Microsoft annuncia la fine del supporto per Windows 11 24H2 Home/Pro a ottobre 2026, mentre nuove operazioni USA svelano schemi di frode IT nordcoreani e un nuovo RAT, KGB RAT, emerge con capacità di evasione avanzate.
Microsoft ha recentemente reso nota la data di fine supporto per le edizioni Home e Pro di Windows 11 24H2, fissata per il 13 ottobre 2026. Dopo questa scadenza, questi sistemi operativi non riceveranno più aggiornamenti di sicurezza mensili né patch correttive, esponendo potenzialmente milioni di dispositivi a nuove minacce informatiche. Questa decisione, in linea con le politiche di supporto standard di Microsoft, rappresenta un avvertimento per gli utenti che non pianificano un aggiornamento tempestivo dei propri sistemi.
È importante notare che le edizioni Enterprise e Education della medesima versione 24H2 beneficeranno di un periodo di supporto esteso, fino a ottobre 2027. Questo differenziazione sottolinea l'impegno di Microsoft nel garantire stabilità e sicurezza a lungo termine per gli ambienti aziendali e accademici.
Per assicurare la continuità della protezione, Microsoft sta attivamente promuovendo l'adozione di Windows 11 26H2, conosciuto anche come Windows 11 2026 Update. Questo aggiornamento, disponibile da settembre tramite un enablement package, è la destinazione raccomandata per gli utenti che desiderano mantenere i propri sistemi sicuri. La distribuzione avviene gradualmente; gli utenti che hanno abilitato l'opzione "Ottieni gli ultimi aggiornamenti non appena sono disponibili" riceveranno l'aggiornamento automaticamente. Una volta installato, un singolo riavvio sarà sufficiente per completare la migrazione. La versione 26H2 offrirà supporto ufficiale per i consumatori fino a ottobre 2029.
La gestione dei cicli di vita dei sistemi operativi Microsoft si sta rivelando complessa. Oltre alla 24H2, Microsoft ha recentemente ricordato la scadenza imminente del supporto per le edizioni Enterprise, Education e IoT Enterprise di Windows 11 23H2. Parallelamente, anche Windows Server 2022 ha concluso il suo supporto mainstream, pur rimanendo coperto dal supporto esteso fino al 2031.
Un fattore aggiuntivo di pressione è la prossima rotazione dei certificati di Windows Update prevista per il prossimo anno. Microsoft ha avvertito che i dispositivi con versioni obsolete del sistema operativo potrebbero incontrare problemi significativi nel ricevere futuri aggiornamenti, rendendo l'aggiornamento una necessità tecnica oltre che una scelta di sicurezza.
Parallelamente alle questioni relative al ciclo di vita del software, nuove informazioni gettano luce su complessi schemi di frode IT orchestrati da attori legati alla Corea del Nord. Le autorità federali statunitensi hanno recentemente incriminato 14 persone e sequestrato circa 187 computer nell'ambito di un'operazione volta a smantellare una vasta rete di lavoratori IT nordcoreani che operavano da remoto, utilizzando identità rubate o falsificate. Secondo il Dipartimento di Giustizia (DOJ), questo schema, attivo dal 2019 al luglio 2025, ha permesso a ingegneri nordcoreani di lavorare per oltre 70 aziende, generando circa 3 milioni di dollari in pagamenti. L'operazione, denominata "Operation Lonestar Roundup" e tracciata anche come Famous Chollima, purpledelta e Wagemole, mira a interrompere flussi di entrate che il regime nordcoreano utilizzerebbe per finanziare i propri programmi di armamento.
Le indagini hanno rivelato l'esistenza di "laptop farm", ovvero residenze negli Stati Uniti dove facilitatori mantenevano online laptop aziendali per consentire agli ingegneri nordcoreani di accedervi dall'estero. Questi facilitatori, tra cui cittadini statunitensi e cinesi, venivano pagati per gestire i dispositivi, installare software di accesso remoto e persino partecipare a colloqui di lavoro o test antidroga al posto dei veri lavoratori nordcoreani. Due cittadini statunitensi, Michael James Bostelle e Juan Cecilio Pena Carrillo, sono stati arrestati, mentre altri rimangono latitanti.
Le tattiche si sono evolute per eludere i controlli di sicurezza. I lavoratori nordcoreani ora pagano cittadini statunitensi per svolgere compiti che vanno dalla partecipazione a colloqui alla gestione dei laptop aziendali. In alcuni casi, vengono assunti freelancer in altri paesi per svolgere effettivamente il lavoro, nascondendo ulteriormente l'origine delle operazioni. Sono state segnalate anche tattiche più aggressive, come la falsificazione di report di furto per ottenere spedizioni sostitutive di laptop e la rotazione di indirizzi residenziali per oscurare la destinazione finale dei dispositivi. Alcuni hanno persino falsificato hash di dispositivi per farli apparire come webcam.
Il DOJ ha sottolineato che queste operazioni non riguardano solo la frode, ma rappresentano un tentativo di infiltrazione da parte di un "regime ostile" nelle aziende americane, con potenziali implicazioni per la sicurezza nazionale. Nonostante gli sforzi delle forze dell'ordine, alcuni analisti ritengono che l'impatto di queste azioni possa essere limitato nel lungo termine, data la capacità del regime di adattarsi e spostare le proprie operazioni.
