Introduzione
Nel panorama della sicurezza informatica internazionale, le minacce più sofisticate non arrivano sempre sotto forma di virus o attacchi tecnici brutali. Spesso, il punto di ingresso è molto più semplice: una conversazione apparentemente innocua sui social media. È quanto emerge da una campagna attribuita al gruppo nordcoreano APT37, nota anche come ScarCruft, documentata nei primi mesi del 2026.
Cosa è successo
Tutto inizia il 10 novembre 2025, con la creazione di almeno due profili Facebook con nomi comuni e dall’aspetto ordinario. Questi account vengono utilizzati non per attaccare direttamente, ma per osservare e costruire fiducia con i potenziali bersagli, un processo che gli esperti chiamano “ricognizione sociale”. Una volta stabilito un contatto, la comunicazione si sposta su piattaforme più private come Messenger o Telegram.
A quel punto entra in gioco il vero meccanismo dell’inganno: alle vittime vengono inviati documenti PDF dall’apparenza militare e riservata, pensati per sembrare materiale autentico e di interesse professionale. Per aprire questi file, viene suggerito di installare un programma apparentemente legittimo, una versione modificata di Wondershare PDFelement, un software reale e diffuso per la gestione di PDF. Quella versione, però, è stata alterata per contenere codice malevolo.
Una volta installato il programma compromesso, gli aggressori acquisiscono un punto di accesso al sistema della vittima. Le comunicazioni con i server di controllo avvengono attraverso un sito legittimo ma compromesso e tramite Zoho WorkDrive, un servizio cloud regolare, proprio per mimetizzarsi nel traffico internet normale. Il risultato finale è l’installazione di RokRAT, un programma di sorveglianza associato ad APT37, capace di catturare schermate, raccogliere informazioni dal sistema e ricevere comandi da remoto. Il file usato per consegnarlo è camuffato come una semplice immagine JPG.
Le vittime specifiche non sono state rese pubbliche, ma il contesto e le caratteristiche della campagna suggeriscono un interesse verso obiettivi legati alla Corea del Sud o all’ambito militare.
Perché è importante
Questa vicenda mostra come le tecniche di manipolazione sociale, abbinate a strumenti tecnici ben nascosti, rendano gli attacchi difficili da rilevare sia per i singoli sia per le organizzazioni. L’uso di servizi cloud legittimi e di profili social costruiti nel tempo rende queste campagne particolarmente insidiose. L’impatto potenziale include il furto di informazioni sensibili, l’accesso prolungato ai sistemi e attività di spionaggio difficili da individuare in tempo.
Cosa possono fare aziende e utenti
Chi riceve richieste di contatto da profili sconosciuti sui social, soprattutto se accompagnate da materiale “riservato” o da inviti a installare software, dovrebbe fermarsi e verificare. È utile scaricare programmi solo da fonti ufficiali, mantenere i sistemi aggiornati e segnalare comportamenti sospetti ai responsabili IT. Le aziende, dal canto loro, dovrebbero formare il personale sul riconoscimento delle tecniche di ingegneria sociale.
Takeaway finali
- Le campagne di spionaggio informatico usano spesso i social media come primo punto di contatto, non come vettore tecnico diretto.
- Strumenti legittimi e servizi cloud affidabili possono essere sfruttati per nascondere attività malevole.
- La consapevolezza degli utenti rimane uno degli strumenti di difesa più efficaci contro questo tipo di minacce.
Fonti:
https://thehackernews.com/2026/04/north-koreas-apt37-uses-facebook-social.html
https://www.genians.co.kr/en/blog/threat_intelligence/pretexting
https://www.cyware.com/resources/threat-briefings/daily-threat-briefing/cyware-daily-threat-intelligence-april-13-2026
https://cyberpress.org/apt37-social-lure-campaign/
https://gbhackers.com/new-targeted-cyberattack/amp/
Fonte: Articolo originale