Rapid7 ha recuperato 1.048 file da un server di consegna malware lasciato esposto, rivelando un'operazione di phishing industriale contro utenti messicani che integra modelli linguistici di intelligenza artificiale nella catena di produzione delle minacce. La scoperta, documentata da The Hacker News il 20 luglio 2026 con analisi tecnica del team Rapid7, mostra criminali che operano con metodologie da team di sviluppo agile: code review automatizzata, backlog di vulnerabilità da testare e documentazione auto-generata. Il target è il servizio governativo CURP, con un typosquat preciso e una campagna attiva che ha registrato oltre 77.000 richieste in poco più di cinque giorni.
- Rapid7 ha recuperato 1.048 artefatti da un server di consegna malware esposto, inclusi template di lure, kit di test sistematico e documentazione generata con modelli linguistici
- La tecnica principale sfrutta CVE-2025-33053 (CVSS 8.8, CISA KEV) per dirottare la working directory di binari Windows firmati verso share WebDAV controllati dall'attaccante
- L'operatore ha testato 59 varianti di file .url su binari alternativi dopo il fallimento di iediagcmd.exe su Windows 11 24H2, dimostrando iterazione strutturata
- Il 20-26 giugno 2026 UTC il pannello di consegna ha registrato 77.098 richieste da 3.892 IP unici in 101 paesi, con l'82,5% del traffico e il 96,9% delle attività di lancio provenienti dal Messico
Il bug report dell'attaccante: quando il crimine imita l'ingegneria del software
Il server esposto non era un repository casuale. Rapid7 lo descrive come un laboratorio di consegna organizzato in dieci categorie funzionali: 453 file LNK, 236 test di spoofing dei nomi file, 146 esperimenti con URL e LOLBin, 89 dropper cifrati. Al centro del toolkit un README che replica con precisione il path summerartcamp[.]net@ssl@443\DavWWWRoot\OSYxaOjr dal report originale di Check Point su CVE-2025-33053, con la nota dell'operatore: "WITHOUT any security warnings. Zero alerts!".
La struttura documentale ha convinto Rapid7 a parlare di "modern software product team": sezioni templated, emoji sistematiche, verbosità caratteristica dei modelli linguistici. Il toolkit referenzia esplicitamente Coderrr/CodeRRR, un agente di coding open-source generico non specifico per attacchi, indicando che gli strumenti adottati provengono dall'ecosistema AI mainstream.
Il flusso di lavoro esposto include due catene di campagna parallele, note di build, un builder per i lure e un pannello di consegna denominato "Simba Service" lasciato su porta e credenziali default. L'esposizione accidentale ha permesso ai ricercatori di osservare non solo il prodotto finale, ma il processo di quality assurance che lo ha generato: un'occasione rara nel threat intelligence, dove solitamente si analizzano artefatti statici privi di contesto di sviluppo.
Da iediagcmd.exe a 59 candidati: l'adattamento post-IE
La tecnica centrale del toolkit sfrutta CVE-2025-33053, una vulnerabilità di hijack della working directory in Windows che Microsoft ha patchato a giugno 2025 e che CISA ha inserito nel catalogo KEV con due date associate, 7 gennaio e 10 giugno 2025. Il vettore utilizza file .url che puntano a share WebDAV controllati dall'attaccante: quando un binario Windows firmato risolve i nomi dei processi child, cerca prima nella working directory dirottata anziché in System32, eseguendo codice malevolo con la firma legittima come contesto.
Il report originale di Check Point aveva identificato iediagcmd.exe come binario vulnerabile. Nel toolkit esposto, l'operatore documenta il fallimento su Windows 11 24H2 con la nota: "Win11 24H2 (IE removed): NO (this is why your F-series failed!)". Questa constatazione ha innescato un'espansione metodica: 59 file .url dedicati a binari alternativi, tra cui InstallUtil, RegAsm, utility LOLBAS e candidati per il bypass UAC, ciascuno con file _MAPPING.csv che associa test a eseguibile target e teoria scritta della vulnerabilità presunta.
Non tutti i 59 candidati rappresentano exploit verificati: sono test in progress, non conferme. Ma la scala di sistematicità segnala un cambiamento qualitativo nella preparazione degli attacchi, dove la rimozione di un componente di sistema (Internet Explorer) innesca non l'abbandono della campagna, ma una ricerca strutturata di sostituti.
La campagna messicana: numeri, geolocalizzazione e ingegneria sociale
Il dominio di consegna, gobf[.]mx, rappresenta un typosquat del portale governativo messicano per il codice univico di registrazione della popolazione (CURP). Il lure principale è un file .scr con carattere RLO (Right-to-Left Override, U+202E) che si presenta visivamente come PDF, distribuito tramite query search-ms: che aprono il share WebDAV in una finestra di ricerca Explorer filtrata per estensioni .scr.
I log del pannello di consegna, attivi dal 20 al 26 giugno 2026 UTC, mostrano una concentrazione geografica netta: 82,5% del traffico totale e 96,9% delle attività di lancio provengono dal Messico. La singola lure CURP ha generato 2.384 eventi di lancio su 2.441 totali (97,7%). L'attività si concentra in orario lavorativo messicano, pattern che secondo Rapid7 suggerisce utenti reali piuttosto che scanner automatizzati.
