Una pagina di phishing generata direttamente nel browser, senza un sito web tradizionale da bloccare, e una catena di reindirizzamenti che sfrutta servizi Microsoft legittimi. È la tecnica individuata dai ricercatori di Barracuda Networks, che hanno analizzato una campagna progettata per rendere più difficile il rilevamento degli attacchi.
Il meccanismo si basa sui blob URL, indirizzi temporanei generati dal browser che consentono di accedere a contenuti creati localmente, anziché ospitati su un normale server web. In questo scenario, la pagina fraudolenta viene assemblata direttamente nella sessione della vittima, rendendo meno efficaci i controlli basati sull’individuazione e sul blocco di URL e domini malevoli.
La campagna sfrutta inoltre servizi Microsoft legittimi, tra cui Microsoft OAuth e Teams, per guidare l’utente attraverso una sequenza di passaggi apparentemente affidabili. L’attacco inizia con un’e-mail a tema DocuSign contenente un invito al calendario che contribuisce a far apparire il messaggio come una normale comunicazione aziendale. Un parametro di reindirizzamento conduce quindi a Microsoft Teams, che carica una risorsa esterna utilizzata per generare la pagina di phishing nel browser.
Service worker e iframe per controllare l’attacco
L’operazione non si limita alla visualizzazione di una pagina contraffatta. Secondo l’analisi di Barracuda, la campagna utilizza anche service worker, componenti del browser capaci di operare in background, e iframe isolati tramite sandbox per gestire le richieste e coordinare la navigazione. La comunicazione con l’infrastruttura remota permette inoltre agli aggressori di modificare dinamicamente il comportamento della pagina e le destinazioni del flusso di attacco.
Un ulteriore elemento critico è l’assenza di un indirizzo di phishing persistente da individuare e inserire preventivamente nelle liste di blocco. Poiché il contenuto viene generato all’interno del browser, gli strumenti che si basano prevalentemente sull’analisi degli URL possono incontrare maggiori difficoltà nel riconoscere la minaccia.
«Questa campagna dimostra come il phishing si stia evolvendo oltre i falsi siti web e i domini sospetti, riducendo l’efficacia di molti degli indicatori sui quali i team di sicurezza hanno tradizionalmente fatto affidamento per il rilevamento», afferma Ashitosh Deshnur, Associate Threat Analyst di Barracuda.
Dall’analisi degli URL al rilevamento comportamentale
La campagna evidenzia la necessità di affiancare ai tradizionali controlli sugli indirizzi web un’analisi più ampia del comportamento degli attacchi. Monitorare le catene di reindirizzamento, le attività anomale del browser e i flussi di autenticazione può aiutare a individuare tentativi di phishing che sfruttano infrastrutture legittime e contenuti generati dinamicamente.
Per le organizzazioni, la sfida è quindi riconoscere non soltanto dove conduce un collegamento, ma anche quali operazioni vengono eseguite durante la navigazione. In campagne di questo tipo, infatti, la pagina fraudolenta potrebbe non esistere mai come sito web tradizionale accessibile e analizzabile separatamente dal browser della vittima.
https://blog.barracuda.com/2026/09/09/browser-based-phishing-blob-urls-microsoft-redirects
