Arriva una mail che sembra normalissima: «il documento era troppo grande, te l’ho condiviso su Teams». Il collaboratore clicca, si apre una pagina che ha l’aria del Microsoft Store e dice che Teams va aggiornato prima di aprire il file. Lui aggiorna. Da quel momento, qualcuno che non hai mai assunto ha il controllo di quel computer.
È la campagna che i ricercatori della società di email security ZeroBEC hanno chiamato Operation BlueDash, documentata il 27 luglio. È attiva da febbraio e nei mesi si è raffinata.
Perché questa è diversa dalle altre
Il punto che rende la storia rilevante per una piccola impresa non è l’esca, che è banale. È quello che viene installato.
Non è un virus. Sono i programmi veri di teleassistenza — quelli che usa il tuo consulente informatico per collegarsi da remoto e sistemarti la stampante: Level RMM, ConnectWise ScreenConnect, Tactical RMM. Installer ufficiali, firmati dal produttore, scaricati dai server del produttore.
L’unica differenza è che il computer viene registrato sull’account dell’attaccante, non su quello del tuo tecnico.
Come si svolge, passo per passo
La catena documentata dai ricercatori è questa:
- mail con l’esca del documento condiviso troppo grande per l’allegato;
- atterraggio su una finta pagina Microsoft Store ospitata su un dominio che imita il nome di Teams;
- richiesta di scaricare un aggiornamento: il file è
supportdev.exe, un installer costruito con uno strumento del tutto comune; - il file avvia PowerShell in una finestra nascosta, scarica l’installer ufficiale del programma di teleassistenza e iscrive il computer usando un codice di registrazione dell’attaccante.
Poi il sistema viene ispezionato: si controlla lo stato del firewall, se il disco è cifrato e — soprattutto — se l’utente collegato è amministratore del PC.
In un attacco classico il file scaricato è malevolo e l'antivirus lo riconosce. In Operation BlueDash il file scaricato è l'installer ufficiale e firmato di un programma di teleassistenza commerciale: nessuna firma sospetta da rilevare, nessun comportamento anomalo da bloccare. L'elemento ostile non è il programma, è il codice di registrazione che lega quel computer alla console di comando dell'attaccante anziché a quella del fornitore IT aziendale.
C’è un dettaglio che dice molto sul livello dell’operazione: spesso vengono installati più strumenti di teleassistenza insieme. Se ne blocchi uno, gli altri restano. È accesso di riserva.
I ricercatori attribuiscono l’operazione, con confidenza da moderata ad alta, a un gruppo che opera dalla Nigeria, sulla base dell’infrastruttura e della cronologia del codice trovata in un ambiente di sviluppo pubblico. È un’attribuzione, non una sentenza: la riportiamo come tale.
Perché riguarda proprio te
Questo attacco è tarato sull’azienda da cinque a cinquanta persone, e non per caso.
L’esca è la routine quotidiana di chi lavora in amministrazione, in commerciale o in uno studio professionale: documenti condivisi, file troppo grandi, richieste che arrivano da fuori. Nessuno si insospettisce.
E in un’azienda piccola chi riceve la mail è quasi sempre amministratore del proprio computer, perché così si è sempre fatto: serviva installare una stampante, un gestionale, un plugin, e i diritti sono rimasti lì. È esattamente la condizione che l’attacco verifica per prima.
Le tre cose da fare, in ordine di efficacia
2. Fatti dare dal tuo tecnico l’elenco degli strumenti di teleassistenza autorizzati. Deve essere una lista corta e scritta: questo, questo e questo. Tutto il resto va bloccato o segnalato. Se non hai un tecnico interno, è la prima domanda da fare al fornitore che ti gestisce i computer — e la risposta va per iscritto.
3. Dì a tutti, oggi, una frase sola: Teams e Windows non si aggiornano mai da un link ricevuto via mail. Gli aggiornamenti arrivano dal programma stesso o da Windows Update, mai da una pagina che si apre dopo un clic su un documento.
Se il sospetto è già venuto
Se qualcuno in azienda ricorda di aver «aggiornato Teams» dopo una mail nelle ultime settimane, la verifica non è complicata: si guarda l’elenco dei programmi installati su quel PC e si cerca la presenza di software di controllo remoto che nessuno ha autorizzato.
Trovato qualcosa, il computer va scollegato dalla rete prima di qualsiasi altra cosa, e poi si cambiano le password degli account usati da quella postazione — a partire dalla posta e dall’home banking. Non è una pulizia da fare da soli con una disinstallazione: chi è entrato ha avuto tempo per lasciarsi altre porte aperte.
In breve
Un finto aggiornamento di Microsoft Teams installa programmi di teleassistenza autentici sui computer aziendali, registrandoli sulla console di un estraneo. L’antivirus non interviene perché non c’è nulla di tecnicamente malevolo da riconoscere.
La difesa non è un prodotto da comprare, sono due decisioni organizzative: togliere i diritti di amministratore dagli account di uso quotidiano e avere una lista scritta dei programmi di teleassistenza ammessi in azienda.