Campagna phishing a tema fattura in lingua italiana, osservata da febbraio 2026.
La catena di infezione parte da una mail con allegato HTML, passa da una falsa pagina di download, scarica uno ZIP con JavaScript offuscato e usa PowerShell + UpCrypter per distribuire il payload finale NeptuneRAT/MasonRAT.
Nell’articolo trovate:
- catena di esecuzione
- dettagli tecnici
- anti-analysis
- payload finale
- IoC
https://www.d3lab.net/italian-invoice-themed-phishing-campaign-delivers-upcrypter-and-neptunerat/
La catena di infezione parte da una mail con allegato HTML, passa da una falsa pagina di download, scarica uno ZIP con JavaScript offuscato e usa PowerShell + UpCrypter per distribuire il payload finale NeptuneRAT/MasonRAT.
Nell’articolo trovate:
- catena di esecuzione
- dettagli tecnici
- anti-analysis
- payload finale
- IoC
https://www.d3lab.net/italian-invoice-themed-phishing-campaign-delivers-upcrypter-and-neptunerat/
D3Lab
Italian Invoice-Themed Phishing Campaign Delivers UpCrypter and NeptuneRAT
Italian invoice-themed phishing campaign targeting users since February 2026. The infection chain abuses HTML attachments, fake download pages, JavaScript, PowerShell, and UpCrypter to deploy a final NeptuneRAT/MasonRAT payload.
Gang criminali all’assalto dei corrieri: il boom del phishing contro GLS
Da maggio 2026 le campagne di phishing che impersonano GLS hanno registrato una crescita senza precedenti. L’analisi di D3Lab racconta il fenomeno, le modalità operative e le principali contromisure.
https://www.d3lab.net/gang-criminali-allassalto-dei-corrieri-il-boom-del-phishing-contro-gls/
Da maggio 2026 le campagne di phishing che impersonano GLS hanno registrato una crescita senza precedenti. L’analisi di D3Lab racconta il fenomeno, le modalità operative e le principali contromisure.
https://www.d3lab.net/gang-criminali-allassalto-dei-corrieri-il-boom-del-phishing-contro-gls/
D3Lab
Gang criminali all’assalto dei corrieri: il boom del phishing contro GLS
Da maggio 2026 le campagne di phishing che impersonano GLS hanno registrato una crescita senza precedenti. L’analisi di D3Lab racconta il fenomeno, le modalità operative e le principali contromisure.
🚨 Nuova campagna malware Remcos RAT rivolta all'#Italia
Oggetto "Riferimento del pagamento n.: TT/810-363295460 Importo: EUR 26.480,25".
📎 L'email allega un archivio .ARJ contenente uno script .VBS
🔎 IoC
• MD5: 088e5f818e976e85df25b84affb59c20
• Drop URL: hxxps://thebrighttable[.]com/newst/rawfile[.]exe
• C2: magicmike26[.]myddns[.]me
⚠️ Prestate la massima attenzione a email con richieste di pagamento e allegati compressi contenenti script.
#RemcosRAT #Malware
Oggetto "Riferimento del pagamento n.: TT/810-363295460 Importo: EUR 26.480,25".
📎 L'email allega un archivio .ARJ contenente uno script .VBS
🔎 IoC
• MD5: 088e5f818e976e85df25b84affb59c20
• Drop URL: hxxps://thebrighttable[.]com/newst/rawfile[.]exe
• C2: magicmike26[.]myddns[.]me
⚠️ Prestate la massima attenzione a email con richieste di pagamento e allegati compressi contenenti script.
#RemcosRAT #Malware
⚠️ Campagna malware AgentTesla in corso in Italia
📧 Oggetto: ORDINE DI ACQUISTO (PO-1180.7726)
📎 L'e-mail contiene un allegato RAR con un file JavaScript (.js) che avvia la catena di infezione.
IoC
• MD5: 7f4aa4aff0c2c23aa59a1d0dff83ffbb
• C2: ftp[.]episcenergy[.]com
🔥 Attenzione agli allegati sospetti!
#Malware #AgentTesla #EmailSecurity #IoC
📧 Oggetto: ORDINE DI ACQUISTO (PO-1180.7726)
📎 L'e-mail contiene un allegato RAR con un file JavaScript (.js) che avvia la catena di infezione.
