Minacce · 59 giorni fa
Il problema non è il click sulla mail. Il vero salto avviene dopo: un LNK travestito da “Case Documents” apre un foothold che resta dentro, usa componenti Windows e Python considerati legittimi e si appoggia a traffico GitHub per sparire nei flussi normali. In quel punto la casella di posta non basta più a contenere l’incidente: il controllo remoto può continuare, con ricognizione su Active Directory, trasferimento file e preparazione di furto credenziali o movimento laterale.
Blackpoint Cyber descrive una catena a più stadi contro due endpoint di uno studio legale. HollowFrame, loader Go finora non documentato, viene avviato tramite DLL side-loading con python.exe e python311.dll; Matryoshka, backdoor Rust, usa HTTP o GitHub come C2, con persistenza tramite scheduled task e funzioni di beaconing, tasking, ricognizione e delivery di payload secondari.
Il punto critico è la riduzione di osservabilità a ogni passaggio: il carico malevolo si separa tra file apparentemente innocui, processi fidati e repository GitHub usati come caselle per host. Per chi riceve archivi, shortcut o altri allegati via email, il rischio non è solo l’esecuzione iniziale ma la presenza di una sessione già stabile che i controlli post-casella possono non vedere.
1 fonte che coprono questa storia
HollowFrame Loader Deploys Matryoshka Backdoor in Spear-Phishing Attack on Law Firm
HollowFrame and Matryoshka use DLL side-loading and GitHub C2 to gain a persistent foothold on two law firm endpoints.
Part of the PlainSec briefing for 2026-08-01