Un nuovo attacco analizzato il 31 luglio 2026 mostra quanto una singola email credibile possa bastare per compromettere un PC aziendale e aprire la porta a movimenti interni più ampi. I ricercatori hanno osservato una catena in più fasi che parte da un finto documento, aggira alcuni controlli di sicurezza di Windows e installa strumenti pensati per mantenere accesso remoto alla macchina.
Per un’azienda il punto non è il nome del malware, ma il metodo: link a un archivio cifrato, file LNK travestito da documento, esecuzione silenziosa di componenti aggiuntivi e persistenza sul sistema. È un promemoria concreto del fatto che formazione utenti, protezione endpoint e procedure di risposta devono lavorare insieme.
Che cosa è stato scoperto
Secondo quanto riportato da Blackpoint Cyber e ripreso da The Hacker News il 31 luglio 2026, i ricercatori hanno identificato due componenti finora non documentati in modo pubblico: HollowFrame, un framework di caricamento scritto in Go, e Matryoshka, una famiglia di malware scritta in Rust.
L’attività osservata ha colpito due endpoint di uno studio legale non specificato. Il dettaglio è importante perché conferma un modello già noto: i criminali scelgono spesso organizzazioni che gestiscono documenti sensibili, comunicazioni riservate e allegati frequenti, dove una mail costruita bene può sembrare del tutto plausibile.
Il messaggio iniziale era una classica operazione di spear-phishing: non spam generico, ma un’esca mirata. La vittima riceveva un link a un archivio cifrato; all’interno c’era un file Windows Shortcut (LNK) mascherato da “Case Documents”. Facendo clic, l’utente non apriva affatto un documento: avviava invece una catena di comandi che usava PowerShell per recuperare ulteriori componenti da un server remoto indicato come 2.26.252[.]84.
Come funziona la catena di infezione
Il valore di questo caso sta soprattutto nell’architettura dell’attacco. Non si tratta di un unico file malevolo facile da riconoscere, ma di una sequenza suddivisa in stadi, ognuno con un compito preciso.
In base all’analisi pubblicata, l’esecuzione del file LNK innesca una serie di passaggi che includono:
- aumento dei privilegi;
- indebolimento delle protezioni di Microsoft Defender;
- download di altri payload;
- installazione di meccanismi di persistenza;
- distribuzione del backdoor finale.
HollowFrame viene avviato tramite una tecnica di DLL side-loading, cioè sfruttando un binario legittimo per caricare una libreria malevola. In questo caso la coppia osservata era composta da python.exe legittimo e da una DLL malevola chiamata python311.dll. È una tecnica efficace perché usa un eseguibile apparentemente normale, rendendo meno evidente il comportamento sospetto a un controllo superficiale.
Una volta in esecuzione, HollowFrame si comporta da loader modulare e da framework di persistenza. In pratica prepara il terreno: scarica, decomprime, avvia altri componenti e cerca di restare attivo nel tempo. La persistenza, secondo i ricercatori, viene ottenuta creando una scheduled task di Windows.
Inoltre il loader include verifiche anti-analisi per evitare di funzionare in ambienti di test o sandbox. Tra i criteri citati ci sono:
- tempo di attività del sistema;
- quantità di memoria installata;
- numero di file nel profilo utente;
- movimento del cursore.
Questi controlli servono a capire se il malware si trova su una vera postazione di lavoro o in un laboratorio di analisi automatica. Se “sospetta” di essere osservato, può limitare o modificare il proprio comportamento, rendendo più difficile il rilevamento.
Il ruolo di Matryoshka
Il secondo elemento della catena è Matryoshka, descritto come una backdoor in Rust. Blackpoint Cyber ha osservato due varianti.
La prima usa comunicazioni HTTP con un server di comando e controllo indicato come 45.158.196[.]184:8888. Le funzioni associate comprendono:
- apertura di una shell remota;
- esecuzione di comandi;
- ricognizione del sistema e della rete;
- trasferimento file;
- consegna di strumenti aggiuntivi.
La seconda variante, individuata in una DLL chiamata wtsapi32.dll, è particolarmente interessante perché usa GitHub come canale di comando e controllo. Invece di affidarsi solo a un server dedicato, l’operatore avrebbe sfruttato un repository privato, identificato come adioziaete/memio, per interrogare comandi specifici per ogni vittima, inviare risultati e recuperare payload.
Secondo la ricostruzione riportata, il repository fungeva da insieme di “caselle postali” per ciascun host compromesso. Ogni vittima avrebbe avuto una directory dedicata con una struttura che includeva file come beacon.json, cmd.json, result.json e in alcuni casi una cartella upload/ per la consegna dei file.
Questo schema offre un vantaggio operativo agli attaccanti: usare una piattaforma legittima e diffusa può confondere i sistemi di monitoraggio e ridurre la necessità di mantenere un’infrastruttura di comando personalizzata. Allo stesso tempo, lascia tracce diverse da quelle di un classico server malevolo e rende l’analisi più frammentata.