IoC
• MD5: 7f4aa4aff0c2c23aa59a1d0dff83ffbb
• C2: ftp[.]episcenergy[.]com
🔥 Attenzione agli allegati sospetti!
#Malware #AgentTesla #EmailSecurity #IoC
#Remcos RAT in circolazione in #Italia
È stata osservata una nuova campagna malware che sfrutta email con il seguente oggetto:
📩 Oggetto: UniCredit, disposizione di bonifico in entrata
L'email contiene in allegato un .img che, se aperto, può portare all'infezione da Remcos RAT
IoC:
458cca0e2e189fb07656d414fdf5b574
37[.]27[.]30[.]5
Si raccomanda di prestare particolare attenzione a email inattese che simulano comunicazioni bancarie.
#RemcosRAT #Malware #Italy #IoC
È stata osservata una nuova campagna malware che sfrutta email con il seguente oggetto:
📩 Oggetto: UniCredit, disposizione di bonifico in entrata
L'email contiene in allegato un .img che, se aperto, può portare all'infezione da Remcos RAT
IoC:
458cca0e2e189fb07656d414fdf5b574
37[.]27[.]30[.]5
Si raccomanda di prestare particolare attenzione a email inattese che simulano comunicazioni bancarie.
#RemcosRAT #Malware #Italy #IoC
🚨 Formbook torna a colpire gli utenti italiani 🇮🇹
Una nuova campagna distribuisce Formbook tramite una falsa email con oggetto "Ns. ft. n. 1266595 del 30/06/2026".
Il messaggio richiama GLS, la fattura elettronica e l'Agenzia delle Entrate per apparire legittimo, inducendo la vittima ad aprire l'allegato ZIP malevolo.
🔎 IOC
MD5: 12041896b590fb738d63dc5bccb77747
C2: hzdfthr018[.]top/bvy8/
🔥 Attenzione agli allegati sospetti!
#CyberSecurity #Formbook #Malware #Italia
Una nuova campagna distribuisce Formbook tramite una falsa email con oggetto "Ns. ft. n. 1266595 del 30/06/2026".
Il messaggio richiama GLS, la fattura elettronica e l'Agenzia delle Entrate per apparire legittimo, inducendo la vittima ad aprire l'allegato ZIP malevolo.
🔎 IOC
MD5: 12041896b590fb738d63dc5bccb77747
C2: hzdfthr018[.]top/bvy8/
🔥 Attenzione agli allegati sospetti!
#CyberSecurity #Formbook #Malware #Italia
Credi di pagare una contravvenzione attraverso i servizi Telepass ed invece sei su una pagina di phishing 💣
🚨IoC nell'articolo
https://www.d3lab.net/phishing-ai-clienti-telepass-non-stai-pagando-una-contravvenzione-ti-stanno-solo-frodando/
🚨IoC nell'articolo
https://www.d3lab.net/phishing-ai-clienti-telepass-non-stai-pagando-una-contravvenzione-ti-stanno-solo-frodando/
D3Lab
Phishing ai clienti Telepass: non stai pagando una contravvenzione, ti stanno solo frodando
Negli ultimi anni si è assistito alla diversificazione dei servizi erogati da istituti bancari, compagnie telefoniche, gestori pagamenti che, nati svolgendo attività in uno specifico ramo di mercato (finanza, telefonia, ecc..), si sono successivamente proposti…
🚨 Nuova campagna #RemcosRAT rilevata in #italia 🇮🇹
📧 Oggetto: Ordine Nr. R-25060 / D(36)-RĪGA
🔑 MD5: a0cea8cab9dffb06bed0ddd29c9b55c0
🌐 C2: tomwim[.]ygto[.]com
🔥 Attenzione agli allegati sospetti!
📧 Oggetto: Ordine Nr. R-25060 / D(36)-RĪGA
🔑 MD5: a0cea8cab9dffb06bed0ddd29c9b55c0
🌐 C2: tomwim[.]ygto[.]com
🔥 Attenzione agli allegati sospetti!
🚨 Campagna #RemcosRAT in #Italia
Rilevata una campagna di phishing con oggetto "Richiesta di preventivo - 281000411". L'email contiene un link a un archivio LZH ospitato su MediaFire.
