Infostealer su workstation attaccante espone campagna Blind Eagle

Un'information stealer ha colpito la workstation di un presunto operatore criminale, esponendo l'infrastruttura completa di una campagna di phishing collegata al cluster di minacce noto come Blind Eagle. L'incidente, analizzato in un report di LevelBlue pubblicato da CyberSecurityNews, ha restituito una mappa operativa dettagliata: GitHub usato come staging point, quattro famiglie di RAT in una cartella locale, template di phishing tematizzati su entità giudiziarie colombiane e una catena di esecuzione multi-step che sfrutta strumenti firmati di Windows.

La data di rivelazione coincide con la pubblicazione del report. Il caso è significativo perché inverte la direzione del flusso informativo: gli stealer logs, normalmente strumento di furto di credenziali vittime, diventano fonte primaria di intelligence sull'attaccante stesso.

Il "blowback" intelligence: quando lo stealer colpisce il cecchino

Secondo il report citato, "la svolta è arrivata dopo che una workstation apparentemente di un attaccante è stata infettata da un programma separato di furto di informazioni, lasciando un registro della sua attività". I log esfiltrati sono finiti nella collezione ALIEN TXTBASE, un aggregatore di dati rubati da information stealer.

I metadata dei commit GitHub hanno esposto un indirizzo email operativo. Questo stesso indirizzo è presente nella collezione ALIEN TXTBASE ed è stato associato a un computer compromesso da un infostealer denominato 'Ghost'. Have I Been Pwned conferma la presenza dell'indirizzo in sei breach distinti. Il report precisa tuttavia che "i risultati non provano l'identità di una persona. Invece, mappano il workflow dietro gli attacchi" — una distinzione cruciale che separa l'intelligence operativa dall'attribuzione personale.

La macchina compromessa rivelava un ecosistema di strumenti criminali archiviati con organizzazione quasi industriale. Il software SendBlaster per l'invio di email in bulk era configurato con un relay esterno; i registri mostravano un test delivery inviato allo stesso indirizzo operativo esposto nei metadata GitHub. Un file di tracciamento locale accoppiava label di build con link di payload, documentando una gestione sistematica delle distribuzioni.

La catena di delivery: da archivi protetti a InstallUtil.exe

La kill chain ricostruita dal report si articola in cinque fasi. Un archivio auto-estraente — tipicamente protetto da password e veicolato via email — estrae un VBScript. Lo script avvia PowerShell in modalità nascosta, che scrive il payload in una sottodirectory di ProgramData. Da lì, l'esecuzione passa a InstallUtil.exe, un tool legittimo del .NET Framework usato per installare e disinstallare componenti server.

L'uso di InstallUtil.exe come LOLBin è particolarmente rilevante per le difese: il file è firmato Microsoft, ha reputation elevata nei sistemi di security basati su whitelist, e la sua esecuzione non attiva alert reputation-based. La detection richiede quindi analisi comportamentale — monitoraggio della catena genitoriale (archivo auto-estraente → VBScript → PowerShell → .NET utility) piuttosto che verifica della firma digitale singola.

I repository GitHub 'comicsam' e 'jacobo' funzionavano da hosting temporaneo. L'architettura separava l'interprete AutoIt dallo script vero e proprio, una tecnica che complica l'analisi statica e ostacola la generazione automatica di firme. I payload erano accessibili via raw.githubusercontent, sfruttando l'HTTPS e la reputation di dominio di GitHub per eludere i filtri di rete.

Template colombiani e rotazione dei RAT

Nella cartella 'Rats' erano presenti build e artefatti di quattro famiglie di remote access trojan: AsyncRAT, DcRat, Remcos e XWorm. La presenza simultanea di multipli RAT, come nota il report, "suggerisce che l'operatore potesse cambiare payload, invece di dipendere da una sola famiglia di malware o da una sola rotta di delivery". Questa flessibilità è indice di un'operazione strutturata, non di uno script kiddie con un solo tool.

I template di phishing trovati sulla macchina copiavano temi di entità giudiziarie e di autorità del traffico colombiane. I domini associati — consultanotificacionesjuridicas[.]site e simpmit[.]co — erano costruiti per imitare canali ufficiali di notifica. Il modello di ingegneria sociale sfrutta la pressione psicologica esercitata da comunicazioni apparentemente governative, un pattern ricorrente nelle campagne che targettizzano America Latina.

Il report non specifica quanti target abbiano effettivamente ricevuto o aperto questi messaggi. I template sono stati recuperati dalla workstation compromessa, ma non è documentato se siano stati deployati in produzione o rimangano in fase di preparazione.