Perché questa tecnica preoccupa le aziende
La frase chiave dell’analisi è che ogni stadio della catena espone meno comportamento malevolo di quello precedente. In altre parole, nessun singolo elemento mostra da solo l’intero disegno dell’attacco. È proprio questa separazione a complicare attribuzione, indagine e rilevamento.
Per un’impresa questo significa tre cose molto pratiche.
La prima: l’email iniziale può sembrare credibile. Un file LNK all’interno di un archivio cifrato non è il tipico allegato eseguibile che molti utenti associano al malware. Se il nome richiama documenti legali, contratti, pratiche o fatture, il rischio di clic è concreto.
La seconda: l’antivirus da solo può non bastare. Se l’attacco usa binari legittimi, side-loading, PowerShell e più fasi distinte, i controlli basati solo su firme o su un singolo evento possono perdere il contesto.
La terza: l’obiettivo finale non è solo il singolo PC. I ricercatori sottolineano che queste capacità possono supportare furto di credenziali, movimento laterale e compromissione più ampia del dominio Active Directory. In pratica, una postazione infetta può diventare il punto di partenza per arrivare a file server, applicativi gestionali, condivisioni di rete e account privilegiati.
Cosa significa per la tua azienda
Per una PMI italiana il messaggio è chiaro: non serve essere una grande multinazionale per essere bersaglio di campagne costruite bene. Studi professionali, uffici amministrativi, realtà manifatturiere e aziende di servizi sono esposte ogni giorno a mail che imitano comunicazioni operative reali.
Ecco le azioni più utili da verificare subito.
1. Riduci il rischio sul canale email
Bloccare gli allegati palesemente pericolosi non basta più. È importante filtrare anche link a servizi esterni, archivi protetti da password e file shortcut non attesi. Se un utente riceve “documenti” tramite un canale insolito, deve avere una procedura semplice per verificarne l’autenticità.
2. Forma il personale sui segnali meno ovvi
La formazione anti-phishing va aggiornata: oggi non ci si deve fermare al classico allegato .exe. Bisogna spiegare che anche archivi compressi, scorciatoie LNK e richieste urgenti ma plausibili sono segnali da trattare con cautela.
3. Proteggi gli endpoint con monitoraggio e gestione centralizzata
Serve visibilità su PowerShell, task pianificate, caricamenti anomali di DLL e modifiche ai controlli di sicurezza. Per molte aziende è utile affidarsi a una gestione strutturata delle postazioni con criteri uniformi di aggiornamento, hardening e controllo: in questo ambito possono fare la differenza servizi di gestione desktop e postazioni IT.
4. Metti alla prova backup e ripristino
Anche quando l’attacco non parte come ransomware, una compromissione può portare a cifratura successiva, cancellazione file o esfiltrazione. Backup isolati, verificati e ripristinabili in tempi realistici restano una misura essenziale. Se il tema è ancora gestito in modo occasionale, vale la pena rivederlo con una soluzione di remote backup.
5. Rivedi privilegi e accessi interni
Se un malware punta alla ricognizione di Active Directory, ogni account con privilegi eccessivi diventa un acceleratore del danno. Limitare gli accessi, separare gli account amministrativi e controllare chi può installare software o creare attività pianificate riduce l’impatto di un’infezione.
6. Definisci prima come reagire
Quando emerge un sospetto, la velocità conta. Bisogna sapere chi isolerà il PC, chi analizzerà i log, chi verificherà eventuali credenziali esposte e chi comunicherà internamente. Un contratto di assistenza con tempi e responsabilità chiari aiuta a non improvvisare nei momenti peggiori, soprattutto per realtà che non hanno un reparto IT interno strutturato: può essere utile valutarlo nei contratti di assistenza informatica.
Un segnale da non sottovalutare
Il caso HollowFrame-Matryoshka non è rilevante solo per i nomi nuovi. È rilevante perché conferma una tendenza: gli attaccanti investono in catene modulari, usano strumenti e piattaforme legittime per mimetizzarsi e distribuiscono le funzioni su più componenti per sfuggire a controlli semplici.
Per chi guida un’azienda, la conclusione non deve essere allarmistica ma operativa: se la sicurezza dipende solo dall’attenzione del singolo utente o da un antivirus non governato, il margine di rischio resta alto. La difesa efficace nasce dall’insieme di processi, tecnologie e abitudini interne.
Domande frequenti
Un antivirus aggiornato è sufficiente contro questo tipo di attacco?
Non sempre. In catene multi-stadio con PowerShell, DLL side-loading e componenti separati, servono anche monitoraggio comportamentale, gestione degli endpoint e procedure di risposta.
Perché usare GitHub rende l’attacco più difficile da individuare?
Perché GitHub è un servizio legittimo e molto diffuso. Se usato come canale di comando, il traffico può sembrare meno sospetto rispetto a un server sconosciuto dedicato all’attacco.
Qual è il primo controllo pratico da fare in azienda?
Verificare come vengono gestiti email, link esterni, archivi cifrati e file LNK, insieme alla capacità di isolare rapidamente una postazione sospetta senza fermare tutta l’operatività.