GitHub nasconde un foothold persistente dopo il click
Il problema non è il click sulla mail. Il vero salto avviene dopo: un LNK travestito da “Case Documents” apre un foothold che resta dentro, usa componenti Windows e Python considerati legittimi e si appoggia a traffico GitHub per sparire nei flussi normali. In quel punto la casella di posta non basta più a contenere l’incidente: il controllo remoto può continuare, con ricognizione su Active Directory, trasferimento file e preparazione di furto credenziali o movimento laterale.
Blackpoint Cyber descrive una catena a più stadi contro due endpoint di uno studio legale. HollowFrame, loader Go finora non documentato, viene avviato tramite DLL side-loading con python.exe e python311.dll; Matryoshka, backdoor Rust, usa HTTP o GitHub come C2, con persistenza tramite scheduled task e funzioni di beaconing, tasking, ricognizione e delivery di payload secondari.
Il punto critico è la riduzione di osservabilità a ogni passaggio: il carico malevolo si separa tra file apparentemente innocui, processi fidati e repository GitHub usati come caselle per host. Per chi riceve archivi, shortcut o altri allegati via email, il rischio non è solo l’esecuzione iniziale ma la presenza di una sessione già stabile che i controlli post-casella possono non vedere.