APT37 usa Facebook per colpire: la campagna di spionaggio nordcoreana che sfrutta la fiducia digitale

Introduzione

Nel panorama della sicurezza informatica internazionale, le minacce più sofisticate non arrivano sempre sotto forma di virus o attacchi tecnici brutali. Spesso, il punto di ingresso è molto più semplice: una conversazione apparentemente innocua sui social media. È quanto emerge da una campagna attribuita al gruppo nordcoreano APT37, nota anche come ScarCruft, documentata nei primi mesi del 2026.

Cosa è successo

Tutto inizia il 10 novembre 2025, con la creazione di almeno due profili Facebook con nomi comuni e dall’aspetto ordinario. Questi account vengono utilizzati non per attaccare direttamente, ma per osservare e costruire fiducia con i potenziali bersagli, un processo che gli esperti chiamano “ricognizione sociale”. Una volta stabilito un contatto, la comunicazione si sposta su piattaforme più private come Messenger o Telegram.

A quel punto entra in gioco il vero meccanismo dell’inganno: alle vittime vengono inviati documenti PDF dall’apparenza militare e riservata, pensati per sembrare materiale autentico e di interesse professionale. Per aprire questi file, viene suggerito di installare un programma apparentemente legittimo, una versione modificata di Wondershare PDFelement, un software reale e diffuso per la gestione di PDF. Quella versione, però, è stata alterata per contenere codice malevolo.

Una volta installato il programma compromesso, gli aggressori acquisiscono un punto di accesso al sistema della vittima. Le comunicazioni con i server di controllo avvengono attraverso un sito legittimo ma compromesso e tramite Zoho WorkDrive, un servizio cloud regolare, proprio per mimetizzarsi nel traffico internet normale. Il risultato finale è l’installazione di RokRAT, un programma di sorveglianza associato ad APT37, capace di catturare schermate, raccogliere informazioni dal sistema e ricevere comandi da remoto. Il file usato per consegnarlo è camuffato come una semplice immagine JPG.

Le vittime specifiche non sono state rese pubbliche, ma il contesto e le caratteristiche della campagna suggeriscono un interesse verso obiettivi legati alla Corea del Sud o all’ambito militare.

Perché è importante

Questa vicenda mostra come le tecniche di manipolazione sociale, abbinate a strumenti tecnici ben nascosti, rendano gli attacchi difficili da rilevare sia per i singoli sia per le organizzazioni. L’uso di servizi cloud legittimi e di profili social costruiti nel tempo rende queste campagne particolarmente insidiose. L’impatto potenziale include il furto di informazioni sensibili, l’accesso prolungato ai sistemi e attività di spionaggio difficili da individuare in tempo.

Cosa possono fare aziende e utenti

Chi riceve richieste di contatto da profili sconosciuti sui social, soprattutto se accompagnate da materiale “riservato” o da inviti a installare software, dovrebbe fermarsi e verificare. È utile scaricare programmi solo da fonti ufficiali, mantenere i sistemi aggiornati e segnalare comportamenti sospetti ai responsabili IT. Le aziende, dal canto loro, dovrebbero formare il personale sul riconoscimento delle tecniche di ingegneria sociale.

Takeaway finali

  • Le campagne di spionaggio informatico usano spesso i social media come primo punto di contatto, non come vettore tecnico diretto.
  • Strumenti legittimi e servizi cloud affidabili possono essere sfruttati per nascondere attività malevole.
  • La consapevolezza degli utenti rimane uno degli strumenti di difesa più efficaci contro questo tipo di minacce.

Fonti:
https://thehackernews.com/2026/04/north-koreas-apt37-uses-facebook-social.html
https://www.genians.co.kr/en/blog/threat_intelligence/pretexting
https://www.cyware.com/resources/threat-briefings/daily-threat-briefing/cyware-daily-threat-intelligence-april-13-2026
https://cyberpress.org/apt37-social-lure-campaign/
https://gbhackers.com/new-targeted-cyberattack/amp/

Fonte: Articolo originale