Google e WhatsApp diventano trappole di phishing nelle nuove campagne russe

Come operavano i tre cluster

UNC6293: falsi funzionari e password per le app

Secondo GTIG, UNC6293 si è spacciato per funzionari del Dipartimento di Stato degli Stati Uniti e per altri contatti considerati affidabili. L’obiettivo era persuadere le vittime a creare e comunicare password specifiche per le applicazioni, che possono consentire l’accesso all’account al di fuori del normale controllo del secondo fattore.

Il gruppo avrebbe inoltre usato il phishing del consenso OAuth: invece di sottrarre direttamente una password, gli aggressori cercano di ottenere token autorizzati attraverso una schermata di consenso apparentemente legittima.

GTIG valuta con moderata fiducia che UNC6293 sia un sottogruppo dedicato all’accesso iniziale di ICE RELIC, la denominazione usata da Google per l’attore precedentemente noto come APT29.

UNC7005/STORM-2945: WhatsApp, chiamate false e OAuth

UNC7005 avrebbe combinato diverse tecniche, aggiornando di volta in volta i propri messaggi e scenari:

• Truffe basate sul collegamento dei dispositivi WhatsApp: le vittime venivano indotte a collegare al proprio account un dispositivo controllato dagli aggressori.
• False chiamate vocali e inviti a chat cifrate: queste interazioni servivano a costruire un rapporto di fiducia prima dell’invio di un link o di un codice dannoso.
• Comunicazioni contraffatte a nome di organizzazioni: tra i raggiri sono stati segnalati messaggi che richiamavano il Finnish Operations Center, abbinati a falsi portali di accesso Microsoft.
• Abuso di OAuth e distribuzione di malware: i flussi OAuth di Google venivano usati per cercare token o accesso agli account; in altri casi sono stati distribuiti infostealer come VIDAR e ATOMIC, malware progettati per sottrarre informazioni.

Le tecniche e l’infrastruttura di UNC7005 differiscono da quelle di UNC6293. Per questo GTIG li segue come operazioni separate, nonostante la sovrapposizione degli obiettivi e il ricorso a funzioni di autenticazione legittime.

UNC5976: phishing OAuth contro difesa e settore militare

UNC5976 avrebbe concentrato le proprie attività su personale e organizzazioni legati agli ambiti militare, aerospaziale e della difesa, compresi obiettivi collegati a Ucraina e Armenia. Le campagne di phishing puntavano a ottenere, tramite OAuth, l’autorizzazione ad accedere agli account o ai dati delle vittime.

Cosa significa l’ipotesi di un legame russo

GTIG ha valutato con alta fiducia che l’attività complessiva presentasse un legame con la Russia. Si tratta di una valutazione di attribuzione: non significa che ogni dettaglio operativo o ogni relazione tra i cluster sia dimostrata con lo stesso livello di certezza.

Google ha inoltre descritto possibili collegamenti tra una parte delle attività e ICE RELIC/APT29. Il legame tra UNC6293 e ICE RELIC è stato valutato con moderata fiducia, mentre i diversi cluster restano tracciati separatamente perché infrastruttura e modalità operative non coincidono.

Perché l’autenticazione a più fattori non basta da sola

L’autenticazione a più fattori — o MFA — resta una protezione importante, ma può essere aggirata se l’utente viene manipolato e approva l’azione sbagliata. Una schermata OAuth inattesa, una richiesta di creare una password per un’app o un codice per collegare WhatsApp possono indicare un tentativo di prendere il controllo dell’account anche quando nessuna password è stata sottratta.

La regola pratica è considerare ogni richiesta di autenticazione come una vera e propria operazione da verificare, non come un passaggio automaticamente sicuro solo perché compare all’interno di un servizio conosciuto.

Le difese consigliate da Google

Le indicazioni di GTIG invitano a rallentare il processo che gli aggressori cercano invece di accelerare:

• Controllare l’URL completo del browser prima di effettuare l’accesso o concedere autorizzazioni OAuth.
• Verificare gli inviti e le richieste attraverso un canale indipendente: per esempio, richiamando un contatto tramite un numero già noto quando si ricevono inviti a conferenze, chiamate, richieste di entrare in chat cifrate o messaggi attribuiti a enti governativi e organizzazioni.
• Non condividere mai password per app, codici monouso, codici QR o codici per collegare dispositivi. Non bisogna inoltre approvare richieste di accesso o autorizzazioni OAuth inattese.
• Controllare con regolarità i dispositivi collegati alle applicazioni di messaggistica e rimuovere quelli sconosciuti, compresi quelli associati a WhatsApp.
• Preferire un MFA resistente al phishing: le organizzazioni dovrebbero dare priorità a chiavi di sicurezza o passkey e, quando possibile, limitare le applicazioni OAuth rischiose e l’uso delle password specifiche per le app.

Per chi lavora in settori sensibili, la lezione è semplice: un marchio noto, una pagina di accesso autentica o una funzione reale di sicurezza non dimostrano da soli che la richiesta sia legittima. Occorre verificare anche la richiesta e l’identità della persona o dell’organizzazione che l’ha originata.