Due attaccanti, una rete: il caso Storm-2603 e la fine dell'intrusione singola

Il presupposto silenzioso di ogni incident response è che l'intrusione sia una. Si ricostruisce una timeline, si attribuisce a un attore, si mappano le sue TTP. Il 22 giugno 2026 il team DART di Microsoft ha pubblicato un report che manda in pezzi quel presupposto: dentro la stessa rete c'erano due gruppi non collegati, attivi nello stesso periodo, ciascuno dei quali mascherava inconsapevolmente le tracce dell'altro.

L'origine

Storm-2603 è una designazione Microsoft per un attore con nesso cinese, che distribuisce il ransomware Warlock (in precedenza 4L4MD4R). Rientra nella campagna che MITRE traccia come C0058, SharePoint ToolShell Exploitation, esplosa nel luglio 2025.

La cronologia successiva è quella di un attore che non si è fermato. Il 26 gennaio 2026 CISA aggiunge CVE-2026-23760 al catalogo KEV. Il 2 febbraio aggiunge CVE-2026-24423, con deadline al 26 febbraio. Intorno al 9 febbraio ReliaQuest pubblica il proprio report — e lo stesso giorno accade la cosa che un vendor non vorrebbe mai vedere scritta: SmarterTools, l'azienda che produce SmarterMail, viene violata attraverso la vulnerabilità del proprio prodotto. Chi scrive il codice non è al riparo dal codice che ha scritto.

1. 26 gennaio 2026
   CVE-2026-23760 nel KEV

   CISA cataloga il bypass di autenticazione di SmarterMail.

2. 2 febbraio 2026
   CVE-2026-24423 nel KEV

   deadline di rimedio fissata al 26 febbraio.

3. 9 febbraio 2026
   Il report ReliaQuest

   lo stesso giorno SmarterTools viene violata tramite la vulnerabilità del proprio prodotto.

4. 22 giugno 2026
   Il report DART

   Microsoft trova due gruppi non collegati dentro la stessa rete.

La catena d'attacco

Il punto d'ingresso è CVE-2026-23760, un bypass di autenticazione nell'API di reset password di SmarterMail. Il meccanismo è di una semplicità imbarazzante: l'endpoint accetta qualunque vecchia password, anche errata. Non c'è overflow, non c'è crittanalisi. C'è un controllo che non controlla.

Da lì la sequenza smette di usare exploit e comincia a usare funzionalità.

1. Abuso di Volume Mount — una funzione legittima di SmarterMail — per iniettare comandi che ereditano i permessi del servizio.
2. MailService.exe genera cmd.exe. Un mail server che apre una shell è, di per sé, la fine della storia.
3. msiexec.exe scarica v4.msi da Supabase (T1218.007, Msiexec).
4. Installazione di Velociraptor — strumento forense DFIR perfettamente legittimo — riadattato a C2 (T1588.002, Obtain Capabilities: Tool).

E qui arriva il dato raro: il ransomware non è mai stato eseguito. La catena è stata intercettata in fase di staging. In un panorama fatto di post-mortem, questo è un successo difensivo documentato — categoria di cui esistono pochissimi esemplari pubblici, non perché le difese non funzionino mai, ma perché nessuno scrive un report su un attacco che non è successo.

L'episodio SharePoint

Il report DART descrive una rete diversa, e una catena parallela: probing LFI su win.ini e web.config → Velociraptor con privilegi SYSTEM → tunneling con Cloudflare Tunnel, Zoho Assist e VS Code Remote-SSH → creazione di account admin non autorizzati (T1136) → driver vulnerabile (BYOVD) per disabilitare le protezioni (T1562.001).

Ed è alla fine di questa catena che gli analisti trovano il secondo attore, non collegato al primo, nella stessa rete.

