Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
Il 18 agosto 2026 ANY.RUN ha pubblicato un'analisi che traccia l'attività del kit phishing-as-a-service Mirage2FA, operato dal gruppo LinX Coders. Il documento documenta oltre 9.400 indirizzi email presi di mira e un tasso di compromissione stimato vicino al 48%, con una concentrazione del 63,7% di vittime negli Stati Uniti. I dati chiariscono un punto tecnico ostico per molti reparti di sicurezza: l'autenticazione a due fattori, se isolata da altri controlli, non arresta un attacco AiTM eseguito interamente nel browser.
- Mirage2FA è un toolkit commerciale che sottrae credenziali e sessioni Microsoft 365 tramite proxy Adversary-in-the-Middle interamente browser-based.
- Il dataset ANY.RUN riporta 3.518 domini email di organizzazioni uniche collegati all'attività, con 4.532 indirizzi potenzialmente compromessi su 9.426 presi di mira.
- Il 33,3% dei login di successo avviene da dispositivi mobili: il vettore telefonico è centrale, non marginale.
- Nessun malware binario rilevato nel campione analizzato; l'attacco sfugge alle soluzioni endpoint che cercano payload eseguibili su disco.
Come funziona la catena d'attacco nel browser
Mirage2FA si innesca da stager in formato HTML, XHTML o SVG allegati alle email o veicolati tramite QR code. ANY.RUN ha isolato 629 campioni .htm — 176 in chiaro e 453 offuscati — oltre a 198 file XHTML e 187 SVG. Questi stager contengono token nel pattern LINXB64EMAIL che identificano la vittima.
Una volta aperto il file, il browser recupera un loader remoto da un percorso strutturato come /xls/<token>.js. Il codice presenta quindi una pagina phishing che replica l'interfaccia Microsoft 365, ma opera retrostante a un proxy AiTM. Le credenziali e il codice 2FA digitato dalla vittima vengono inoltrati in tempo reale via WebSocket al servizio legittimo. Il server di Microsoft risponde con una sessione autenticata, che gli operatori catturano e re-iniettano. Il risultato: accesso pieno senza mai toccare l'endpoint con un eseguibile malevolo.
ANY.RUN ha mappato la catena con i MITRE ATT&CK ID T1557 (Man-in-the-Middle) e T1111 (Multi-Factor Authentication Interception). La scelta di tecniche file-based, non eseguibili, spiega perché il dataset non registri malware binario: il payload vive nel DOM e nella memoria del browser, non sul filesystem.
"All victim, compromise, and campaign-scale figures in this report are approximate estimates based on the available dataset and represent potential impact rather than independently confirmed compromises"
La geografia e il peso del mobile nel dataset
I numeri di ANY.RUN mostrano una distribuzione asimmetrica: 2.885 vittime, il 63,7% del totale, si concentrano negli Stati Uniti, con attività rilevata in 94 paesi. Il report aggiunge un caveat metodologico rilevante: le submission alla sandbox riflettono dove gli analisti ANY.RUN incontrano e investigano i campioni, non necessariamente dove gli attaccanti trovano le vittime reali. Questo introduce un bias geografico potenziale, dato che la base clienti della piattaforma è concentrata in mercati US e UE.
Un dato che merita attenzione è il 33,3% di login di successo proveniente da dispositivi mobili. Non si tratta di una quota residuale: un terzo delle sessioni compromesse passa attraverso smartphone e tablet, dove l'interfaccia ridotta e l'assenza di indicatori di sicurezza visivi amplificano l'efficacia del proxy. Gli allegati .htm e i QR code si integrano naturalmente nei flussi di lavoro mobili, dove l'apertura di link esterni è più frequente e meno scrutinata.
La struttura commerciale di LinX Coders
Gli operatori del kit si identificano come "LinX Coders" e lasciano marker LINX* nei token e nei domini di comando e controllo. Il report ANY.RUN elenca infrastrutture ospitata su domini *.cheacker.store e *.volatilesour.store, con riferimenti a un canale Telegram denominato LinXcoded. Questo profilo combina tecniche avanzate di relay con un modello di distribuzione a basso costo: il PhaaS abbassa la barriera all'ingresso per attaccanti che non possiedono competenze di sviluppo proxy o infrastruttura C2.
La finestra temporale osservata è settembre 2024-luglio 2026. Solo nel mese di luglio 2026, il dataset parziale ANY.RUN registra 445 sessioni sandbox Mirage2FA. Il totale di eventi di compromissione di successo nel dataset open-source sale a 9.332, con 3.044 password catturate e 1.589 compromissioni del secondo fattore. Questi numeri non rappresentano statistiche globali del settore: sono limiti del dataset proprietario, esplicitamente qualificati come stime approssimative.
Perché è importante
Il dossier non specifica contromisure rilasciate da Microsoft né advisory ufficiali del vendor. Non è documentato se i domini C2 elencati siano stati dismessi o se operazioni di law enforcement abbiano colpito LinX Coders. La fonte non fornisce indicazioni su come le organizzazioni target debbano modificare i propri controlli di sicurezza.
Il report lascia emergere un'evidenza tecnica che i reparti IT devono metabolizzare: quando l'attacco vive interamente nel browser, il perimetro tradizionale si sposta. Le soluzioni endpoint che cercano file eseguibili, processi anomali o persistenza su disco non intercettano un proxy AiTM che opera nel contesto di un processo browser legittimo. Il punto di rilevamento si sposta dalla macchina alla sessione, dalle credenziali al token di autenticazione.
La lettura più solida che il dossier consente è che Mirage2FA rappresenta una commoditizzazione dell'AiTM: tecniche già note — il relay di codici 2FA via WebSocket non è nuovo — ma impacchettate in un servizio commerciale con supporto canale Telegram e infrastruttura pronta all'uso. Questo modello espande il bacino di attaccanti da nation-state e gruppi avanzati a operatori meno sofisticati con budget limitati.
L'illusione del MFA come controllo sufficiente si infrange su un dato numerico: 1.589 volte il secondo fattore è stato catturato e inoltrato con successo nel dataset ANY.RUN. Non perché il MFA sia rotto, ma perché implementato senza controlli correlati sulla sessione: quale dispositivo la richiede, da quale geolocalizzazione, con quale fingerprint del browser. Il kit Mirage2FA non attacca il fattore, attacca il contesto in cui il fattore viene inserito.
Per i responsabili della sicurezza, il messaggio non è di abbandonare l'MFA, ma di smettere di considerarlo punto terminale. Il report non fornisce una roadmap, ma il suo nucleo tecnico indica dove spostare lo sguardo: dal "l'utente ha inserito codice e password" al "la sessione generata viene utilizzata in modo coerente con il profilo storico dell'utente".
Le informazioni sono basate sull' advisory citata e aggiornate al momento della pubblicazione.
Fonti
- https://any.run/cybersecurity-blog/mirage2fa-phishing-targets-us-companies/
- https://hackernoon.com/mirage2fa-hijacks-companies-microsoft-365-sessions-with-over-4k-victims-in-the-us
- https://any.run/?utm_source=anyrunblog&utm_medium=article&utm_campaign=mirage2fa-phishing-blog&utm_term=180826&utm_content=linktolanding
- https://any.run/by-industry/technology/?utm_source=anyrunblog&utm_medium=article&utm_campaign=mirage2fa-phishing-blog&utm_term=180826&utm_content=linktotechnology
- https://any.run/by-industry/manufacturing/?utm_source=anyrunblog&utm_medium=article&utm_campaign=mirage2fa-phishing-blog&utm_term=180826&utm_content=linktomanufacturing
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.