Indice dell'articolo
Rischio e azione: il riepilogo CERT-AGID del 19-25 settembre descrive 182 campagne malevole osservate nello scenario italiano di riferimento, 142 con obiettivi italiani e 40 generiche che hanno comunque interessato l’Italia. Non sono 182 aziende violate: il dato misura campagne analizzate. Per una PMI la risposta utile è verificare oggi posta, identità, endpoint, monitoraggio e ripristino, senza aspettare un incidente.
La settimana comprende 24 temi, 14 famiglie di malware e 32 brand coinvolti nel phishing. Tra i casi più operativi c’è MintsLoader distribuito tramite caselle PEC compromesse: messaggi credibili su fatture non pagate contenevano archivi ZIP, poi file HTML, JavaScript, PowerShell e infine un loader capace di installare RAT o stealer. La consegna certificata prova trasmissione e recapito, non l’integrità del mittente o dell’allegato.
1. Posta: trattare anche la PEC come canale non fidato
Verificate che il gateway analizzi archivi compressi, HTML, JavaScript e collegamenti riscritti, compresi i messaggi provenienti da domini o caselle note. Bloccate o mettete in quarantena gli allegati eseguibili indiretti quando il processo aziendale non li richiede. Per fatture e solleciti, introducete una conferma fuori banda con il fornitore usando un contatto già registrato, non quello presente nel messaggio ricevuto.
2. Identità: ridurre il valore di una casella compromessa
Controllate MFA, protocolli legacy, regole di inoltro, deleghe e sessioni persistenti per posta ordinaria e PEC. Una password cambiata non chiude automaticamente tutte le sessioni né rimuove regole create dall’attaccante. Registrate accessi da località, dispositivi e orari anomali, ma interpretateli insieme al comportamento dell’utente: un singolo indicatore può produrre falsi positivi.
3. Endpoint: interrompere la catena HTML-JavaScript-PowerShell
La campagna MintsLoader mostra una sequenza precisa, non il classico allegato eseguibile evidente. Verificate che EDR o controllo applicativo registrino e limitino l’avvio di script da archivi, cartelle temporanee e download. Convalidate la protezione con un test innocuo nel vostro ambiente: configurazione dichiarata e agente installato non dimostrano che l’evento venga davvero bloccato, raccolto e notificato.
4. Monitoraggio: trasformare gli indicatori in ricerche verificabili
CERT-AGID ha condiviso 1.411 indicatori di compromissione con gli enti accreditati. Gli IoC pubblici e i feed vanno importati con data, fonte, scadenza e regola di gestione dei falsi positivi. Cercate retroattivamente nei log di posta, DNS, proxy, endpoint e autenticazione. Un dominio non più attivo può restare utile per capire se un host lo ha contattato nelle ore precedenti.
5. Backup e ripristino: verificare il risultato, non solo il job
Stealer e RAT possono precedere cifratura, frodi o movimento laterale. Mantenete copie separate dal dominio operativo, credenziali dedicate e retention coerente con il tempo medio di rilevazione. Eseguite un ripristino non distruttivo di un campione: file, permessi e un’applicazione o database devono tornare utilizzabili. Un pannello verde conferma l’esecuzione del backup, non la recuperabilità.
Hardening e incident response non sono la stessa cosa
I cinque controlli riducono esposizione e tempo di rilevazione. Se emergono esecuzioni di PowerShell correlate, download anomali, regole di inoltro sconosciute o accessi sospetti, non limitatevi a bloccare il dominio o cambiare la password. Isolate in modo controllato l’endpoint, revocate le sessioni, preservate log e artefatti, determinate il perimetro, ruotate le credenziali coinvolte e ripristinate solo dopo aver rimosso persistenza e causa iniziale.
Checklist di verifica
- Simulare una PEC sospetta con allegato innocuo e verificare quarantena, log e notifica.
- Elencare sessioni, deleghe e inoltri delle caselle con privilegi o uso amministrativo.
- Controllare che HTML, JavaScript e PowerShell da percorsi utente siano osservati o limitati.
- Eseguire ricerche retroattive su posta, DNS, proxy, EDR e autenticazione.
- Ripristinare un campione di backup in un ambiente isolato e documentare il risultato.
Vuoi verificare questi cinque controlli senza fermare l’operatività? Richiedi una valutazione tecnica a MSP In Cloud.