima e il sito legittimo, intercettando i token di sessione in tempo reale. La configurazione di un "phishlet" (il file YAML che descrive il target) segue una sequenza logica:
- Configurare il dominio di phishing con DNS A record puntato al server Evilginx2
- Caricare il phishlet specifico per il servizio target (es. Microsoft 365, Google Workspace)
- Generare il lure URL con il comando lures create <phishlet_name>
- Ottenere il link di phishing con lures get-url <lure_id>
Per testare la tecnica Browser-in-the-Browser, il progetto di mrd0x su GitHub fornisce template HTML pronti che simulano finestre popup di autenticazione OAuth per diversi provider. Si tratta di puro HTML/CSS/JavaScript, facilmente integrabile in una landing page ospitata su qualsiasi web server.
La componente di tracking pixel si replica in modo semplice: basta incorporare un tag immagine 1x1 nel corpo HTML dell'email, puntato a un server sotto controllo. Con GoPhish questa funzionalità è nativa — ogni email inviata include un tracker per monitorare le aperture. Per un approccio manuale, un semplice web server Python basta a registrare le richieste GET in arrivo:
python3 -m http.server 8080
Il logging delle connessioni rivelerà IP, user agent e timestamp di ogni apertura.
Per il quishing, tool come QRCode Monkey (gratuito) generano QR code personalizzati contenenti l'URL di phishing, da incorporare poi nel template email come immagine. La catena completa per un test di quishing prevede: generazione del QR code, embedding nell'email HTML, e monitoraggio dei click sulla landing page tramite GoPhish.
Ricordate sempre: ogni simulazione richiede autorizzazione scritta esplicita, scope ben definito, e un meccanismo di debriefing per i dipendenti che interagiscono con l'email.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Scarica la guida gratuita e segui il percorso corretto fin dal primo passo