Un server esposto rivela una pipeline di phishing riusabile
Non è saltato fuori solo un kit di phishing: è emersa una pipeline di consegna riusabile, già in uso contro utenti Windows in Messico, con test, appunti e varianti pronte a essere rilanciate. Il punto non è il singolo infostealer, ma il fatto che la produzione di lure e la sperimentazione tecnica siano ormai parte della stessa catena operativa.
Rapid7 ha recuperato 1.048 file da un server esposto e li ha collegati a una campagna WebDAV attiva che sfrutta CVE-2025-33053 per far partire un binario Windows firmato da una scorciatoia .url, deviando il caricamento verso una copia su share remoto. Nei materiali compaiono template, test di spoofing del nome file, note di builder e prove di concetto, oltre a riferimenti a strumenti di coding AI generativa, segno di un uso dell’LLM per produrre e iterare artefatti di phishing a velocità industriale.
Per chi difende endpoint Windows, il rischio non è solo il payload finale: la stessa infrastruttura può generare, verificare e riadattare rapidamente la consegna su bersagli diversi. Quando il delivery pipeline è già documentato e modulare, la campagna può cambiare faccia più in fretta di quanto un dump di lure faccia pensare.