IoC
🔹 Drop URL: hxxps://cinnamonthai[.]com/cgi-bins/05.08_8080_64[.]exe
🔹 C2: comeforreealz[.]duckdns[.]org
🔹 C2: careerlongprofit[.]duckdns[.]org
🔹 MD5: c5572f461bcc603de50104ec6c245098
🔥 Attenzione agli allegati sospetti!
Rilevata una campagna di phishing con oggetto "Richiesta di preventivo - 281000411". L'email contiene un link a un archivio LZH ospitato su MediaFire.
IoC
🔹 Drop URL: hxxps://cinnamonthai[.]com/cgi-bins/05.08_8080_64[.]exe
🔹 C2: comeforreealz[.]duckdns[.]org
🔹 C2: careerlongprofit[.]duckdns[.]org
🔹 MD5: c5572f461bcc603de50104ec6c245098
🔥 Attenzione agli allegati sospetti!
I criminali all'assalto di chi attende una consegna con InPost!
https://www.d3lab.net/inpost-mancano-dati-per-la-consegna-ma-e-phishing/
https://www.d3lab.net/inpost-mancano-dati-per-la-consegna-ma-e-phishing/
D3Lab
InPost, mancano dati per la consegna. Ma è phishing!
Nella giornata odierna il team anti-frode D3Lab ha individuato un sito di phishing riproducente la grafica di InPost, note servizio di consegna basato su locker sparsi su tutto il territorio nazionale.
Pagina di phishing principale
Comunicando…
Pagina di phishing principale
Comunicando…
Account Wise a rischio takeover via phishing
https://www.d3lab.net/furto-di-identita-via-phishing-wise/
https://www.d3lab.net/furto-di-identita-via-phishing-wise/
D3Lab
Furto di identità via phishing Wise
Nella giornata odierna il team anti-frode D3Lab ha rilevato la settima campagna di phishing dell'anno a danno dei clienti italiani di Wise, servizio per il trasferimento di denaro a livello globale, con bassi costi di trasferimento e di cambio.
Campagne…
Campagne…
Phishing rivolto agli utilizzatori dei servizi Klarna in vistosa crescita nel 2026, a dimostrazione che moltissimi servizi posso offrire ai cyber criminali l'opportunità di monetizzare a danno di utilizzatori e società.
https://www.d3lab.net/phishing-klarna-crescita-vertiginosa/
https://www.d3lab.net/phishing-klarna-crescita-vertiginosa/
D3Lab
Phishing Klarna: crescita vertiginosa
Nella giornata odierna il team anti frode D3lab ha rilevato la 132a campagna di phishing del 2026 rivolta agli utilizzatori di Klarna.
Vettore di attacco
Klarna è una società svedese che si occupa di microcredito, permettendo agli utenti di rateizzare…
Vettore di attacco
Klarna è una società svedese che si occupa di microcredito, permettendo agli utenti di rateizzare…
Il cyber crime richiede pagamenti inesistenti per sistema Free Flow con pagine di #phishing a danno di chi transita sull' #AutostradaPedemontanaLombarda https://www.d3lab.net/i-cyber-criminali-sfruttano-free-flow/
D3Lab
I cyber criminali sfruttano Free Flow
Free Flow è un recente sistema di gestione dei pedaggi autostradali che ha portato all'abolizione dei classici caselli. Attraverso un sistema di sensori e telecamere viene registrato l'ingresso e l'uscita dei singoli veicoli dalle tratte austradali, valutata…
Phishing a danno del Registro delle Imprese, servizio delle Camere di Commercio realizzato da Infocamere.
Con la motivazione di una verifica anagrafica il cybercrime mira alle tue informazioni aziendali!
https://www.d3lab.net/phishing-a-danno-del-registro-delle-imprese/
Con la motivazione di una verifica anagrafica il cybercrime mira alle tue informazioni aziendali!
https://www.d3lab.net/phishing-a-danno-del-registro-delle-imprese/
D3Lab
Phishing a danno del Registro delle Imprese
D3Lab ha sempre cercato di evidenziare quanto il phishing rappresenti ancora oggi una minaccia concreta e attuale, nonostante venga talvolta percepito come un attacco banale, quasi elementare.
Le simulazioni di phishing che svolgiamo per i nostri clienti…
Le simulazioni di phishing che svolgiamo per i nostri clienti…