Tre cluster legati alla Russia usano OAuth, WhatsApp e malware contro obiettivi occidentali

Phishing senza pagine di login evidentemente false

Il Google Threat Intelligence Group ha descritto tre cluster di cyber-spionaggio sospettati di essere collegati alla Russia: UNC6293, UNC7005 e UNC5976. Le campagne prendono di mira ricercatori, accademici, funzionari pubblici, analisti di think tank e personale del settore della difesa in Europa e negli Stati Uniti.

Il rapporto è stato pubblicato il 21 agosto 2026. Le operazioni analizzate hanno un elemento comune: l’abuso di procedure autentiche di accesso e condivisione, invece del semplice ricorso a pagine di login chiaramente contraffatte.

Gli attaccanti sfruttano password applicative, autorizzazioni OAuth, codici dispositivo, account WhatsApp e schermate di autenticazione cloud. Per la vittima, l’operazione può apparire regolare: il dominio sembra plausibile, l’autenticazione avviene su un servizio conosciuto e la richiesta è inserita in una conversazione costruita con cura.

Il problema riguarda anche la visibilità delle organizzazioni. Il primo contatto può avvenire su un account personale, non associato al dominio aziendale e quindi assente dai normali controlli di posta elettronica. L’uso possibile di messaggistica cifrata rende inoltre più difficile intercettare il tentativo prima della compromissione.

UNC6293 punta su password applicative e token OAuth

UNC6293 è il cluster documentato da più tempo e quello attribuito con maggiore precisione. Google ritiene con moderata confidenza che sia un sottogruppo di ICE RELIC, conosciuto anche come APT29, attivo nelle operazioni di accesso iniziale.

Il gruppo tende a colpire meno di cinque vittime per volta. Le esche sono spesso costruite intorno a eventi diplomatici o conferenze imminenti. Dalla prima documentazione, risalente a giugno 2025, UNC6293 ha impersonato funzionari del Dipartimento di Stato statunitense.

Alle vittime veniva chiesto di configurare una specifica password applicativa. Il valore era scelto dagli aggressori e comunicato direttamente alla persona contattata. Una volta impostata, la password consentiva l’accesso all’account senza attivare l’autenticazione a due fattori.

Il metodo è particolarmente insidioso perché non richiede necessariamente il furto della password principale. L’attaccante sfrutta una funzione legittima dell’account, trasformandola in un accesso alternativo e più difficile da individuare.

A ottobre 2025, il gruppo riutilizzava schermate già impiegate nelle esche di giugno, compreso il riferimento a ms.state.gov, cambiando soltanto il testo circostante. A giugno 2026, UNC6293 ha aggiunto campagne basate su OAuth.

In questi casi, dopo l’accesso a un servizio legittimo, la vittima veniva invitata a condividere un URL o un “codice di verifica”. L’obiettivo era ottenere token validi. L’autenticazione appariva corretta, ma il passaggio successivo permetteva agli aggressori di acquisire l’autorizzazione necessaria per operare sull’account.

UNC7005 combina codici dispositivo, WhatsApp e infostealer

UNC7005, identificato da Microsoft come STORM-2945, è stato individuato per la prima volta a febbraio 2026. Anche questo cluster è considerato collegato a ICE RELIC, sebbene Google lo descriva come meno sofisticato e meno disciplinato sul piano operativo rispetto a UNC6293.

La sua attività è però più ampia. Comprende phishing tramite password applicative, codici dispositivo per account Microsoft e WhatsApp, campagne OAuth, malware e inviti contraffatti a conferenze o telefonate con organizzazioni rilevanti per la vittima.

Un caso rappresentativo riguarda il forum GLOBSEC previsto a maggio 2026. UNC7005 ha realizzato una pagina che imitava un invito all’evento e raccoglieva dati dettagliati di registrazione, compresa la scelta del vino per una cena fittizia.

Alla fine della procedura, il sito mostrava un codice dispositivo Microsoft da inserire. Il modulo conteneva ancora il riferimento alla “Embassy security policy”, lasciato da un precedente modello di esca. Dopo la segnalazione della pagina, il gruppo ha modificato il modello nel giro di pochi giorni, attribuendo il cambiamento a presunte “difficoltà tecniche”.

Le operazioni rivolte a WhatsApp seguivano una logica simile. Le vittime venivano invitate a partecipare a una chiamata, aprire una chat cifrata o scaricare un documento. La pagina chiedeva di collegare l’account a un dispositivo controllato dagli attaccanti.

In alcuni casi, JavaScript malevolo chiedeva anche l’accesso a microfono e videocamera. Se l’utente concedeva i permessi, il browser registrava immagini e audio e li inviava agli aggressori.

Tra la fine di maggio 2026 e giugno 2026, UNC7005 ha condotto operazioni di social engineering rivolte a diplomatici, accademici statunitensi e ricercatori che si occupano della Russia. Una campagna più ampia proponeva una falsa applicazione denominata Summit Companion App, presentata come strumento per leggere un documento a sostegno dell’Ucraina.

