Portale Segreto delle Email Rubate: cyber spionaggio globale colpisce governi e Microsoft 365

Un recente avviso congiunto di più agenzie di sicurezza informatica descrive una campagna di cyber spionaggio attribuita a hacker collegati a una società cinese del settore cybersecurity. Gli attaccanti avrebbero sottratto email e dati sensibili a organizzazioni governative, forze dell’ordine, sanità e istituzioni religiose nel Sud Est asiatico, con attività osservate anche contro settori negli Stati Uniti e in altre aree come Africa e Nord America.

Un elemento chiave emerso è la presenza di un portale web usato per dare a terze parti accesso ai contenuti email rubati, rendendo più semplice consultare caselle di posta compromesse tramite parametri inseriti negli indirizzi web.

Tecniche iniziali di compromissione

Le tecniche iniziali di compromissione puntano su ricognizione e sfruttamento di vulnerabilità. Gli hacker eseguono scansioni con strumenti open source come Nmap, masscan e WPScan e utilizzano anche un framework chiamato MicroScan, una web app in Python con oltre 1300 script di penetration testing.

Tra i bersagli citati compaiono tecnologie diffuse come OpenSSL, Oracle WebLogic, WordPress, Jenkins e Apache Struts. L’avviso elenca inoltre alcune vulnerabilità note sfruttate con successo, incluse falle in Bash, ProFTPD, BIND, Pulse Connect Secure, GitLab, ONLYOFFICE e Strapi, con indicazioni sulle versioni interessate e su quelle corrette quando disponibili.

Password spraying e phishing via XSS

Oltre agli exploit, gli attaccanti ricorrono a password spraying contro Microsoft 365 e Microsoft Exchange usando un tool open source chiamato EBurst, capace di tentare autenticazioni su molte interfacce, tra cui OWA, EWS, Autodiscover, ActiveSync e PowerShell.

In alcuni scenari è stata osservata anche una pagina di login fasulla ottenuta tramite XSS che induce la vittima a scaricare un file zip contenente malware, con traffico cifrato verso domini associati all’infrastruttura degli attaccanti.

Persistenza, furto credenziali ed esfiltrazione

Per mantenere l’accesso gli hacker installano SoftEther VPN mascherandolo con nomi simili a processi Windows legittimi e configurando la riconnessione automatica. Per il furto di credenziali viene citato l’uso di DCSync tramite uno strumento dedicato.

Per l’esfiltrazione delle email compaiono script e tool che sfruttano Exchange Web Services e accessi legittimi a Microsoft 365, comprimendo e talvolta cifrando i messaggi prima del caricamento su server remoti.

Raccomandazioni difensive

• Patch management rapido: applicare aggiornamenti e correzioni di sicurezza il prima possibile.
• Riduzione della superficie d’attacco: disattivare servizi e porte non necessari.
• MFA obbligatoria: imporre l’autenticazione a più fattori per webmail e VPN.
• Monitoraggio Active Directory: individuare segnali e indicatori compatibili con attività di DCSync.
• Revisione dei log: analizzare i log delle web app per identificare anomalie e tentativi di sfruttamento.
• Controllo app connesse al cloud: verificare applicazioni collegate agli account cloud che possono leggere email e file.