Una panoramica delle recenti minacce informatiche, che spaziano dallo sfruttamento di vulnerabilità critiche alla sofisticata guerra ibrida, passando per nuovi malware capaci di rubare criptovalute e terrorizzare le vittime.
Il panorama delle minacce informatiche è in costante evoluzione, presentando sfide sempre nuove per la sicurezza digitale. Le ultime settimane hanno visto emergere una serie di attacchi sofisticati, che sfruttano vulnerabilità note, impiegano tecniche innovative e mirano a infrastrutture critiche e dati sensibili.
Gruppi di ransomware come Qilin e Settra stanno attivamente sfruttando la vulnerabilità CVE-2026-0257. Questa falla, relativa a un bypass dell'autenticazione in PAN-OS GlobalProtect e Prisma Access di Palo Alto Networks, era stata resa nota a maggio 2026. La sua pericolosità risiede nella possibilità per gli attaccanti di infiltrarsi nelle reti aziendali attraverso il VPN legittimo dei dipendenti, rendendo difficile il rilevamento delle attività malevole. Una volta all'interno, gli aggressori possono procedere con il furto di credenziali, il movimento laterale, l'esfiltrazione di dati e, infine, il dispiegamento del ransomware. Gli esperti raccomandano un aggiornamento immediato dei sistemi affetti, la disattivazione delle funzionalità di override dei cookie di autenticazione non necessarie e la terminazione di tutte le sessioni GlobalProtect attive dopo l'applicazione delle patch, oltre a un'indagine approfondita su connessioni sospette.
In parallelo, si osserva un'escalation nell'uso della guerra ibrida da parte della Russia in Europa, in seguito all'invasione su larga scala dell'Ucraina. Questo tipo di conflitto non si limita a scontri militari diretti, ma impiega un complesso insieme di tattiche psicologiche, informatiche e fisiche. Gli obiettivi includono il test delle capacità difensive dell'avversario, il degrado delle infrastrutture critiche e la semina di un clima di paura tra governi e popolazioni, al fine di comprometterne la capacità di risposta. Questo approccio asimmetrico rappresenta una minaccia significativa per la stabilità regionale.
Una nuova e preoccupante tecnica di furto di criptovalute è stata analizzata da Infoblox. Un kit di strumenti, denominato "Noir", sfrutta i record DNS TXT per localizzare i server malevoli ospitati su Cloudflare Pages. Il malware viene distribuito tramite un loader che interroga i record TXT attraverso servizi DoH (DNS over HTTPS) pubblici per identificare il pool di backend attivo. La particolarità di questo attacco è che il drainer non richiede seed phrase, password o chiavi private. Dopo aver ottenuto i permessi di lettura iniziali, personalizza il contenuto per l'utente, elabora un piano specifico per il wallet e ottiene i permessi di spesa in modo che appaiano meno sospetti di un trasferimento diretto, eseguendo il furto da infrastrutture controllate dagli attaccanti. Si sospetta che lo sviluppo di questo malware sia stato assistito dall'intelligenza artificiale.
Nel campo dei malware, è emerso un nuovo trojan di accesso remoto (RAT) basato su Rust, denominato CikaBika Bot. Viene distribuito tramite esche documentali contenenti file LNK malevoli e PDF con payload incorporati. Questo malware utilizza un loader Nim, un bypass UAC (User Account Control) tramite PowerShell e tecniche di DLL search-order hijacking. Per la comunicazione con il server di comando e controllo (C2), l'esecuzione di comandi remoti e l'esfiltrazione di dati, sfrutta Discord e ngrok. Tra le sue funzionalità rientrano anche la cattura di screenshot e il trasferimento di file.
Un altro RAT per Windows, denominato KGB RAT, è stato osservato in vendita su forum underground dalla fine del 2025. Promosso come "totalmente indetectabile", include un crypter integrato, funzionalità HVNC (Hidden Virtual Network Computing), furto di credenziali, capacità ransomware e un insolito set di funzioni di molestia psicologica. Queste ultime includono "screamer", "jump scare" e la simulazione di schermate blu di errore (Blue Screen of Death), descritte dagli stessi sviluppatori come "impostazioni divertenti". Questo approccio segnala attori malevoli che non esitano a sfruttare l'ansia delle vittime oltre al furto di dati. Le prime tracce di un server KGB RAT risalgono al gennaio 2022, indicando anni di sviluppo e test prima della commercializzazione.
Infine, è stato documentato un RAT basato su .NET, precedentemente sconosciuto, con capacità di sorveglianza live dello schermo, distribuito attraverso una catena di infezione multi-stadio su Windows, denominato provvisoriamente BotHelp.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
