La falsa conferenza crypto che trasformava Google Docs in un’arma contro i ricercatori di sicurezza

Una falsa conferenza dedicata alle criptovalute è stata usata come esca per prendere di mira professionisti della cybersicurezza durante il periodo di Black Hat e DEF CON, le due note conferenze di settore statunitensi. L’attacco combinava impersonificazione su X, conversazioni private e un Google Doc apparentemente legittimo, trasformando un normale strumento di collaborazione in una tappa della distribuzione di malware. 1411

L’account @HartmansDoeke sosteneva di rappresentare CoinDesk come vicepresidente e responsabile marketing. L’operatore cercava potenziali obiettivi tra gli utenti che avevano partecipato o mostrato interesse per Black Hat e DEF CON: prima interveniva con risposte pubbliche, poi spostava il contatto nei messaggi diretti. 145

L’invito alla conferenza che non esisteva

Il primo messaggio faceva leva su un contesto professionale plausibile. In un inglese sgrammaticato, l’interlocutore chiedeva al ricercatore se avesse intenzione di partecipare a un altro evento e introduceva quindi una conferenza crypto che sarebbe stata organizzata da CoinDesk. 4610

Dopo aver suscitato interesse, l’attaccante inviava un documento presentato come materiale per la pianificazione dell’evento. In una conversazione separata su X forniva anche una presunta chiave di accesso o di decrittazione. La combinazione faceva sembrare lo scambio una normale attività di coordinamento, anziché un tentativo di phishing. 68

Il trucco della barra laterale in Google Docs

Il documento non era necessariamente falso nel senso più immediato del termine: il file si apriva su Google e poteva apparire come un normale documento condiviso. Il comportamento malevolo era nascosto nell’interfaccia aggiuntiva realizzata con Google Apps Script, la piattaforma che consente di personalizzare documenti e fogli Google con menu, pannelli laterali e altri elementi interattivi. 46

Un utente già autenticato a Google visualizzava una barra laterale accanto al documento. Huntress ha descritto un’interfaccia progettata per far sembrare il contenuto parzialmente cifrato e per invitare il destinatario a inserire la chiave ricevuta nei DM. La chiave sembrava non funzionare: proprio questo errore apparente spingeva il bersaglio a seguire i passaggi successivi indicati dal pannello. 68

Tra le opzioni comparivano istruzioni in stile ClickFix, una tecnica che induce l’utente a copiare e incollare comandi, e un percorso per scaricare un file. Entrambe le strade miravano a convincere la vittima a scaricare ed eseguire codice dannoso. 48

Il punto centrale è quindi questo: un URL google.com autentico conferma che il contenuto è ospitato sull’infrastruttura di Google, ma non dimostra che il documento, lo script, le istruzioni o i file proposti siano sicuri.

I malware associati alla campagna

Secondo le informazioni disponibili, i percorsi di infezione variavano in base al sistema operativo:

• macOS: l’obiettivo era distribuire Atomic macOS Stealer, noto anche come AMOS, un malware specializzato nel furto di informazioni. Il percorso per Mac è stato collegato anche a una condivisione fraudolenta Dropbox DocSend e a un installer contraffatto. 2
• Windows: la catena coinvolgeva NetSupport RAT, uno strumento legittimo per assistenza e accesso remoto riutilizzato come trojan per il controllo a distanza. 2
• Portafogli crypto: i ricercatori hanno inoltre individuato un installer contraffatto o un impianto che imitava un portafoglio Ledger, suggerendo un interesse per credenziali e informazioni legate alle criptovalute. 2

Le fonti descrivono i payload che l’operazione avrebbe cercato di consegnare e i relativi meccanismi di distribuzione. Non confermano però che il ricercatore di Huntress o altri obiettivi abbiano effettivamente installato il malware. 468

Come ha indagato Huntress

Il ricercatore di Huntress ha riconosciuto rapidamente alcuni segnali sospetti, ma ha continuato la conversazione fingendo di voler collaborare. Questo ha permesso di osservare i messaggi dell’attaccante, ricevere il documento e ricostruire il passaggio dalla falsa chiave di cifratura alle istruzioni finalizzate all’esecuzione del malware. Il payload non è stato installato. 1411

L’approccio ha consentito di collegare tutti gli elementi della catena: l’identità dichiarata su X, il pretesto della conferenza, le risposte pubbliche, i DM, il Google Doc, la barra laterale realizzata con Apps Script, il falso errore della chiave e i percorsi di infezione specifici per macOS e Windows.

Perché i servizi Google rendevano l’esca convincente

La campagna non dipendeva soltanto da un dominio contraffatto o da una pagina web dall’aspetto sospetto. Sfruttava servizi che molte persone usano ogni giorno e un’interfaccia che appariva integrata in Google Docs.

Per un destinatario già collegato al proprio account Google, il flusso poteva sembrare familiare: apertura di un documento, visualizzazione di un pannello laterale e richiesta di una chiave per consultare il materiale. La fiducia associata al marchio e all’interfaccia di Google riduceva quindi la percezione del rischio, anche se le istruzioni successive portavano verso download o comandi pericolosi. 46

I segnali d’allarme da non ignorare

La vicenda mostra che anche gli inviti a conferenze e gli aggiornamenti di settore ricevuti sui social meritano lo stesso livello di cautela riservato al phishing via e-mail. Tra gli indicatori più sospetti ci sono:

• un contatto non richiesto da parte di un account che sostiene di rappresentare un organizzatore, un media o uno sponsor;
• la richiesta di abbandonare una conversazione pubblica e passare ai DM prima di aver verificato l’identità attraverso canali indipendenti;
• un documento che chiede una chiave, una password o una procedura di “decrittazione” comunicata in un’altra chat;
• una barra laterale o un elemento interattivo insolito in Google Docs che invita a scaricare software o incollare comandi; e
• installer di portafogli, strumenti di assistenza remota o utility per conferenze distribuiti al di fuori dei canali ufficiali verificati.

Chi avesse seguito le istruzioni dovrebbe isolare il dispositivo potenzialmente interessato, reimpostare le credenziali esposte, ruotare token e altri segreti e controllare i portafogli crypto e gli account sensibili. 1819

Cosa è confermato e cosa resta da verificare

Le fonti disponibili sostengono i meccanismi principali della campagna: l’impersonificazione su X, l’uso combinato di risposte pubbliche e messaggi diretti, il pretesto della falsa conferenza crypto, il Google Doc arricchito con Apps Script, la chiave di decrittazione fasulla, le istruzioni in stile ClickFix e il tentativo di distribuire malware per macOS e Windows. 1246811

Il materiale fornito non contiene invece una dichiarazione verificata dell’attaccante sospettato o di Google. Non offre neppure elementi sufficienti per un confronto specifico con campagne attribuite a gruppi legati a governi o con altri attacchi nominativi contro professionisti della sicurezza.

A livello generale, l’episodio rientra in uno schema noto: usare contatti professionali mirati per conquistare la fiducia di ricercatori e specialisti. La sua caratteristica distintiva è però l’impiego di contenuti ospitati da Google e di un’interfaccia Apps Script apparentemente nativa come parte della catena di consegna del malware.