Microsoft alert finto, persistenza vera su Windows
Il punto non è la solita mail di phishing con un allegato malevolo. Qui l’attore si nasconde dentro comportamenti normali di Windows: un alert Microsoft credibile, un ZIP che contiene un LNK, e una scheduled task che rimette in moto il RAT senza lasciare quasi nulla su disco. Questo sposta la difesa oltre la casella di posta: una volta aperto il lure, i segnali sull’endpoint possono essere sottili o fuorvianti.
ScarCruft, o APT37, ha usato questo schema per distribuire NarwhalRAT, un RAT in Python orientato al furto di dati. Le fonti descrivono funzioni per keylogging, screenshot, audio, contenuti USB, dati di directory e cambio di C2, oltre a una persistenza via scheduled task che richiama il payload in memoria. È anche un cambio di famiglia rispetto a RokRAT, segno che il gruppo sta puntando su una catena più discreta e più mobile.
Per chi difende ambienti Windows con allegati esterni consentiti, il rischio è un abuso di artefatti che assomigliano a routine legittime. Se il triage resta solo sulla posta o sul nome del mittente, la fase utile all’attaccante è già partita.