Il CERT-AGID ha individuato una campagna malware diffusa tramite caselle PEC compromesse. Falsi solleciti di pagamento nascondono MintsLoader per rubare dati aziendali.
Il CERT-AGID ha individuato e contrastato una vasta campagna di attacchi informatici veicolata tramite caselle di Posta Elettronica Certificata (PEC) reali e precedentemente compromesse. A partire dalla serata del 23 settembre, i criminali informatici hanno iniziato a inviare messaggi massivi contenenti falsi solleciti di pagamento per distribuire il codice malevolo MintsLoader. Questa minaccia sfrutta la fiducia che le piccole e medie imprese italiane ripongono nella PEC, considerata erroneamente un canale immune da pericoli, per colpire gli uffici amministrativi e rubare dati riservati.
La dinamica dell'infezione
L'attacco inizia con la ricezione di un messaggio proveniente da un indirizzo PEC legittimo, ma violato. L'oggetto della comunicazione simula urgenze amministrative, utilizzando diciture come "Fattura non pagata – richiesta immediato riscontro", "Sollecito pagamento fattura scaduta" o "Posizione contabile irregolare".
Il messaggio invita il destinatario ad aprire un allegato compresso in formato ZIP. All'interno non si trovano documenti in formato PDF o XML, ma un file con estensione HTML. Se l'utente apre questo file, il sistema contatta l'infrastruttura di controllo dei criminali e scarica un file JavaScript. Questo script si avvia in modo invisibile utilizzando i componenti standard del sistema operativo Windows e richiama comandi PowerShell per eseguire MintsLoader. Quest'ultimo è un programma intermedio progettato per scaricare ed eseguire il carico dannoso finale, che consiste in software per il furto di credenziali, come Stealc o Vidar, o strumenti per il controllo remoto del computer, come AsyncRat.
I rischi per gli uffici amministrativi
Negli studi professionali e nelle aziende, la PEC certifica solo l'avvenuta trasmissione e consegna del messaggio, ma non garantisce l'identità effettiva di chi sta operando dietro la tastiera. Gli operatori contabili, abituati a gestire le scadenze con rapidità, tendono ad aprire gli allegati senza effettuare controlli approfonditi. Questo comportamento espone l'intera infrastruttura informatica aziendale al furto di credenziali di accesso bancario e all'intrusione non autorizzata da remoto.
Come bloccare la truffa PEC solleciti pagamento MintsLoader
Per proteggere la propria azienda è necessario intervenire sia sulle procedure interne che sulle configurazioni dei sistemi informatici.
- Istruire il personale: Chiarire agli addetti amministrativi che la ricezione tramite PEC non garantisce la sicurezza degli allegati.
- Controllare le estensioni: Vietare l'apertura di archivi ZIP che contengono file con estensioni anomale per la contabilità, come .html, .js, .vbs o .hta.
- Verificare le richieste: In caso di solleciti imprevisti da parte di fornitori conosciuti, contattare il mittente telefonicamente prima di interagire con i file allegati.
- Limitare i sistemi Windows: Configurare i computer aziendali per impedire l'esecuzione automatica di script PowerShell da parte degli utenti standard e disabilitare l'avvio dei file JavaScript tramite Windows Script Host se non strettamente necessari per i programmi gestionali.
- Proteggere le proprie caselle: Impostare password complesse e attivare l'autenticazione a più fattori per gli account PEC aziendali, impedendo che vengano rubati e usati per attaccare i propri clienti.
- Segnalare le anomalie: Inoltrare i messaggi sospetti all'indirizzo dedicato del CERT-AGID (malware@cert-agid.gov.it).
