La nuova frontiera del phishing: falsi inviti a riunioni Zoom e Teams che installano software di controllo remoto

07/03/2026 SCIENZA E TECNOLOGIA Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Le piattaforme di videoconferenza, strumenti ormai quotidiani per centinaia di milioni di professionisti in tutto il mondo, si sono trasformate nell'ultimo vettore d'attacco per una campagna di phishing sofisticata e particolarmente insidiosa. I ricercatori di Netskope, società specializzata in sicurezza informatica, hanno individuato e documentato un nuovo raggiro che sfrutta la familiarità degli utenti con servizi come Zoom, Microsoft Teams e Google Meet, e lo fa con un livello di dettaglio e una cura nella replica che non si vedevano da tempo. L'inganno, come spesso accade, prende vita da una semplice email che contiene un invito a partecipare a una riunione di lavoro urgente, magari facendo leva su nomi di colleghi o su una proposta di progetto allettante: il testo "Siamo lieti di informarla che la sua azienda è stata selezionata per presentare una proposta" è uno degli esche tipici utilizzati per abbassare la guardia della potenziale vittima.

L'inganno perfetto: dal typosquatting alla finta sala d'attesa

Cliccando sul link contenuto nel messaggio, l'utente non viene reindirizzato al sito ufficiale della piattaforma citata, ma verso pagine web clonate con sorprendente precisione. I criminali informatici, come spiegano i report di Netskope, fanno ampio uso di una tecnica chiamata typosquatting, registrando domini molto simili a quelli originali come "zoom-meet.us" o varianti che possono facilmente trarre in inganno chi riceve decine di inviti al giorno. Una volta sulla pagina falsa, la simulazione continua in modo ancora più subdolo: all'utente viene mostrata una finta sala d'attesa virtuale, con l'elenco di altri presunti partecipanti già collegati, il che rende l'esca ancora più credibile e aumenta il desiderio della vittima di non perdersi l'inizio della riunione. È a questo punto, quando si tenta di accedere alla conference, che scatta la trappola: un messaggio di errore segnala un problema di compatibilità con la versione del software installato e richiede un aggiornamento immediato per poter proseguire.

L'urgenza indotta dal messaggio, combinata con l'abitudine a ricevere aggiornamenti continui per questi tipi di applicazioni, spinge l'utente a cliccare sul pulsante che avvia il download del finto update. I file scaricati, mascherati da nomi rassicuranti come msteams.exe o adobereader.exe, non contengono però malware in senso stretto, ma sono in realtà programmi di Remote Monitoring and Management assolutamente legittimi, come LogMeIn, ScreenConnect, Datto o MeshAgent. Si tratta di software progettati per assistere gli utenti a distanza e gestire flotte di computer aziendali, ma che in mani sbagliate diventano armi potentissime. Il fatto che siano strumenti autentici, spesso firmati digitalmente con certificati validi (in alcuni casi rubati, come quello della società TrustConnect Software PTY LTD), permette loro di aggirare i controlli dei software antivirus e di accedere al sistema senza destare alcun sospetto.

Accesso remoto e persistenza: quando l'aggiornamento è una porta aperta

Una volta eseguito, il falso installer si copia nelle cartelle di sistema e crea le chiavi di registro necessarie per attivarsi automaticamente a ogni avvio del computer. L'analisi tecnica condotta dai laboratori di Malwarebytes su una delle varianti di questa campagna, quella che utilizzava il software Teramind, ha svelato meccanismi di occultamento e persistenza particolarmente avanzati. Il file MSI scaricato, una volta lanciato, verifica innanzitutto di poter raggiungere il server di comando e controllo (C2) all'indirizzo rt.teramind.co; se la connessione non va a buon fine, l'installazione si blocca, un meccanismo che potrebbe paradossalmente proteggere le vittime in reti aziendali particolarmente restrittive. Superato questo controllo, il pacchetto installa due servizi Windows con nomi ingannevoli, tsvchst e pmon, progettati per mimetizzarsi tra i processi legittimi del sistema operativo: il primo richiama il nome del servizio svchost.exe, mentre il secondo, "Performance Monitor", è un nome che non desta alcun allarme. Entrambi i servizi sono configurati per essere eseguiti con i massimi privilegi (LocalSystem) e, cosa ancora più preoccupante, sono impostati per riavviarsi automaticamente in caso di terminazione, garantendo così una persistenza quasi totale all'interno del sistema violato.

L'installazione, come rivelato dai log, avviene in modalità "stealth" (nascosta), il che significa che l'utente non vedrà alcuna icona nella tray bar di sistema né alcuna chiara indicazione della presenza del nuovo software. A questo punto, i criminali informatici dispongono di un accesso stabile e privilegiato alla macchina della vittima: possono visualizzare lo schermo in tempo reale, catturare i tasti premuti, rubare credenziali e dati sensibili, e utilizzare il computer come punto d'appoggio per muoversi lateralmente all'interno dell'intera rete aziendale, preparando il terreno per attacchi successivi come la diffusione di ransomware. L'utilizzo di questi software RMM, che generano traffico criptato verso domini legittimi, rende estremamente difficile per i reparti IT distinguere tra un uso autorizzato e uno malevolo di questi strumenti.

L'allarme di Microsoft e le contromisure necessarie

Anche il team di sicurezza di Microsoft ha lanciato l'allarme riguardo a queste campagne, osservate con frequenza crescente a partire da febbraio 2026, che non mirano solo ai software di videoconferenza ma anche ad applicazioni comuni come Adobe Acrobat Reader. In alcune varianti, l'attacco parte da un allegato PDF offuscato che, una volta aperto, mostra un'immagine sfocata e un pulsante per "aprire il documento" che reindirizza la vittima verso il sito di phishing. La compagnia di Redmond sottolinea come il successo di queste operazioni si basi sulla familiarità degli strumenti imitati e sul senso di urgenza che i messaggi sono in grado di generare. Per difendersi, gli esperti raccomandano di non cliccare mai su link per aggiornamenti software ricevuti via email o chat, e di verificare sempre l'origine dei messaggi, diffidando di mittenti sconosciuti o di domandi web che presentano piccole variazioni sospette. È fondamentale, invece, aggiornare le applicazioni esclusivamente dai canali ufficiali, come lo store dell'azienda o il sito dello sviluppatore, e prestare la massima attenzione anche ai certificati digitali, che non rappresentano più una garanzia assoluta di autenticità.