Gamaredon non sta solo inviando phishing: sta costruendo una catena di rilascio più resistente, fatta di archive, cloud dead-drops e sfruttamento di WinRAR, per mantenere i punti d’appoggio e far riemergere l’infrastruttura sotto forme nuove. Bloccare un dominio o un singolo lure non basta, perché la campagna continua a ripresentarsi con canali diversi ma con lo stesso obiettivo di accesso e raccolta di informazioni.
ESET ha osservato 35 campagne di spear-phishing contro obiettivi governativi e militari ucraini nel 2025, soprattutto nella seconda metà dell’anno. Le campagne usano HTML smuggling, downloader HTA, nuovi strumenti PowerShell e, in alcuni casi, CVE-2025-8088 in WinRAR per far finire il downloader nella cartella Startup di Windows e farlo partire al login successivo. La stessa attività fa sempre più affidamento su servizi cloud, tunnel e paste site per nascondere l’infrastruttura reale.
Per i difensori che contano su takedown e blocco dei domini noti, il problema non è il singolo asset ma la persistenza del modello operativo: la delivery può cambiare forma senza interrompersi. Se il perimetro vede solo posta e dominio, la campagna resta viva altrove.