Un file ZIP per installare Node.js e rubare i dati: Microsoft rivela la truffa degli Hotel

Una campagna di phishing attiva utilizza file ZIP a tema fotografico per distribuire un implant Node.js, colpendo principalmente l'industria alberghiera. Le email di phishing sfruttano tematiche comuni del settore e passano attraverso sistemi di notifiche via email autorizzati come Calendly e Google per superare i controlli SPF, DKIM e DMARC. L'implant TonRAT utilizza l'API TON blockchain per risolvere i domini C2, rendendo meno efficaci i blocklist statici.

Una campagna di phishing sta prendendo di mira hotel e altre organizzazioni dell’industria alberghiera in Europa e Asia fin da aprile 2026, utilizzando file ZIP a tema fotografico per distribuire un implant Node.js e accedere ai computer della reception. Microsoft ha rilevato che gli operatori non sono stati attribuiti a un noto attore minaccioso e il loro obiettivo finale rimane ancora sconosciuto.

Le email di phishing utilizzano come esca tematiche comuni nel settore alberghiero, come reclami degli ospiti, infestazioni di cimici da letto, richieste di camere, ispezioni sanitarie e recensioni di soggiorno. Le email sono state inviate in giapponese, danese e olandese, con il giapponese che è stato il più comune. I soggetti delle email non menzionano specificamente né destinatari né proprietà, indicando un’invio a volume elevato basato su liste piuttosto che phishing mirato.

Le operazioni utilizzano un metodo ingegnoso per inviare le email: passano attraverso il sistema di notifiche via email di Calendly e il servizio di reindirizzamento URL di Google. Questo trucco, chiamato “authentication laundering” da Microsoft, fa sì che gli email superino i controlli SPF, DKIM e DMARC poiché provengono da infrastrutture autorizzate.

Questa campagna non è nuova: SOC Prime e ITOCHU avevano già documentato phishing simili mirati agli hotel circa due settimane prima. Tuttavia, l’obiettivo finale degli operatori rimane ancora sconosciuto, rendendo questa minaccia più seria di un semplice attacco di phishing a tema prenotazioni.

Dopo aver cliccato su un link di Calendly, la vittima viene reindirizzata attraverso vari passaggi a un dominio .cfd appena registrato, protetto da Cloudflare. Il file scaricato è un ZIP che contiene una scorciatoia mascherata da immagine. Aprire questa scorciatoia avvia PowerShell, il quale tenta di decodificare un URL nascosto e scaricare uno script .ps1 nella cartella %TEMP%. Viene quindi installato il runtime Node.js v24.13.0 da nodejs.org, che esegue l’implant JavaScript senza la necessità di un’installazione system-wide.

L’implant, denominato TonRAT, risolve i suoi domini C2 attraverso l’API TON blockchain e apre un canale WebSocket criptato. Questo rende meno efficaci i blocklist statici. Dopo il compromissione, l’implant ha segnalato a IPs fisse su porte non standard come 8443, 8445, 8453, 5555 e da 56001 a 56003.

Microsoft non ha riportato furti di dati confermati o attacchi ransomware. Tuttavia, la rimozione completa richiede l’eliminazione sia dell’entrata RunOnce in ProgramData che della chiave Node.js Run, oltre ai file runtime e .js sotto AppData\Local\Nodejs.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response