Falsi solleciti di pagamento, quando la truffa arriva via PEC

Di attacchi condotti con MintsLoader abbiamo scritto già all’inizio dell’anno. Torniamo a farlo oggi perché il Computer Emergency Response Team di Agenzia per l’Italia Digitale ha pubblicato un nuovo avviso, relativo a falsi solleciti di pagamento inviati alle aziende con l’obiettivo di diffondere malware. Vediamo di cosa si tratta, come riconoscere il pericolo ed evitarlo.

MintsLoader nelle PEC con le false fatture

La campagna analizzata sfrutta caselle PEC compromesse, un po’ come avvenuto con la recente violazione di Revolut. Il messaggio che arriva si presenta con un oggetto come Fattura non pagata: richiesta immediato riscontro, ma ne stanno circolando diversi, anche Sollecito pagamento fattura scaduta, Promemoria fattura in sospeso e Posizione contabile irregolare: richiesta pagamento. Il corpo recita poi così.

Buongiorno [NOME AZIENDA] con sede in [INDIRIZZO], P. IVA [NUMERO], con la presente desideriamo ricordarvi il saldo relativa alla vs. n. 2025/15, emessa in data 4/02/2026, per un importo complessivo di € 2.2423,82.

La presenza di un refuso nel testo (relativa) dovrebbe far suonare il primo campanello d’allarme. Vale quanto detto prima anche per degli spazi di troppo.

Alleghiamo di nuovo per comodità  la fattura. Ad oggi, il pagamento non risulta effettuato  e vi chiediamo cortesemente di regolarizzare la posizione nel più breve tempo possibile . Qualora il pagamento fosse già stato effettuato, vi invitiamo a non tenerne conto e inviarci eventuale ricevuta .

C’è poi una minaccia nemmeno troppo velata, quella di ricorrere a vie legali, così da sollecitare un’azione.

In assenza di riscontro entro questa settimana, ci riserviamo di procedere per vie ufficiali . Restiamo a disposizione per ogni eventuale chiarimento.

Il messaggio si conclude con una firma inventata, fittizia. Potrebbero circolarne parecchie varianti.

Con osservanza , Patrizio Ferretti

L’obiettivo non è quello di ottenere il denaro, ma di spingere la potenziale vittima a scaricare il file allegato, un archivio ZIP da pochi kB con nome riconducibile a una fattura o a un documento amministrativo. Al suo interno c’è un file HTML che, una volta aperto, si mette in contatto con l’infrastruttura gestita da chi ha organizzato l’attacco e scarica un JavaScript, dando il via all’infezione. È la dinamica tipica di un payload, non a caso la minaccia si chiama MintsLoader.

Il JavaScript viene quindi eseguito attraverso componenti presenti normalmente nei sistemi Windows e avvia ulteriori stadi basati anche su PowerShell. La catena porta all’esecuzione di MintsLoader, un loader utilizzato per scaricare e avviare altri malware sul sistema compromesso.

I malware così distribuiti sono di tipo RAT (Remote Access Trojans) o stealer. Il consiglio è ovviamente di prestare attenzione e diffidare da richieste simili, anche se provenienti da caselle PEC.