Lo scorso dicembre, in India, oltre milleseicento aziende hanno ricevuto la stessa mail. Mittente: Income Tax Department, l’Agenzia delle Entrate indiana. Oggetto: una verifica fiscale in corso, con allegato un elenco di presunte violazioni. Il PDF dentro la mail conteneva due link cliccabili. Chi li ha aperti ha scaricato un archivio compresso che sembrava un documento ufficiale.
Non lo era. Era l’inizio di una catena di infezione costruita da un gruppo APT cinese chiamato Silver Fox, che a gennaio 2026 ha ripetuto la stessa operazione contro le aziende russe. Stesse esche fiscali, stessa identica meccanica, solo con il mittente travestito da autorità tributaria locale. I settori più colpiti: industria, consulenza, retail, trasporti. Esattamente il tessuto produttivo che in Italia chiamiamo “PMI manifatturiera”.
Per ora la lista dei paesi presi di mira non include l’Italia. Però quando vedo un’alluvione in un altro paese cerco sempre di capire quali argini hanno retto e quali no, perché quelle stesse acque prima o poi possono arrivare a casa mia. E gli argini che dobbiamo costruire per il phishing fiscale aziende italiane sono esattamente quelli che a Mumbai e Mosca hanno ceduto.
Il manuale di Silver Fox in tre mosse
La campagna di Silver Fox è interessante non per quello che fa (rubare credenziali, esfiltrare documenti, controllare a distanza i PC delle vittime) ma per come lo fa. Tre tecniche combinate, ognuna pensata per scivolare attraverso le difese tradizionali.
Prima mossa: un loader scritto in Rust. Il loader è il programma che apre la porta agli altri malware. Storicamente i loader sono scritti in linguaggi che gli antivirus conoscono molto bene (C, C++, .NET) e per i quali esistono migliaia di firme di rilevamento. Rust è un linguaggio di programmazione moderno, nato per produrre software sicuro e veloce, ma con un effetto collaterale interessante per i criminali: i suoi binari sono difficili da analizzare e poco frequentati dai database delle firme antivirus. Gli AV tradizionali, basati su confronto con firme statiche conosciute, faticano a vedere cosa c’è dentro. Silver Fox ha preso un loader Rust open source disponibile pubblicamente su GitHub, lo ha personalizzato aggiungendo moduli proprietari, e lo ha trasformato nella sua chiave inglese.
Seconda mossa: il geofencing. Letteralmente “recinto geografico”. Prima di eseguire qualunque azione malevola, il loader controlla in che paese si trova il computer infetto. Lo fa interrogando cinque diversi servizi pubblici di geolocalizzazione IP. Se il paese non è nella lista degli obiettivi (India, Russia, Indonesia, Sudafrica, Cambogia, e da gennaio anche il Giappone), il programma non fa nulla e si chiude. È una mossa furba per due ragioni. La prima è che le sandbox dei laboratori antivirus occidentali, dove i campioni sospetti vengono fatti “esplodere” in ambiente controllato per studiarli, hanno IP americani o europei: il malware semplicemente non si attiva, e gli analisti non vedono cosa farebbe in un ambiente reale. La seconda è che riduce il “rumore” telemetrico fuori dai paesi bersaglio, ritardando la scoperta della campagna.
Terza mossa: una backdoor scritta in Python. Una backdoor è una porta di servizio nascosta che permette all’attaccante di tornare dentro il sistema infetto quando vuole. Quella di Silver Fox si chiama ABCDoor (il nome viene dai sottodomini “abc” che usa per i suoi server di comando) ed è scritta in Python. Il colpo di genio è dove gira: dentro pythonw.exe, l’interprete Python ufficiale, un eseguibile firmato Microsoft, presente o installabile in moltissime aziende perché serve a far funzionare software legittimi. Dal punto di vista del sistema operativo, ABCDoor è solo “uno script Python che gira dentro Python”. Gli antivirus che bloccano gli eseguibili sconosciuti non hanno niente da bloccare: l’eseguibile è legittimo, il malevolo è il contenuto. Una volta dentro, ABCDoor può fare screenshot continui, registrare tasti e mouse, rubare gli appunti, gestire file, e mantenere un canale di comunicazione cifrato con i server cinesi.
Perché l’Italia è prossima nella lista
Tre indizi convergenti suggeriscono che il modello operativo arriverà presto da queste parti.
Il primo è che le esche fiscali in Italia funzionano benissimo. Il CERT-AGID, l’agenzia che monitora gli attacchi al perimetro italiano, rileva ogni settimana circa 90 campagne di phishing dirette specificamente al nostro paese. Il tema “Agenzia delle Entrate” è uno dei più ricorrenti: solo nell’aprile 2026 il CERT-AGID ha emesso un’allerta su una campagna mirata contro Pubbliche Amministrazioni e aziende private che impersonava Agenzia delle Entrate-Riscossione per rubare credenziali SPID e account istituzionali. Una mail con loghi familiari, scadenze ravvicinate, riferimenti a una cartella di pagamento: chi lavora in amministrazione, in contabilità, in un piccolo studio di commercialisti la apre quasi automaticamente. È la prima carta che gli APT pesca quando vuole costruire un’esca credibile per il phishing fiscale aziende italiane.
