RMM legittimo e infrastruttura usa e getta aggirano i filtri
ANY.RUN ha collegato 601 casi a una campagna di phishing che si è allargata a 46 paesi, con gli Stati Uniti al primo posto e circa il 45% dell’attività osservata. Quella che all’inizio sembrava una campagna mirata al Canada è diventata un’operazione più ampia e più difficile da leggere con le sole blacklist.
Il trucco non è un payload evidente. La vittima viene indotta a installare un software RMM legittimo, così il canale di accesso passa da un file sospetto a uno strumento normale di amministrazione remota. La rotazione quasi quotidiana dell’infrastruttura, ospitata su servizi usa e getta, spezza il tracciamento basato su reputazione e singoli indicatori.
Per i team che difendono caselle mail, SOC e ambienti in cui l’RMM è consentito, il punto non è un malware nuovo ma un abuso scalabile di software fidato. Finché la visibilità resta centrata su domini e artefatti isolati, questa classe di campagne continua a confondersi con traffico legittimo e a lasciare aperta la stessa finestra di accesso.