Tra il 16 e il 19 giugno 2026, i ricercatori di Datadog Security Research hanno osservato una campagna di phishing altamente sofisticata contro la console AWS. Non si tratta del classico furto di credenziali: il kit implementa tecniche adversary-in-the-middle (AiTM) che permettono di catturare i codici MFA in tempo reale, bypassando email, SMS e app di autenticazione TOTP. Un’analisi tecnica dettagliata pubblicata il 24 giugno svela l’architettura del kit, gli IoC e le tecniche di delivery utilizzate.
La campagna: tre domini in 48 ore
La campagna si è concretizzata con la registrazione di tre domini in una finestra di soli due giorni, tutti attraverso il registrar NICENIC INTERNATIONAL GROUP CO., LIMITED e ospitati su infrastruttura Cloudflare. I domini impersonavano con fedeltà la pagina di login della console AWS:
us-west-login[.]com(registrato il 18 giugno 2026) — con sottodominiaws.us-west-login[.]comeaws-central.us-west-login[.]comus-east-prod[.]com(registrato il 17 giugno 2026) — con sottodominioaws.us-east-prod[.]comloginportal-aws[.]com(registrato il 16 giugno 2026)
In parallelo, sono stati identificati altri tre domini che impersonavano SendGrid, registrati nello stesso arco temporale attraverso lo stesso registrar. La doppia infrastruttura — AWS e SendGrid — suggerisce che gli attaccanti abbiano progettato un sistema integrato: SendGrid per la consegna delle email di phishing, i cloni AWS per la raccolta delle credenziali.
Come funziona il kit: AiTM in tempo reale
La caratteristica più pericolosa di questo kit non è la clonazione della pagina login, ma la capacità di intercettare e ritrasmettere il secondo fattore di autenticazione in tempo reale. Il flusso si articola in più fasi:
1. Validazione del target prima del rendering: quando la vittima accede alla pagina di phishing, il kit legge il parametro URL input_24 contenente un blob base64 cifrato. Il server decodifica l’indirizzo email della vittima e lo imposta come cookie. Solo se l’email è valida e registrata come target, la pagina viene effettivamente renderizzata — una misura anti-sandbox che rende inutile l’analisi automatica senza una email vittima valida.
// Logica di validazione dell'indirizzo vittima
let e = new URLSearchParams(window.location.search).get(`input_24`);
(e ? fetch(`/api/check`, {
method: `POST`,
body: JSON.stringify({ encrypted: e }),
credentials: `include`
}) : Promise.resolve({ ok: !1 }))
.then(e => e.ok ? e.json() : null)
.then(() => fetch(`/api/me`, { credentials: `include` }))
.then(e => e.json())
.then(e => t(e.email || null))2. Furto delle credenziali primarie: la pagina clonata raccoglie username e password tramite i form di login AWS (sia account root che IAM) e li invia a /api/login. Il server, agendo come proxy verso la vera console AWS, ottiene in risposta quale tipo di MFA è configurato sull’account.
3. Intercettazione dell’MFA in real-time: il kit presenta alla vittima la challenge MFA corrispondente al secondo fattore configurato — /email, /sms, o /gauth per le app TOTP. Il codice inserito viene intercettato e ritrasmesso immediatamente al server AWS legittimo, completando l’autenticazione prima che il codice scada.
Delivery: phishing mirato via SendGrid e Nimbu
Il 19 giugno 2026 è apparso su VirusTotal un batch file che funge da artefatto di validazione dell’infrastruttura. Il file contiene la struttura di un’email di phishing che impersona il supporto AWS, citando un ticket di supporto fasullo su presunto throttling della banda. La consegna avviene tramite piattaforme email legittime come SendGrid e Nimbu, scelta tattica che permette di passare i controlli SPF/DKIM/DMARC e bypassare i filtri antispam aziendali.
L’uso del parametro input_24 per la validazione dell’email suggerisce inoltre che si tratti di una campagna di spear phishing mirato piuttosto che mass phishing: ogni link contiene l’email cifrata della specifica vittima, rendendo impossibile l’accesso alla pagina di phishing senza il link personalizzato.
TTPs e mapping MITRE ATT&CK
- T1566.002 — Spearphishing Link: link personalizzati con email cifrata per targeting preciso
- T1111 — MFA Interception: cattura in real-time di email OTP, SMS e codici TOTP
- T1056.001 — Keylogging: raccolta di username, password e codici di verifica prima del forwarding
- T1583.001 — Acquire Infrastructure: Domains: tre domini registrati nello stesso arco di 48 ore
- T1133 — External Remote Services: targeting dell’accesso alla console AWS
Indicatori di compromissione (IoC)
# Domini AWS phishing
us-west-login[.]com
aws.us-west-login[.]com
aws-central.us-west-login[.]com
us-east-prod[.]com
aws.us-east-prod[.]com
loginportal-aws[.]com
# Registrar comune
NICENIC INTERNATIONAL GROUP CO., LIMITED
# Infrastruttura di hosting
Cloudflare (tutti i domini)
# Endpoint API del kit
/api/check - validazione email vittima
/api/me - recupero email da cookie
/api/login - furto credenziali e identificazione MFA
/email - challenge MFA via email
/sms - challenge MFA via SMS
/gauth - challenge MFA via TOTP
# Parametro URL di targeting
input_24 (blob base64 cifrato contenente email vittima)Come rilevare l’attacco
Datadog consiglia le seguenti azioni di hunting per chi sospetti di essere stato targetizzato:
- DNS hunting: verificare la presenza nei log DNS di query verso i domini elencati negli IoC, inclusi i sottodomini
- CloudTrail monitoring: controllare eventi
ConsoleLoginda IP inusuali o da località geografiche anomale, soprattutto a ridosso delle date di campagna (16-19 giugno 2026) - Email gateway review: cercare email provenienti da SendGrid o Nimbu che contengano link con il parametro
input_24nell’URL - Credential review: se si sospetta compromissione, revocare immediatamente le sessioni AWS attive, ruotare le credenziali e abilitare notifiche di accesso non familiare
La sofisticazione di questo kit — targeting selettivo, bypass MFA in real-time, uso di infrastrutture email legittime — lo colloca in una categoria diversa rispetto al phishing di massa. Le organizzazioni che utilizzano AWS in ambienti enterprise dovrebbero trattare questa campagna come un rischio attivo, non come una minaccia teorica.