UAT-11764 (campagna QR non attribuita a un gruppo noto) · operatori Sinobi · Warlock / Storm-2603high
Il phishing è tornato primo, e passa attraverso l'MFA: cosa dice il trimestre di Talos
Il 28 luglio 2026 Cisco Talos Incident Response ha pubblicato il resoconto del secondo trimestre. Due numeri raccontano lo spostamento: il phishing è stato il vettore d'accesso iniziale in oltre metà degli interventi (era circa un terzo il trimestre prima) e l'abuso dell'autenticazione è comparso nel 65% dei casi contro il 35% precedente. In mezzo ci sono PDF con QR code che scavalcano i gateway di posta, proxy adversary-in-the-middle che rubano i token di sessione, e operatori ransomware che usano strumenti di gestione remota legittimi al posto del malware. Il quadro è coerente: non entra un exploit, entra una credenziale.
Due numeri, uno spostamento
I resoconti trimestrali di incident response hanno un vantaggio sui report di threat intelligence: non descrivono quello che gli attaccanti potrebbero fare, ma quello che è successo in casa di qualcuno che ha poi chiamato qualcuno. Il 28 luglio 2026 Cisco Talos Incident Response ha pubblicato il suo, relativo al trimestre aprile-giugno. Due numeri bastano a inquadrarlo.
Il phishing torna a essere il primo vettore d'accesso iniziale, e non per nostalgia: perché è diventato più efficace. Talos elenca i modi in cui gli attaccanti hanno battuto o aggirato l'autenticazione a più fattori in questi interventi: proxy adversary-in-the-middle con furto del token di sessione, attacchi di affaticamento (MFA fatigue), registrazione di dispositivi controllati dall'attaccante come fattore, e protocolli di autenticazione legacy che l'MFA la saltano del tutto.
È un punto che vale la pena isolare, perché contraddice una convinzione diffusa: attivare l'MFA non è una casella da spuntare una volta. Talos raccomanda esplicitamente il passaggio da MFA via push e SMS a metodi resistenti al phishing — FIDO2/WebAuthn e chiavi hardware — e insieme di limitare l'auto-iscrizione dei fattori richiedendo una verifica dell'helpdesk, e di bloccare l'autenticazione legacy tramite policy di accesso condizionale.
Il PDF con il QR code
Da aprile Talos osserva una campagna di phishing via QR code, ancora attiva a fine giugno, che colpisce soprattutto organizzazioni australiane. Il meccanismo è economico e ben congegnato: PDF generati automaticamente e adattati alla vittima, contenenti un QR code che porta a pagine di raccolta credenziali Microsoft 365 controllate dall'attaccante.
Se le credenziali funzionano, chi attacca entra nell'account e fa tre cose: crea regole di posta in arrivo per nascondere le tracce, usa SharePoint per ospitare documenti malevoli, e invia altre email di phishing interne ed esterne usando la rubrica della casella appena presa. La campagna, cioè, si finanzia da sola: ogni casella compromessa è il carburante della successiva. Talos attribuisce l'attività a un attore che chiama UAT-11764, e valuta con alta confidenza che continuerà.
Il punto difensivo è specifico e implementabile: Talos raccomanda politiche che blocchino o segnalino le email con QR code dentro allegati PDF, MFA resistente al phishing sugli account M365, e monitoraggio della creazione di regole di posta sospette e del caricamento anomalo di file su SharePoint.
Il ransomware che non porta il proprio malware
La parte del report che cambia il modo di cercare è quella sugli strumenti. Talos è intervenuta per la prima volta su Sinobi, un'operazione ransomware-as-a-service attiva da quasi un anno ma con pochissima documentazione pubblica. Come canale di comando e controllo gli operatori hanno usato un binario MeshAgent trojanizzato: MeshAgent è il componente agente open source della piattaforma di gestione remota MeshCentral, e qui è stato trasformato in una backdoor persistente installata come servizio ad avvio automatico con privilegi SYSTEM, che comunica su WebSocket cifrato verso un server dell'attaccante.
Il vantaggio, per chi attacca, è di natura statistica: quel traffico assomiglia all'amministrazione remota legittima. Talos riporta che l'accesso è rimasto non rilevato per circa tre giorni prima del rilascio del ransomware. Il resto della catena è ordinario e proprio per questo istruttivo: movimento laterale via RDP e WinRM con un account di servizio dalla password debole, ricavata dal database delle credenziali di dominio ntds.dit; distribuzione del ransomware su tutto il dominio tramite uno script di logon in una GPO; esfiltrazione preparata con rclone.exe; file cifrati con estensione .SINOBI.
In un altro intervento, operatori Warlock (noti anche come Storm-2603) hanno installato Zoho Assist Unattended Agent, uno strumento di gestione remota pensato per controllare un endpoint senza che nessuno abbia fatto login. In quel caso non si è arrivati alla cifratura, ma la tecnica non era mai stata attribuita al gruppo prima.
- 01Nessun malware nuovo da rilevarel'agente è un prodotto legittimo, firmato
- 02Il traffico assomiglia all'amministrazioneWebSocket cifrato verso un server esterno
- 03La difesa cambia naturadalle firme al comportamento e all'allowlisting
Chi viene colpito, e perché
Per il secondo trimestre di fila la sanità è il settore più bersagliato, con il 17% degli interventi; seguono pubblica amministrazione e manifatturiero al 14% ciascuno. Talos individua la caratteristica comune, e non è la ricchezza: è la bassissima tolleranza al fermo. Le organizzazioni sanitarie colpite erano quasi tutte enti che sostengono direttamente l'attività clinica o diagnostica; nella pubblica amministrazione si trattava quasi sempre di enti locali; nel manifatturiero, di anelli a valle di catene industriali.
Due debolezze strutturali completano il quadro, e sono quelle su cui si può lavorare senza comprare niente. La prima: logging insufficiente, presente nel 42% degli interventi contro il 18% del trimestre precedente — log dei controller di dominio conservati per poche ore, log host sovrascritti prima della raccolta, NetFlow assente, telemetria cloud troppo corta per arrivare alla data reale del primo accesso. In diversi casi questo ha impedito di stabilire come fossero entrati. Talos indica un riferimento operativo: piattaforma di logging centralizzata con almeno 90 giorni di conservazione e log inoltrati fuori dal dispositivo. La seconda: soglie di posta in uscita illimitate, che in quasi il 15% degli interventi hanno permesso all'attacco di propagarsi — in un caso, oltre 6.600 email di phishing partite da una singola casella compromessa poco dopo il furto delle credenziali.
Tecniche ATT&CK, copiate dal report
Talos pubblica la tabella delle tecniche osservate. Riportiamo solo quelle presenti nel documento, senza dedurne altre: T1566 Phishing e T1078 Valid Accounts per l'accesso iniziale; T1564.008 Hide Artifacts: Email Hiding Rules come tecnica di persistenza più osservata; T1534 Internal Spearphishing per il movimento laterale; T1219 Remote Access Software per il comando e controllo; T1111 Multi-Factor Authentication Interception e T1621 Multi-factor Authentication Request Generation per l'accesso alle credenziali; T1486 Data Encrypted for Impact per l'impatto.
Una precisazione sul valore del campione: si tratta degli interventi di una società di incident response in un trimestre, non di una misura dell'intero panorama. La direzione, però, è coerente con il quarto trimestre 2025 e con il primo 2026, ed è la stessa che si legge nei dossier di queste settimane: il perimetro tecnologico regge meglio di prima, e l'attacco si è spostato sull'identità.