"the attacker used LLMs to operate more like a modern software product team" — Rapid7, riportato da The Hacker News
Rapid7 precisa esplicitamente che "launch event" indica richiesta client o apertura dell'eseguibile dal share, non infezione confermata: il team non ha visibilità su endpoint effettivamente compromessi. Il dato rimane comunque significativo per l'intenzionalità e il targeting della campagna.
Cosa fare adesso
- Verificare la presenza di richieste DNS o connessioni verso domini con pattern
*.net@ssl@o path WebDAV anomali nella navigazione degli utenti, indicatore comportamentale associato alla tecnica CVE-2025-33053 - Controllare l'esecuzione di binari Windows firmati da percorsi non standard, in particolare working directory remote, dato che la catena di attacco dipende dalla risoluzione dei processi child nella cartella di lavoro dirottata
- Monitorare il traffico verso domini di nuova registrazione con相似ità visiva a servizi governativi nazionali, dato che il typosquat CURP dimostra attenzione alla geolocalizzazione e al contesto istituzionale
- Rivedere le policy di gestione dei file .url e delle query
search-ms:nella posta e nei canali di collaborazione, dato che entrambi i vettori sono documentati nel toolkit esposto
Da rapid7 a Check Point: conferme e collocazione nel threat landscape
Il report threat intelligence di Check Point del 27 luglio 2026 conferma sinteticamente l'operazione come "generative AI-assisted malware operation exposed through accessible WebDAV server", con oltre 77.000 richieste e più di 1.000 artefatti. La convergenza tra le due fonti primarie — Rapid7 con l'analisi tecnica diretta e Check Point con la validazione nel proprio intelligence report — rafforza la solidità dei dati senza introdurre nuovi dettagli operativi.
Il toolkit esposto include anche test minori per CVE-2026-21513 (bypass MSHTML) e CVE-2025-24054 (leak NTLM, CVSS 6.5), ma questi rimangono in scala ridotta rispetto alla catena WebDAV principale. Non emergono sovrapposizioni infrastrutturali che colleghino l'operatore a gruppi APT noti allo stato attuale: i nomi delle cartelle suggeriscono un contesto di lingua russa, ma non costituiscono attribuzione.
L'industrializzazione del malware e il problema della replicabilità
L'elemento più disturbante della scoperta non è la sofisticazione tecnica individuale, ma la sua replicabilità. CVE-2025-33053 è patchata da più di un anno; la combinazione con WebDAV, binari firmati e lure RTLO non rappresenta innovazione a livello di singole componenti. Ciò che cambia è il packaging: documentazione LLM-assisted, QA strutturato, backlog di vulnerabilità da testare, metodologia da sprint.
Questo modello abbassa la barriera di competenza tecnica necessaria per orchestrare campagne di phishing mirato con targeting governativo. Gli strumenti AI adottati sono generici e open-source, non prodotti criminali specializzati: la loro disponibilità pubblica significa che operatori analoghi possono emergere rapidamente senza dipendere da infrastrutture di sviluppo proprietarie.
Per i difensori, l'esposizione accidentale offre un raro insight nel workflow avversario: la visibilità sul processo di test, sui fallimenti documentati e sulle iterazioni successive. Ma questa visibilità è un evento eccezionale, non una strategia riproducibile. La normalità resta l'analisi post-facto di artefatti compatti, privi della cronologia di sviluppo che in questo caso ha illuminato la metodologia.
Domande frequenti
Cos'è un "launch event" e perché non equivale a infezione confermata?
Secondo Rapid7, il termine indica una richiesta client o l'apertura dell'eseguibile dal share WebDAV, misurata dal pannello di consegna. Non implica che il payload abbia superato eventuali controlli di sicurezza locali o che l'esecuzione malevola sia stata completata sul dispositivo finale.
Perché l'operatore ha fallito con Windows 11 24H2?
Microsoft ha rimosso Internet Explorer in quella versione; iediagcmd.exe, binario centrale nella catena di exploit originale, non è più disponibile. L'operatore ha documentato il fallimento e avviato test su 59 binari alternativi, dimostrando adattamento strutturato.
Che tipo di tool AI è Coderrr/CodeRRR?
È un agente di coding open-source generico, non specifico per attacchi o sicurezza. La sua presenza nel toolkit indica che l'operatore ha integrato strumenti dell'ecosistema AI mainstream nel workflow di produzione malware, non che abbia sviluppato o acquistato un prodotto criminale dedicato.
Fonti
- https://thehackernews.com/2026/07/exposed-server-reveals-ai-assisted.html
- https://www.pentagondesign.com/news/exposed-server-reveals-ai-assisted-phishing-toolkit-behind-webdav-malware-campaign/
- https://news.cybertechworld.co.in/index.php/2026/07/20/exposed-server-reveals-ai-assisted-phishing-toolkit-behind-webdav-malware-campaign/
- https://research.checkpoint.com/2026/27th-july-threat-intelligence-report/
- https://nvd.nist.gov/vuln/detail/CVE-2025-33053
- https://www.rapid7.com/blog/post/tr-exposed-webdav-malware-delivery-lab-analysis/
- https://thehackernews.com/2025/06/microsoft-patches-67-vulnerabilities.html
- https://thehackernews.com/2026/03/apt28-tied-to-cve-2026-21513-mshtml-0.html