1. 01
   Probing LFI

   test su win.ini e web.config
2. 02
   Velociraptor

   in esecuzione con privilegi SYSTEM
3. 03
   Tunneling

   Cloudflare Tunnel, Zoho Assist, VS Code Remote-SSH
4. 04
   Account admin

   creati senza autorizzazione (T1136)
5. 05
   BYOVD

   driver vulnerabile per disabilitare le protezioni

Va detto con chiarezza che la mappatura MITRE per gli episodi 2026 è ragionata, non ufficiale. La pagina C0058 è ferma al luglio 2025: le tecniche confermate da MITRE sono T1190, T1505.003, T1059.001, T1003.001, T1484.001, T1486 e T1657. Le altre — T1218.007, T1588.002, T1133, T1136, T1562.001 — sono una lettura degli episodi del 2026 fatta in questa sede, non un'estrazione da una pagina ATT&CK. Allo stesso modo, per l'episodio SharePoint Microsoft non conferma quale vulnerabilità specifica sia stata sfruttata, le vittime non sono nominate, e non è chiaro se il probing di CVE-2026-24423 da infrastruttura diversa sia lo stesso attore.

Detection

I segnali migliori qui non sono IOC, ma implausibilità comportamentali: cose che un mail server non fa.

• POST verso /api/v1/settings/sysadmin/connect-to-hub senza una sessione valida. È l'impronta diretta dello sfruttamento.
• MailService.exe → cmd.exe → msiexec.exe. Questa catena di processi non ha nessuna ragione benigna di esistere su un server di posta.
• Traffico verso *.supabase.co o *.workers.dev da un server email. Un mail server parla SMTP, IMAP e POP3. Non parla con un backend-as-a-service.
• Velociraptor non pianificato in esecuzione come SYSTEM. Se il vostro team DFIR non l'ha installato, qualcun altro l'ha fatto.

IOC (ReliaQuest):

auth.qgtxtebl.workers[.]dev
vdfccjpnedujhrzscjtq.supabase[.]co
2-api.mooo[.]com
162.252.198[.]197
199.217.99[.]93
157.245.156[.]118

Questi indicatori hanno però una data di scadenza breve, e il motivo è istruttivo. Il gruppo prima usava GitHub per lo staging del payload. GitHub è finito in blocklist. Ora usa Supabase. La rotazione è infrastrutturale, non tattica: i gruppi riciclano piattaforme cloud legittime appena le precedenti bruciano. Bloccare un dominio compra settimane. Rilevare che un mail server sta parlando con un BaaS copre anche la prossima piattaforma, che non conoscete ancora.

Rimedi

• Aggiornare SmarterMail alla build 9511 o superiore. Prima di tutto il resto.
• Isolare i mail server in DMZ. Un server esposto non deve poter raggiungere il resto della rete.
• Restringere l'outbound a SMTP/IMAP/POP3. Se questa regola fosse stata attiva, il download da Supabase sarebbe fallito e la catena si sarebbe interrotta al passo 3.
• Applicare le patch SharePoint della campagna ToolShell.
• Allowlisting dei tool di tunneling: Cloudflare Tunnel, Zoho Assist, VS Code Remote-SSH sono legittimi — il che è esattamente il problema. Devono essere autorizzati per eccezione, non tollerati per default.
• Blocklist dei driver vulnerabili e HVCI attivo, contro il BYOVD.

Cosa insegna

Il report DART di giugno non aggiunge una tecnica al catalogo: incrina un modello mentale.

Quando due gruppi non collegati operano contemporaneamente nella stessa rete, l'incident response perde la sua unità di misura. Un artefatto viene attribuito all'attore A quando è dell'attore B. Un account creato dal gruppo 1 viene letto come persistenza del gruppo 2. Si bonifica un'intrusione, si dichiara chiusa, e l'altra è ancora dentro — sopravvissuta non perché fosse più abile, ma perché la vostra timeline aveva una casella sola. Ciascun attaccante copre le tracce dell'altro senza saperlo, e senza pagare nulla per il privilegio.

Microsoft suggerisce che il fenomeno sia più comune di quanto documentato, ed è un'ipotesi ragionevole per un motivo scomodo: non lo cercavamo. Se la domanda dell'analista è chi è stato, al singolare, la risposta al plurale non emerge quasi mai.

C'è poi la nota a margine che vale come promemoria: SmarterTools è stata violata tramite la vulnerabilità del proprio prodotto. Il vendor che vi manda l'advisory non è, per questo, al sicuro dal contenuto dell'advisory. Il patch management non è un favore che fate a chi scrive il software. È l'unica cosa che vi separa da chi lo scrive.