Server sventrato da un errore: tre campagne Evilginx esposte da…

Un server con directory listing abilitato ha rivelato l'intero arsenale di tre operatori di phishing che colpivano account Microsoft 365 con tecniche distinte di

{"main_topic":"phishing","topics":["cybersecurity","microsoft","phishing","malware","bigtech"]}

Un server con directory listing abilitato ha rivelato l'intero arsenale di tre operatori di phishing che colpivano account Microsoft 365 con tecniche distinte di neutralizzazione dell'autenticazione a più fattori. La scoperta, pubblicata a fine luglio dalla security firm francese Lexfo, documenta come un errore da principiante su un'infrastruttura di attacco abbia permesso di ricostruire un ecosistema criminale che utilizza toolkit sofisticati e sviluppo assistito da intelligenza artificiale.

Punti chiave

Un server Python con python3 -m http.server 8080 e directory listing attivo, ospitato all'IP 185.163.204[.]7 a Budapest, è stato catalogato il 30 aprile 2026 durante uno scan routinario di internet
Lexfo ha identificato tre campagne distinte con due tecniche diverse: AiTM proxy Evilginx (operatori codemado e mail-argenta) e abuse del flusso OAuth device code di Microsoft (operatore saroula01)
La campagna di saroula01 ha catturato 218 account distinti in 12 paesi, circa il 94% corporate mailboxes, con 97 token Microsoft live mantenuti attivi tramite refresh automatico
Segni di sviluppo assistito da AI sono presenti in tutte e tre le operazioni: commit co-authored by Claude, file instructions.txt da sessione AI, credito a CyberNeurova

L'errore operativo: un directory listing su server di produzione

Il server esposto girava su una macchina a Budapest con un'istanza Python che serviva contenuti via porta 8080 senza alcuna restrizione. Nel file .bash_history leggibile risultava il comando esatto di avvio, confermando una configurazione deliberata e non un leak accidentale di file singoli. Lexfo ha potuto esfiltrare il toolkit completo, pivotare tra repository collegati e ricostruire la filiera di tre operatori attivi.

Il primo, tracciato come 'codemado', è un attore egiziano presente su forum di hacking dal 2018. Gestiva una piattaforma AiTM sul dominio picis[.]net con un bulk mailer denominato 'MaDoO Blaster'. La sua campagna era andata live il 20 aprile 2026 e continuava dopo il discovery del 30 aprile, con quattro varianti Evilginx clonate da repository GitHub di altri due operatori.

Il secondo, 'mail-argenta' (nigeriano), aveva creato il fork 'red-queen' con modifiche per eludere Subresource Integrity e detection basata su path. È stato identificato tramite credenziali proprie ritrovate in log di infostealer, con password riutilizzata nel suo pannello Kraken. Il terzo, 'saroula01' (identità non determinata), aveva sviluppato il fork 'black-queen' basato sull'OAuth device code flow di Microsoft.

Due tecniche, due profili di rischio: AiTM proxy vs device code flow

Le due famiglie di attacco esposte dal server presentano meccanismi fondamentalmente diversi e richiedono difese altrettanto distinte. Il classico schema AiTM proxy Evilginx intercetta sessioni interattive: la vittima visita un sito controllato dall'attaccante, inserisce credenziali e completa MFA, mentre il proxy inoltra le richieste al server reale e cattura sessione e cookie. Questa tecnica è neutralizzabile da MFA phishing-resistant come passkey FIDO2, che legano crittograficamente l'autenticazione all'origin corretto.

Il device code flow abusato da saroula01 funziona invece per induzione legittima. La vittima riceve un codice da inserire su microsoft.com/devicelogin, infrastruttura genuina di Microsoft, e completa autenticazione e MFA normalmente. L'attaccante ottiene il token tramite polling sull'endpoint OAuth, non intercettando nulla. Come ha rilevato Lexfo, "calling this 'MFA bypass' misses how it works: nothing gets bypassed".

La conseguenza pratica è che passkey e FIDO2 non proteggono da questo vettore: la vittima autentica sé stessa su server Microsoft legittimi mentre autorizza la sessione dell'attaccante. Microsoft aveva documentato questa tecnica nel febbraio 2025 in campagne attribuite con medium confidence a attori Russia-allineati; l'analisi di Lexfo ne conferma ora l'adozione da parte di criminali comuni.