Il contesto WebDAV: tecniche parallele e CVE-2025-33053

Il caso Blind Eagle si inserisce in un contesto tecnico più ampio. CVE-2025-33053, una vulnerabilità WebDAV con CVSS 8.8 secondo il National Vulnerability Database, è stata patchata da Microsoft nel giugno 2025 ed è presente nel catalogo Known Exploited Vulnerabilities della CISA con due date operative: inserimento il 10 giugno 2025 e scadenza per l'azione obbligatoria il 1 luglio 2025. La tecnica sottostante — il controllo esterno del percorso file in WebDAV — è stata oggetto di analisi approfondita da Rapid7 su un server esposto separato.

Rapid7 ha recuperato 1.048 file da un server WebDAV che funzionava da malware delivery lab, con 11 sample di test per CVE-2025-33053 e 59 file .url per testare alternative a iediagcmd.exe. Il report Rapid7, riferito a un incidente diverso (target Messico, non Colombia), mostra metodologie paragonabili: piattaforme legittime usate come punti di staging, testing sistematico di vulnerabilità, e — secondo la citazione diretta — un operatore che "usava LLM per operare più come un moderno team di prodotto software". Questa convergenza metodologica tra attori diversi e target diversi suggerisce una diffusione di pratiche piuttosto che un'unica catena di comando.

Non emerge tuttavia evidenza diretta che CVE-2025-33053 sia stato impiegato nella campagna colombiana specifica. La vulnerabilità rimane contesto tecnico correlato, non anello della catena Blind Eagle.

"Organizations should flag messages carrying password-protected archives when the password appears in the email body." — CyberSecurityNews/LevelBlue report

Perché è importante

Il report citato non documenta misure correttive specifiche per le organizzazioni target. Non specifica la natura esatta dei dati esfiltrati oltre ai metadata e alla struttura di cartelle. Non chiarisce se l'infezione dello stealer sulla workstation attaccante sia avvenuta per errore operativo — apertura di un allegato malevolo, esecuzione di un file non verificato — o per targeting intenzionale da parte di un altro operatore criminale.

Il dossier non fornisce inoltre una timeline completa della campagna: data di inizio, fasi di escalation, eventuali pause o riattivazione restano non ricostruibili dai dati esposti. L'identità reale dell'operatore dietro l'account 'cabeto850128' non è provata, e la relazione precisa tra questo operatore e il cluster di minacce Blind Eagle resta non dichiarata esplicitamente dalla fonte.

Il report indica un'azione verificabile: le organizzazioni dovrebbero segnalare i messaggi che trasportano archivi protetti da password quando la password appare nel corpo dell'email. Questo pattern — password in chiaro nel testo del messaggio — è indicatore di phishing con archivio auto-estraente. La raccomandazione si applica al canale email, non a sistemi o endpoint.

Per i team di sicurezza, il caso illustra un principio più ampio: la detection di LOLBin come InstallUtil.exe richiede telemetria sulla catena di processo genitore-figlio, non solo su reputation file. Per il settore threat intelligence, conferma che gli stealer logs — aggregati, correlati, verificati — possono degrado l'oscurità operativa degli attaccanti con costi marginali rispetto alle tradizionali fonti HUMINT o SIGINT.

Domande e risposte

Il report prova chi sia l'attaccante?

No. Il report afferma esplicitamente che i risultati "non provano l'identità di una persona". L'analisi si ferma alla mappatura del workflow operativo: tool, piattaforme, tecniche e infrastruttura.

I RAT trovati sono stati usati in attacchi reali?

Non è documentato. Sono stati recuperati build e artefatti dalla cartella 'Rats', ma il report non conferma che siano stati effettivamente deployati contro vittime. Potrebbero essere build di test, di sviluppo o di backup.

GitHub è stato compromesso in questo incidente?

No. GitHub è stato usato come piattaforma di hosting legittima. L'account 'cabeto850128' ha creato repository pubblici o accessibili per ospitare componenti del loader. La piattaforma non ha subito intrusioni.

Fonti

• https://cybersecuritynews.com/hackers-own-malware-infection/
• https://thehackernews.com/search/label/Threat%20Intelligence
• https://thehackernews.com/2026/07/exposed-server-reveals-ai-assisted.html
• https://thehackernews.com/2026/06/threatsday-bulletin-worm-code-leaked-ai.html
• https://www.cybersecuritydive.com/news/iran-cyberattacks-espionage-us-israel-uae/820990/
• https://thehackernews.com/2026/03/threatsday-bulletin-pqc-push-ai-vuln.html
• https://nvd.nist.gov/vuln/detail/CVE-2025-33053
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.rapid7.com/blog/post/tr-exposed-webdav-malware-delivery-lab-analysis/
• https://thehackernews.com/2025/06/microsoft-patches-67-vulnerabilities.html
• https://thehackernews.com/2026/03/apt28-tied-to-cve-2026-21513-mshtml-0.html

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti