**Un gruppo di minaccia precedentemente sconosciuto ha sviluppato una sofisticata catena di attacco che combina email bombing, ingegneria sociale su Teams e un arsenale malware inedito per colpire dipendenti senior di grandi organizzazioni.**
—
## Chi è UNC6692
UNC6692 è un cluster di attività malevole identificato per la prima volta dai ricercatori di Mandiant, emerso pubblicamente tra la fine di dicembre 2025 e la campagna osservata tra marzo e aprile 2026. Si tratta di un gruppo precedentemente non documentato, senza una storia attribuita di attacchi pregressi rilevanti, che tuttavia dimostra una maturità operativa notevole sin dalle prime campagne osservate.
Le tattiche adottate ricordano quelle degli ex affiliati di **Black Basta**, in particolare l’uso combinato di email bombing e impersonazione dell’helpdesk IT tramite Microsoft Teams, sebbene non siano stati identificati legami diretti con altri gruppi noti come Scattered Spider o ShinyHunters.
—
## La Catena di Attacco: Come Funziona
L’attacco si articola in fasi progressive e studiate per abbassare le difese della vittima:
1. **Email bombing**: La vittima viene inondata di email spazzatura, creando confusione e urgenza percepita.
2. **Contatto su Microsoft Teams**: Un falso operatore dell’helpdesk IT contatta la vittima tramite Teams, proponendosi come supporto tecnico per risolvere il problema.
3. **Link di phishing**: La vittima viene indotta a cliccare su un collegamento che promette una patch per la “riparazione della casella di posta” (*Mailbox Repair*).
4. **Dropper AutoHotkey**: Il link scarica ed esegue un dropper basato su AutoHotkey, che avvia l’infezione vera e propria.
Questa sequenza sfrutta una leva psicologica precisa: la vittima, già destabilizzata dal bombardamento di email, accetta volentieri l’aiuto di chi si presenta come supporto IT interno.
—
## Il Malware “Snow”: Un Arsenal Modulare
Il payload distribuito è una suite malware denominata **Snow**, composta da tre componenti distinti:
- **SnowBelt**: un’estensione browser malevola progettata per intercettare dati di navigazione e credenziali.
- **SnowGlaze**: un tunneler che consente la creazione di canali di comunicazione nascosti verso infrastrutture di comando e controllo.
- **SnowBasin**: una backdoor persistente che garantisce accesso prolungato al sistema compromesso.
L’obiettivo finale non è l’immediata cifratura dei dati, bensì il **furto di informazioni ad alto valore**, inclusa l’esfiltrazione del database di Active Directory tramite strumenti legittimi come **FTK Imager** e **LimeWire**, rendendo l’attacco particolarmente pericoloso per la compromissione dell’intera infrastruttura di identità aziendale.
—
## Il Bersaglio: I Dipendenti Senior
Un dato che emerge con chiarezza dalle osservazioni di Mandiant riguarda la selezione delle vittime: **il 77% dei target nella campagna marzo-aprile 2026 era rappresentato da dipendenti senior**. Questo dato, in crescita rispetto al 59% registrato in periodi precedenti, conferma una tendenza del settore verso il targeting di figure ad alto privilegio, capaci di garantire accesso profondo alle reti aziendali.
Sebbene non siano state nominate organizzazioni specifiche, il pattern suggerisce un focus su grandi aziende con strutture executive esposte, con finalità di furto dati ed estorsione.
—
## Il Contesto più Ampio: Teams come Vettore d’Attacco
L’abuso di Microsoft Teams per campagne di social engineering non è una novità isolata. Incidenti recenti documentati includono campagne di voice phishing via Teams che distribuiscono il trojan **PhantomBackdoor** tramite PowerShell, nonché abusi cross-tenant segnalati direttamente da Microsoft, dove l’impersonazione dell’helpdesk porta all’installazione di strumenti RMM come Quick Assist e all’esfiltrazione dati tramite Rclone.
Il denominatore comune è chiaro: **gli strumenti di collaborazione aziendale sono diventati una superficie d’attacco primaria**, sfruttata per aggirare le difese tradizionali basate sulla posta elettronica.
—
## Raccomandazioni Difensive
Per mitigare questa tipologia di attacco, i team di sicurezza dovrebbero:
- Implementare **verifiche out-of-band** per qualsiasi richiesta di supporto IT ricevuta via Teams.
- **Limitare gli inviti esterni** su Teams e disabilitare la sincronizzazione cross-tenant non necessaria.
- Monitorare l’esecuzione di **AutoHotkey e strumenti RMM** come Quick Assist.
- Deployare **regole YARA** specifiche per il rilevamento dei componenti della suite Snow.
- Formare i dipendenti senior sulla **riconoscibilità delle tattiche di urgenza artificiale**.
- Adottare **segmentazione di rete** e monitoraggio della persistenza endpoint per limitare i movimenti laterali post-compromissione.
—
*Fonti: [The Hacker News](https://thehackernews.com/2026/04/unc6692-impersonates-it-helpdesk-via.html) | [The Register](https://www.theregister.com/2026/04/25/new_crime_crew_impersonates_help_desks/) | [BleepingComputer](https://www.bleepingcomputer.com/news/security/threat-actor-uses-microsoft-teams-to-deploy-new-snow-malware/) | [SC World](https://www.scworld.com/news/unc6692-impersonates-help-desk-employees-to-drop-snow-malware-via-teams)*
Fonte: Articolo originale