Nel panorama delle minacce informatiche, è emerso un nuovo malware denominato KGB RAT. Questo trojan di accesso remoto per Windows viene commercializzato come un legittimo software di amministrazione, ma in realtà combina funzionalità di sorveglianza, furto di credenziali e funzioni malevole configurabili. Un elemento distintivo di KGB RAT è il suo crypter integrato, pubblicizzato come capace di eludere le difese di Windows Defender. I ricercatori hanno identificato payload non offuscati, varianti offuscate e loader cifrati che ricostruiscono il malware durante l'esecuzione. Sebbene il crypter nasconda il payload sottostante, il RAT stesso esegue attività che possono essere individuate dal monitoraggio comportamentale.
Nonostante le tecniche di offuscamento e l'uso di dropper, Group-IB ha segnalato il rilevamento di campioni analizzati. La maggior parte dei campioni esaminati erano eseguibili .NET x86 scritti principalmente in VB.NET. L'analisi statica ha rivelato somiglianze con NjRAT 0.7D Lime Edition, suggerendo che KGB RAT riproponga capacità di una famiglia di malware commodity già esistente piuttosto che rappresentare una piattaforma completamente nuova. Le firme esistenti di NjRAT hanno infatti corrisposto alla famiglia analizzata.
Gli sviluppatori pubblicizzano aggiornamenti giornalieri del crypter, molteplici formati di payload e un generatore per produrre stub distinti per build successive. I formati di output supportati includono EXE, BAT, HTA e REG. Le pubblicità affermano anche la disabilitazione permanente di Defender e il bypass dell'antivirus, ma queste promesse vanno considerate separatamente dal comportamento osservato durante l'esecuzione.
Le tecniche di evasione di KGB RAT vanno oltre il semplice packing. I ricercatori hanno documentato controlli di macchine virtuali, rilevamento di strumenti di analisi, deoffuscamento a runtime e esecuzione ritardata. Un processo analizzato ha invocato un sonno di 600 secondi, potenzialmente superando le brevi finestre di osservazione delle sandbox. Altri controlli hanno esaminato caratteristiche hardware, stampanti, cronologia USB e attività utente per identificare ambienti artificiali.
Durante l'esecuzione osservata, il campione iniziale si è copiato e rilanciato come svchost.exe all'interno della directory temporanea dell'utente. La copia installata ha creato un'attività pianificata denominata ChromeUpdate, configurata per essere eseguita al logon e richiedere il massimo livello di privilegio disponibile. L'analisi di Group-IB collega il malware a NjRAT e documenta persistenza, keylogging, ricognizione e notifiche alle vittime tramite Telegram. La sua etichetta "fully undetectable" rimane una promessa di marketing, non una garanzia di immunità.
Il malware modifica anche le impostazioni di Explorer per sopprimere la visibilità dei file protetti e invoca PowerShell per aggiornare le finestre di Explorer aperte. Separatamente, i ricercatori hanno osservato la soppressione del controllo delle zone di sicurezza, illustrando come il RAT combini utility native di Windows con modifiche al registro per ridurre gli avvisi visibili e nascondere la sua installazione. Il pacchetto pubblicizzato include controllo nascosto del desktop tramite HVNC, accesso a webcam e microfono, recupero di password del browser e funzionalità ransomware, sebbene i moduli pubblicizzati non debbano essere considerati universalmente abilitati.
Le capacità di sorveglianza includono la raccolta di tasti premuti, screenshot, monitoraggio degli appunti e accesso alle credenziali. L'analisi a runtime ha catturato il polling di GetAsyncKeyState e l'accesso ai file del vault di Windows Credential Manager. KGB RAT separa l'esecuzione diretta dei comandi dagli avvisi dell'operatore. Una connessione TCP dedicata supporta il traffico di comando e controllo, mentre l'API Bot di Telegram fornisce notifiche di infezione contenenti informazioni sulla vittima. Il malware interroga anche ip-api[.]com per ottenere contesto geografico. Questi servizi legittimi sono infrastrutture abusate, non indicatori intrinsecamente malevoli. Un beacon intercettato ha esposto hostname, nome utente, dettagli del sistema operativo, stato di amministratore e informazioni sull'antivirus installato. I ricercatori hanno anche identificato la sostituzione configurabile degli appunti per le criptovalute, consentendo agli operatori di sostituire indirizzi di portafoglio controllati dall'attaccante durante le attività di pagamento.
Per i difensori, la connessione investigativa più forte è quella comportamentale: correlare l'esecuzione di svchost.exe nella directory temporanea, la creazione dell'attività ChromeUpdate, la manomissione del registro, il polling dello stato dei tasti e le comunicazioni in uscita inaspettate. Le scoperte di Group-IB dimostrano perché "FUD" dovrebbe descrivere il marketing criminale piuttosto che l'immunità dal telemetria degli endpoint, dall'ispezione della memoria, dall'estrazione della configurazione o dal rilevamento comportamentale sui sistemi aziendali monitorati.
L'interruzione del supporto per Windows 11 24H2 Home/Pro, la continua attività di schemi di frode IT legati alla Corea del Nord e l'emergere di malware sofisticati come KGB RAT sottolineano l'importanza critica di mantenere i propri sistemi operativi aggiornati. L'utilizzo di software non supportato espone gli utenti a rischi significativi, tra cui l'esecuzione di codice remoto, il furto di dati e infezioni da malware o ransomware che sfruttano vulnerabilità note (CVE).
Gli esperti di cybersecurity raccomandano vivamente di verificare la versione del proprio sistema operativo e di procedere all'aggiornamento a una versione supportata, come Windows 11 26H2, il prima possibile. Ignorare questi avvisi significa operare in un ambiente digitale vulnerabile, dove le protezioni contro le minacce emergenti non sono più garantite. La sicurezza informatica richiede vigilanza costante e l'adozione delle ultime misure protettive.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
