Quando una scorciatoia diventa una trappola: il manuale di phishing dietro l’ultimo set di esche di Kimsuky

Uno dei trucchi più antichi del cybercrime è anche uno dei più duraturi: far sembrare il file ordinario e sperare che il clic faccia il resto. Nella serie di campagne collegata a Kimsuky, il dettaglio interessante non è solo la varietà delle esche, ma la coerenza che le accomuna. Messaggi diversi erano rivolti a recruiter, utenti di criptovalute, sviluppatori, personale della difesa e amministratori accademici, eppure il metodo di consegna avrebbe seguito uno schema post-clic condiviso.

Fatti rapidi

• All’inizio del 2026 sono state descritte almeno quattro campagne di spear-phishing.
• Il metodo di consegna si basava su esche LNK e JSE, entrambi tipi di file comuni nell’ecosistema Windows.
• Il targeting includeva recruiter, utenti di criptovalute, sviluppatori, personale della difesa e amministratori accademici.
• Le campagne avrebbero riutilizzato una catena di attacco coerente, anche quando i temi cambiavano.
• Il rischio principale è l’esecuzione da parte dell’utente, non uno sfruttamento diretto di un software.

Perché questo è tecnicamente rilevante

I file LNK sono oggetti collegamento di Windows, il che significa che possono sembrare innocui mentre puntano a qualcosa di completamente diverso. I file JSE sono file di script codificati e questa codifica può rendere l’ispezione più difficile sia per le persone sia per alcuni strumenti di sicurezza. Insieme, si inseriscono in un classico modello di social engineering: convincere l’utente ad aprire un file, poi affidare l’esecuzione al comportamento nativo di Windows.

La parte importante è ciò che questo dice ai difensori sulle priorità dell’operatore. Una campagna che mantiene lo stesso scheletro di esecuzione ma ruota il tema è in genere ottimizzata per l’accesso e l’affidabilità. L’esca cambia perché cambia il pubblico di destinazione; il flusso di lavoro resta perché è già efficace. Questo rende il percorso del clic, non il testo dell’esca, il vero terreno di caccia.

Allo stesso tempo, le informazioni pubbliche non stabiliscono completamente la catena tecnica esatta, le precise azioni successive o l’impatto complessivo su qualsiasi ambiente preso di mira. Il materiale disponibile supporta un’analisi del rischio, non un’affermazione di compromissione completa.

Cosa dovrebbero monitorare i difensori

Dal punto di vista difensivo, i segnali migliori sono spesso comportamentali. Allegati LNK o JSE inattesi, soprattutto in messaggi costruiti attorno a temi di recruiting, crypto, difesa o amministrazione, meritano attenzione. Lo stesso vale per l’avvio di motori di scripting, contenuti di archivi sospetti e qualsiasi sequenza in cui un utente apre un file e l’endpoint inizia immediatamente attività anomale di processi figlio.

Poiché queste tecniche si basano sulla fiducia e sulla presentazione del file, il solo filtraggio basato sulle estensioni raramente basta. I team di sicurezza dovrebbero concentrarsi su come il file si comporta dopo l’apertura, sul fatto che il tipo di file corrisponda alle aspettative dell’utente e sul fatto che i controlli della mailbox o dell’endpoint stiano realmente monitorando l’esecuzione di script e non solo hash di malware noti.

Conclusione

La lezione più ampia è semplice: le campagne di phishing non hanno bisogno di exploit nuovi per essere pericolose. Quando un operatore riesce a far sembrare normali i collegamenti di Windows e gli script codificati, la superficie d’attacco diventa il giudizio dell’utente e la telemetria dell’endpoint. Ecco perché la difesa più forte non consiste solo nel bloccare i file dannosi, ma nel rilevare abbastanza presto un comportamento sospetto da impedire che un clic fidato si trasformi in una catena di esecuzione.

WIKICROOK

• file LNK: Un file collegamento di Windows che può puntare a un altro programma o documento ed è talvolta abusato per mascherare l’esecuzione.
• JSE: Un file script JScript codificato che può nascondere il contenuto dello script e complicarne l’ispezione.
• Spear-phishing: Un metodo di phishing mirato rivolto a persone o ruoli specifici anziché a spam casuale su larga scala.
• Catena di attacco: La sequenza di passaggi che un attaccante usa dopo l’esca iniziale, dall’esecuzione alle attività successive.
• Command-and-control (C2): L’infrastruttura remota usata per coordinare un sistema infetto dopo l’esecuzione iniziale.