Gli analisti di sicurezza hanno emesso un avviso urgente riguardo a una campagna ransomware attiva che utilizza file Excel con macro abilitate, camuffati da fatture, per indurre le persone a infettare i propri dispositivi. L'attacco si basa su un trucco familiare ma ancora efficace: un documento che sembra una normale fattura aziendale, accompagnato da un messaggio che chiede al destinatario di "abilitare il contenuto" affinché una macro nascosta possa essere eseguita. Una volta attivata, quella macro lancia uno script che scarica e installa il ransomware, dando agli aggressori la capacità di bloccare i file e richiedere un pagamento.

Sebbene la tecnica in sé non sia nuova, il fatto che rimanga attiva ed efficace abbastanza da giustificare un nuovo avviso dimostra quanto l'ingegneria sociale conti ancora negli attacchi informatici moderni. Le difese tecniche sono migliorate notevolmente nel corso degli anni, ma gli aggressori continuano a ottenere successi prendendo di mira il giudizio umano invece delle vulnerabilità del software.

Come funziona la truffa della fattura Excel

Secondo l'avviso, la campagna si concentra su documenti Excel con macro abilitate, file che portano l'estensione .xlsm e sono in grado di eseguire script incorporati chiamati macro. Le macro sono state originariamente progettate per automatizzare attività ripetitive nei fogli di calcolo, ma sono state a lungo abusate come meccanismo di distribuzione di malware perché possono eseguire codice nel momento in cui un utente concede l'autorizzazione.

In questa campagna, i fogli di calcolo malevoli sono camuffati per sembrare fatture legittime, un formato che naturalmente abbassa la guardia del destinatario perché imita la normale corrispondenza aziendale. Quando il file viene aperto, Excel in genere mostra un avviso di sicurezza e blocca le macro per impostazione predefinita. L'attacco riesce solo se la vittima aggira manualmente quella protezione, di solito perché il documento include un falso avviso che sostiene che il contenuto non è leggibile se le macro non vengono abilitate.

Una volta superata quella barriera, la macro incorporata attiva uno script che contatta un server esterno, scarica codice malevolo aggiuntivo e distribuisce il ransomware sul sistema della vittima. Da lì, i file possono essere cifrati e trattenuti in ostaggio in cambio di un riscatto, interrompendo i dati personali, le operazioni aziendali o entrambi, a seconda di chi viene preso di mira.

Perché la distribuzione basata su script è difficile da individuare

Una delle ragioni per cui questo tipo di attacco rimane persistente è che la distribuzione basata su script può sfuggire ad alcuni strumenti di rilevamento tradizionali. Anziché incorporare direttamente il payload ransomware all'interno del file Excel, gli aggressori usano la macro come piattaforma di lancio che recupera separatamente il codice malevolo. Questo approccio a fasi può far apparire il documento iniziale meno sospetto agli strumenti di scansione automatizzata, poiché il componente veramente dannoso non è presente finché lo script non viene eseguito.

Ciò rispecchia una tendenza più ampia in cui gli aggressori usano metodi a livelli o camuffati per far superare il codice malevolo al software di sicurezza. In un caso separato trattato da vpn.social, hacker russi hanno usato un falso prompt nucleare per ingannare gli scanner AI incorporato all'interno di uno script malevolo, un altro esempio di attori delle minacce che progettano i loro payload specificamente per confondere o eludere le difese automatizzate, anziché affidarsi unicamente a exploit tecnici di forza bruta.

Cosa significa per te

Per gli utenti quotidiani e le piccole imprese, questa campagna è un promemoria del fatto che il ransomware non richiede sempre un sofisticato exploit tecnico. Spesso richiede solo che una persona clicchi "abilita contenuto" su un file che sembra legittimo. Fatture, ricevute e documenti di fatturazione sono esche particolarmente efficaci perché creano un senso di urgenza o di obbligo routinario, rendendo le persone meno propense a fermarsi e scrutinare il file prima di aprirlo.

Se il tuo lavoro o la tua email personale comportano regolarmente fatture, ordini di acquisto o allegati finanziari, questa campagna merita di essere presa sul serio. Il ransomware distribuito attraverso un dispositivo compromesso può diffondersi a unità condivise, cartelle sincronizzate nel cloud e reti connesse, il che significa che un singolo clic incauto può avere conseguenze ben oltre un solo computer.

Azioni concrete da intraprendere

Tratta con cautela gli allegati di fatture inaspettati, soprattutto da mittenti sconosciuti o indirizzi email non familiari che imitano fornitori reali. Non abilitare mai le macro in un documento Office a meno che tu non sia certo della sua provenienza e non abbia una ragione aziendale specifica per farlo. Mantieni le impostazioni delle macro disabilitate per impostazione predefinita in Excel e in altre applicazioni Office, poiché la maggior parte dei documenti legittimi non le richiede. Mantieni backup regolari e offline dei file importanti, così che il ransomware non possa tenere in ostaggio le tue uniche copie. Mantieni aggiornati il software di sicurezza degli endpoint e i sistemi operativi, poiché molti strumenti di rilevamento vengono continuamente perfezionati per intercettare questi metodi di distribuzione basati su script in continua evoluzione.

Le campagne ransomware come questa riescono sfruttando la fiducia e la routine, non solo le debolezze tecniche. Restare vigili verso gli allegati inaspettati, verificare i mittenti prima di aprire i file e mantenere le macro disabilitate per impostazione predefinita restano alcune delle difese più semplici ed efficaci a disposizione sia degli individui che delle organizzazioni.