Token persistenti e persistenza RMM: l'arsenale dietro le campagne

I dati quantitativi ricavati dal server documentano un'operazione strutturata e orientata alla persistenza. Nella campagna di saroula01, Lexfo ha contato 218 account distinti in 12 paesi nel periodo giugno 2025-luglio 2026, con circa il 94% di corporate mailboxes. Un file di token committato e poi cancellato, recuperabile dalla git history del repository, conteneva 97 token Microsoft live con autoRefresh attivo: alcuni erano stati refreshati fino a 25 volte, indicando un meccanismo di mantenimento attivo dell'accesso.

L'arsenale di codemado includeva inoltre sette tool RMM (Remote Monitoring and Management), tra cui ScreenConnect e SimpleHelp, per mantenere accesso persistente alle macchine compromesse. Il toolkit completo e la presenza di bulk mailer dedicato indicano un operatore con capacità di gestione della post-infiltrazione, non un mero replicatore di pagine di phishing.

"Directory listing on a working attack server is close to a full confession" — Lexfo report, via The Hacker News

AI nel glue code: la professionalizzazione incompleta

Un aspetto ricorrente nelle tre operazioni è il ricorso a strumenti di intelligenza artificiale per accelerare lo sviluppo, con impatto qualitativo differenziato. I commit di saroula01 risultavano co-authored by Claude; mail-argenta aveva lasciato un file instructions.txt verbum pro verbo da una sessione AI; codemado includeva crediti a CyberNeurova, un servizio API di generazione codice. Lexfo ha tuttavia precisato che le modifiche al core Evilginx erano minori: "it was less the framework itself [...] than the code built around it".

Il paradosso esposto dal caso è quello di una criminalità che adopera toolkit sofisticati e AI assistive ma commette errori operativi da principiante, come esporre un server di produzione con directory listing. Secondo Infosecurity Magazine, citando Lexfo, "the barrier to running a functional AiTM campaign has dropped close to zero, with components either free on GitHub or sold on Telegram for a few hundred dollars". Questa bassa barriera all'ingresso si traduce in proliferazione di operatori con competenze tecniche discontinue.

Cosa fare adesso

Verificare che i Conditional Access di Azure AD blocchino o limitino il flusso OAuth device code per gli scenari non necessari all'organizzazione, poiché questo vettore rende inefficaci passkey e FIDO2
Ispezire i log di autenticazione per sessioni con device code flow da ubicazioni o applicazioni non autorizzate, dato che la tecnica lascia tracce auditabili su infrastruttura Microsoft genuina
Controllare la presenza di token con refresh ripetuto o sessioni lunghe non giustificate, indicatore di possibile mantenimento attivo da parte di attori con accesso a refresh token
Valutare la segmentazione dell'accesso RMM aziendale, considerando che gli operatori identificati utilizzano tool come ScreenConnect e SimpleHelp come seconda fase di persistenza

Domini offline e incertezza sull'evoluzione

Entrambi i domini principali identificati — picis[.]net e romnor[.]ca — erano offline al momento della pubblicazione. Il dominio picis[.]net aveva tuttavia continuato a provisionare nuovi subdomain fino a maggio 2026, indicando attività sostenuta prima del blackout. Lexfo ritiene probabile una rotazione infrastrutturale o un ritiro autonomo degli operatori, piuttosto che una takedown coordinata delle autorità.

Il collegamento tra codemado e l'ecosistema The Quarry, un PaaS (phishing-as-a-service) documentato da SOCRadar a giugno 2026 con circa 200 operatori stimati, rimane indiretto: MaDoO Blaster è stato trovato promosso nel canale Telegram di The Quarry, ma Lexfo definisce il legame una supplier relationship, non una membership organizzativa. I tre operatori identificati potrebbero essere acquirer indipendenti di toolkit pubblici o parte di una rete più strutturata: il dossier non lo determina.

L'esposizione del server e la ricostruzione delle campagne offrono una rara visione d'insieme su un ecosistema che altrimenti resta frammentato. La combinazione di tecniche AiTM e device code flow, l'uso di AI per accelerare lo sviluppo, l'errore umano dell'attaccante e la persistenza tramite token e RMM delineano un panorama in cui la sofisticazione tecnica coesiste con fragilità operative — e in cui la scoperta di una singola configurazione sbagliata può illuminare un'intera filiera criminale.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti