GhostProfile sfrutta Chrome DevTools e WebDriver BiDi per rubare sessioni attive su macOS; la scoperta è stata arricchita da recenti ricerche AI su vulnerabilità kernel Linux.
Nel mese di ottobre, Moonlock Lab ha pubblicato la prima analisi di GhostProfile, un malware progettato per macOS che crea copie nascoste dei profili dei browser (Chrome, Firefox, ecc.) e ne mantiene intatte le sessioni autenticate. L’obiettivo è consentire a un attaccante di navigare sul web come se fosse l’utente legittimo, senza che quest’ultimo noti alcuna anomalia. La tecnica si basa su protocolli di automazione legittimi – Chrome DevTools Protocol (CDP) e WebDriver BiDi – deviati per controllare in remoto un browser clonato.
Questa catena di attacco è più sofisticata rispetto al classico credential‑theft: non è necessario rubare password, ma basta che la vittima abbia una sessione attiva. Inoltre, l’attività avviene in una finestra separata e invisibile, rendendo difficile il rilevamento da parte dell’utente medio.
Moonlock Lab ha indicato che il campione analizzato è probabilmente FUD (Fully Undetected) su alcuni antivirus, ma la conferma è ancora preliminare. Non sono stati rilasciati indicatori di compromissione (hash, C2), né dettagli sulla struttura della rete di comando e controllo. La ricerca è in corso per capire se GhostProfile includa moduli di persistence o lateral movement su macOS.
Mentre GhostProfile colpisce macOS, un’altra scoperta recente evidenzia come l’intelligenza artificiale stia accelerando la ricerca di vulnerabilità critiche. Il team di Tencent Zhuque Lab ha identificato una falla nel sottosistema vhost del kernel Linux, denominata Vghost (CVE‑2026‑74580). La vulnerabilità consente a un utente locale – o a una VM non affidabile – di leggere e scrivere arbitrariamente in memoria kernel, ottenendo privilegi di root.
Questa notizia è rilevante per il contesto di GhostProfile perché evidenzia una tendenza emergente: l’uso di tecnologie avanzate (AI, protocolli di debug) sia da parte dei ricercatori che degli attaccanti. Mentre GhostProfile sfrutta CDP e WebDriver BiDi, Vghost sfrutta una debolezza di gestione della memoria a livello di kernel. Entrambi i casi mostrano come funzionalità legittime possano diventare vettori di attacco quando non adeguatamente protette.
--remote-debugging-port=0 quando non servono.de845981da67 (disponibile nelle versioni stabili di Red Hat, Amazon Linux, Oracle Linux, Ubuntu 22.04+)./dev/vhost-net e /dev/vhost-vsock, limitandoli al gruppo kvm o a un gruppo di servizio dedicato.GhostProfile rappresenta una nuova frontiera del malware macOS, spostando il focus dal furto di credenziali al re‑use di sessioni autenticate tramite browser clonato. La scoperta dimostra come protocolli di sviluppo legittimi possano essere riutilizzati per scopi malevoli, richiedendo una revisione delle policy di debug e di accesso ai profili.
Parallelamente, la vulnerabilità Vghost nel kernel Linux, scoperta con l’aiuto di Corvus AI, sottolinea il ruolo crescente dell’intelligenza artificiale nella ricerca di vulnerabilità. Entrambi gli eventi evidenziano la necessità di defensive‑in‑depth, aggiornamenti tempestivi e una maggiore consapevolezza delle superfici di attacco introdotte da funzionalità avanzate.
Gli amministratori di sistemi e gli utenti finali dovrebbero adottare le contromisure suggerite, mantenere i software aggiornati e monitorare attentamente le attività di debug e di accesso a risorse sensibili. Solo così sarà possibile mitigare l’impatto di queste minacce emergenti e ridurre il rischio di compromissioni future.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.