Il secondo è che il modello Silver Fox è esportabile. Le tre tecniche che ho descritto sopra non sono un brevetto cinese: sono pubbliche, documentate da Kaspersky, replicabili da chiunque abbia un minimo di capacità di sviluppo. Il loader RustSL è su GitHub. La tecnica del geofencing è banale da implementare. Python è installato ovunque. Aspettarsi che nessun altro gruppo prenda il manuale e lo applichi all’Italia è ingenuo.
Il terzo è la supply chain. Silver Fox a Mumbai e Mosca ha colpito industria, consulenza, retail, trasporti. Quel mix di settori in Italia è esattamente il bacino che fornisce servizi e componenti a infrastrutture critiche dentro il perimetro NIS2. Una PMI manifatturiera di provincia che produce sottoinsiemi per il settore energetico o per la difesa è oggi un bersaglio indiretto interessante: bucare lei per arrivare al cliente grande è più facile che attaccare il cliente grande direttamente.
Quali argini reggono davvero la PMI italiana
La protezione dal phishing fiscale aziende non si compra in un pacchetto unico. Si costruisce a strati, ognuno pensato per fermare quello che lo strato precedente potrebbe non vedere.
Sul perimetro, il primo argine è un firewall di nuova generazione che ispeziona davvero il traffico, non solo le intestazioni dei pacchetti. Nei progetti che facciamo in Kaos Informatica usiamo SonicWall con il servizio Capture ATP attivato: gli allegati sospetti che arrivano via mail o vengono scaricati dal web vengono fatti “detonare” in una sandbox cloud (un ambiente isolato dove il file viene eseguito davvero e si osserva cosa prova a fare) prima di lasciarli entrare in azienda. Un loader Rust sconosciuto che proverebbe a contattare cinque servizi di geolocalizzazione e a scaricare un payload da un dominio mai visto prima, in sandbox lascia tracce comportamentali inequivocabili anche se nessun antivirus ha mai visto quella firma.
Sull’endpoint, l’argine è un EDR (Endpoint Detection and Response) che ragiona per comportamento, non per firma. Sui computer dei clienti installiamo SonicWall Capture Client, che unisce il motore di analisi comportamentale SentinelOne con la stessa sandbox Capture ATP attiva anche sul perimetro. La logica è semplice: se un loader passa il firewall perché arriva attraverso un canale cifrato che il perimetro non può ispezionare, l’EDR sull’endpoint vede comunque le azioni anomale (un processo che interroga servizi di geolocalizzazione, un pythonw.exe che apre canali di rete cifrati verso domini mai contattati prima, scritture nel registro di sistema in posizioni inusuali) e blocca l’esecuzione prima che la backdoor si attivi. Avere Capture ATP attiva su entrambi i livelli (perimetro ed endpoint) significa che un file sconosciuto viene analizzato due volte da angoli diversi, e basta che si tradisca su uno dei due per essere fermato.
Poi c’è la parte che nessuna tecnologia copre da sola: il fattore umano. Una formazione anti-phishing concreta, con esempi realistici di mail fiscali contraffatte e simulazioni periodiche, riduce drasticamente la probabilità che qualcuno clicchi su un PDF allegato che chiede di aprire un archivio. Non è la formazione “obbligatoria di un’ora all’anno” che ognuno fa scorrendo le slide su un altro monitor: è un esercizio ripetuto, con feedback specifici a chi sbaglia, perché la prossima esca fiscale che arriverà in casella sarà più credibile di quella di oggi.
Quello che possiamo imparare dall’alluvione di Mumbai
La cosa che mi colpisce di più della campagna Silver Fox non è la sofisticazione tecnica: Rust, geofencing, Python in pythonw.exe sono trucchi raffinati ma non rivoluzionari. È la pazienza con cui il gruppo ha costruito il manuale e la velocità con cui lo sta replicando da un paese all’altro. Dicembre India, gennaio Russia, ondate successive che hanno aggiunto il Giappone alla lista dei paesi bersaglio. La macchina è oliata e cerca solo nuovi argini da provare.
Quando arriverà in Italia, e arriverà, l’unica differenza che farà la differenza sarà se al momento dell’impatto avremo già rinforzato gli argini giusti o se staremo ancora pensandoci. Studiare oggi quello che è successo a Mumbai non è curiosità da addetti ai lavori: è il modo più economico che abbiamo di prepararci a quello che succederà a Torino, a Brescia, a Vicenza.
Se vuoi capire quali argini reggono davvero nella tua azienda, parliamone.
🧩 Kaos Informatica ti può aiutare
Se vuoi, Kaos Informatica può aiutare la tua azienda a:
✅ Analizzare come vengono filtrati gli allegati in arrivo
✅ Attivare l’analisi comportamentale su tutti gli endpoint
✅ Addestrare l’amministrazione a riconoscere le esche fiscali
Contattaci e parliamone insieme