Il file distribuiva VIDAR agli utenti Windows e ATOMIC, noto anche come AtomicStealer, agli utenti macOS. Sono entrambi infostealer commerciali venduti come servizio. VIDAR può sottrarre dai browser credenziali salvate, cookie e dati di pagamento; ATOMIC è progettato per raccogliere informazioni analoghe sui sistemi Apple.

Nessuno dei due strumenti è malware sviluppato appositamente per questa operazione. L’indirizzo email usato nella campagna era inoltre quasi identico a uno già impiegato da UNC6293 nell’anno precedente.

Infrastruttura alberghiera e possibile codice generato da un LLM

Google collega direttamente a UNC7005 anche la campagna contro i portali captive di hotel e centri congressi, attività già segnalata da Reliaquest e Microsoft e attribuita a Midnight Blizzard.

L’infrastruttura è stata ricondotta ad aprile 2026, quando comparvero domini che imitavano risorse di autenticazione Microsoft. I domini sono stati progressivamente inseriti nelle liste di blocco di Google Safe Browsing. Entro la metà di luglio 2026, ricevevano reindirizzamenti provenienti dai portali captive di strutture ricettive e sedi congressuali.

L’analisi degli indirizzi IP collega questa infrastruttura all’operazione GLOBSEC basata sui codici dispositivo e a ENGINELIGHT, malware scritto in Go impiegato in un’operazione UNC7005 distinta e limitata condotta a maggio 2026.

Il cluster ha inoltre utilizzato CHERRYPIE, conosciuto anche come ChocoShell, un infostealer PowerShell. Nei file analizzati compaiono commenti e riferimenti apparentemente compatibili con codice prodotto dall’intelligenza artificiale. Google considera quindi possibile l’uso di un LLM nello sviluppo del malware.

CHERRYPIE raccoglie dati in parte sovrapponibili a quelli sottratti dagli infostealer commerciali. Per questo potrebbe essere una variante personalizzata di uno strumento malware-as-a-service. L’ipotesi non equivale però a una conferma dell’origine del codice.

UNC5976 colpisce difesa e organizzazioni legate a Ucraina e Armenia

UNC5976 è il cluster più distinto dagli altri due. Si concentra su organizzazioni militari, aerospaziali, della base industriale della difesa e ONG, con particolare attenzione a Ucraina e Armenia.

Le sue operazioni OAuth sono più automatizzate. Il gruppo registra domini legati alla condivisione di file, crea progetti Google Cloud associati a quei domini e utilizza script ospitati nel cloud. La vittima visualizza una schermata apparentemente Google all’interno di una falsa pagina di file sharing; l’accesso consente agli attaccanti di raccogliere token di autenticazione.

Dopo l’interruzione dell’infrastruttura da parte di Google, entro tre mesi UNC5976 aveva creato almeno dodici nuovi domini e stava migrando verso provider di hosting esterni all’ecosistema Google. Il dato mostra una capacità di ricostituzione rapida delle operazioni.

Ad aprile 2026, il cluster ha distribuito HEADRUSH, un plugin Excel malevolo, attraverso un dominio che imitava un istituto di ricerca ucraino. Il possibile obiettivo era un’azienda ucraina attiva nei settori aerospaziale e dell’imaging.

HEADRUSH conduce infine a un downloader HTA, ma la catena completa d’infezione non è stata ricostruita.

Come ridurre il rischio di compromissione

Gli utenti non dovrebbero creare password applicative su richiesta di terzi. È inoltre opportuno revocare quelle presenti nell’account e non riconosciute, controllando periodicamente anche i dispositivi collegati a WhatsApp.

Una richiesta OAuth ricevuta tramite un messaggio non sollecitato va considerata sospetta, anche quando la pagina appare professionale o utilizza un servizio noto. Lo stesso vale per inviti a conferenze, chiamate e condivisioni di documenti che richiedono codici dispositivo o il collegamento di nuovi dispositivi.

Microfono e videocamera non devono essere concessi a pagine non verificate. Applicazioni distribuite tramite eventi, istituzioni o organizzazioni conosciute devono essere scaricate solo da canali ufficiali.

Per gli individui ad alto rischio, il Google Advanced Protection Program blocca completamente la creazione di password applicative. Le organizzazioni dovrebbero monitorare, quando consentito dalle proprie policy, gli account personali impiegati per attività sensibili, i consensi OAuth, i dispositivi WhatsApp collegati e i domini che imitano Microsoft, Google, istituzioni diplomatiche, conferenze o centri di ricerca.

Non è noto se queste attività siano associate a vulnerabilità software specifiche o a inserimenti nel catalogo KEV della CISA. Il rischio deriva soprattutto dall’uso abusivo di meccanismi autentici, con compromissioni che possono sfuggire ai controlli aziendali tradizionali.