Un server di distribuzione lasciato esposto ha permesso di ricostruire nei dettagli una campagna di phishing e malware basata su WebDAV e su un flusso di lavoro assistito da intelligenza artificiale. Dall’infrastruttura sono stati recuperati oltre mille file tra template di esche, test di nomi file per ingannare gli utenti, esperimenti di esecuzione, dropper, note di build e due catene di attacco.
Il valore principale non è solo il pacchetto di payload, ma la visibilità rara sul processo di sviluppo, con documentazione, prove fallite e log di consegna in un unico punto.
Nucleo tecnico: vulnerabilità Windows legata a WebDAV e collegamenti .url
Il nucleo tecnico ruota attorno a una vulnerabilità di Windows legata a WebDAV, sfruttata tramite collegamenti .url. La tecnica punta a lanciare un binario firmato e legittimo impostando però la working directory su una condivisione WebDAV controllata dall’attaccante. Quando il processo richiama un eseguibile di supporto solo per nome, il sistema può caricare la versione malevola dalla share remota invece di quella in System32. Il difetto è stato corretto con patch, ma nei materiali emergono tentativi di adattamento e riproduzione, inclusi set di test estesi per trovare altri binari firmati che possano comportarsi allo stesso modo, anche in scenari dove componenti rimossi nelle versioni più recenti di Windows rendono inefficace il percorso originale.
Kit operativo e pipeline: test, mappature e documentazione “da team di sviluppo”
L’operatore ha creato un kit strutturato con decine di file .url e una mappatura che collega ogni test al relativo binario target, con spiegazioni e priorità di prova. La presenza di guide verbose e formattate in modo ripetitivo suggerisce un uso di modelli linguistici per generare documenti, script e procedure, trasformando la campagna in una pipeline simile a un team di sviluppo software.
Catene di attacco osservate: phishing, WebDAV, loader e furto credenziali
Una catena attiva ha colpito utenti Windows in Messico usando un dominio simile a quello di un servizio governativo di consultazione ID. La pagina falsa attivava una query search-ms che apriva la share WebDAV e proponeva un file .scr camuffato da PDF con tecniche di offuscamento del nome. Il payload includeva un loader e un infostealer .NET eseguito in memoria, capace di sottrarre credenziali browser, cookie di sessione, wallet crypto e sessioni Telegram.
Un secondo percorso impiegava sideloading DLL tramite un binario firmato per distribuire una RAT modulare .NET. I log indicano decine di migliaia di richieste con forte concentrazione geografica e temporale coerente con traffico reale.