Gli hacker russi prendono di mira i siti web dello Stato rumeno il giorno delle elezioni

Un gruppo di hacktivisti legato alla Russia, noto come NoName057(16), ha rivendicato la responsabilità degli attacchi informatici su diversi siti web rumeni nel fine settimana, mentre gli elettori si recavano alle urne per eleggere un nuovo presidente.

Tra gli obiettivi degli attacchi DDoS (Distributed Denial of Service) c'erano i siti web ufficiali del Ministero degli Affari Esteri, del governo rumeno, della Corte Costituzionale e di diversi candidati alla presidenza.

La Direzione Nazionale per la Sicurezza Informatica (DNSC) della Romania ha confermato gli attacchi, affermando che i siti web interessati sono stati ripristinati. Gli attacchi DDoS in genere inondano di traffico i siti presi di mira, rendendoli irraggiungibili.

NoName057(16) è stato creato all'inizio dell'invasione russa dell'Ucraina nel 2022 ed è noto per aver orchestrato attacchi DDoS relativamente semplici e di breve durata con l'aiuto di centinaia di volontari. Il gruppo ha preso di mira principalmente paesi europei, tra cui Polonia, Repubblica Ceca, Lituania e Italia.

La scorsa settimana il gruppo ha attaccato diverse organizzazioni olandesi ed europee come ritorsione per il sostegno militare fornito dai Paesi Bassi all'Ucraina.

In una dichiarazione rilasciata domenica, NoName057 ha affermato di aver effettuato una "sorpresa DDoS" in Romania il giorno della ripetizione delle elezioni.

A dicembre, la Corte costituzionale rumena ha annullato il primo turno delle elezioni presidenziali dopo che dati di intelligence desecretati avevano rivelato che l'interferenza russa, tra cui una sofisticata campagna di guerriglia su TikTok e altri siti di social media, aveva influenzato i risultati.

Il vincitore della replica di domenica, George Simion, è il leader di estrema destra dell'Alleanza per l'Unione dei Romeni (AUR). Si oppone agli aiuti militari all'Ucraina ed è alleato del presidente degli Stati Uniti Donald Trump.

Secondo quanto riportato dai media, la campagna di Simion pubblicava decine di video su TikTok ogni giorno, molti dei quali girati in zone rurali. La campagna ha ricevuto anche il sostegno di pagine di meme e influencer nazionalisti, contribuendo ad amplificare il suo messaggio tra gli elettori più giovani.

https://therecord.media/hackers-target-romanian-websites-election

Hacker filorussi rivendicano la responsabilità della grave interruzione di corrente in Spagna e Portogallo

Rabat — Due gruppi di "hacktivisti" informatici filo-russi, Dark Storm Team e NoName057, hanno rivendicato la responsabilità della grave interruzione di corrente che ha colpito lunedì Spagna e Portogallo.

Il gruppo "The Dark Storm" si è rivolto a X per rivendicare la responsabilità congiunta del grave blackout che ha colpito Spagna e Portogallo: "Oggi [lunedì], noi e il team NoName057 siamo riusciti a interrompere l'elettricità in alcuni paesi della NATO". Hanno anche pubblicato una foto criptica con un elenco di URL di ministeri portoghesi.

L'Ufficio Nazionale per la Sicurezza Informatica spagnolo ha precedentemente negato qualsiasi attacco informatico alla base del blackout elettrico in Spagna, ma questo nuovo sviluppo suscita allarme. Se venisse dimostrato che il blackout è stato causato direttamente dall'attacco informatico, potrebbe trattarsi di uno dei più grandi attacchi a siti civili in Europa.

Le autorità spagnole negano che si sia trattato di un attacco informatico

Nonostante l'allarme crescente suscitato dal messaggio degli hacker, la prima valutazione del blackout che ha colpito Spagna e Portogallo ha evidenziato che non vi era alcun attacco informatico dietro la grave interruzione di corrente. Il gestore della rete elettrica spagnola REE (REDE.MC) avrebbe escluso una violazione della sicurezza informatica come causa dell'interruzione di corrente in Spagna.

In una conferenza stampa, Eduardo Prieto, responsabile delle operazioni di sistema di REE, ha affermato che il sistema elettrico del suo Paese ha subito un duro colpo, con conseguente perdita di produzione nella Spagna sud-occidentale.

Il blackout ha causato instabilità nel sistema elettrico spagnolo, causandone la disconnessione dalla rete francese. Ha poi aggiunto con cautela che l'interruzione era probabilmente dovuta al danneggiamento di un generatore solare.

Nel frattempo, l'Alta Corte spagnola ha dichiarato che, nonostante ciò, sta indagando attentamente sull'interruzione di corrente per scoprire se sia dovuta a un potenziale attacco terroristico. Il Primo Ministro spagnolo Pedro Sánchez ha osservato che il suo governo non ha escluso alcuna ipotesi.

"Non dobbiamo affrettarci a trarre conclusioni e a commettere errori per fretta", ha affermato oggi Sanchez, aggiungendo che il suo governo indagherà sulla questione per scoprire la causa di "ciò che è accaduto in quei cinque secondi".

Cosa succederebbe se si trattasse di un attacco informatico?

Il post degli hacktivisti su X solleva diverse domande. L'espressione "tagliare l'elettricità in alcuni paesi della NATO" potrebbe significare che, se dimostrato, l'attacco potrebbe essere parte di un piano più ampio che prende di mira i paesi della NATO attraverso attacchi informatici.

Se l'indagine dell'Alta Corte spagnola dovesse dimostrare che l'interruzione di corrente è dovuta a un attacco informatico orchestrato da hacktivisti filo-russi, allora potrebbe essere imminente una guerra informatica.

Cosa è successo esattamente durante il blackout?

Quella che oggi viene definita una delle peggiori interruzioni totali della storia recente dell'Europa ha causato instabilità nei due Paesi europei.

Il massiccio blackout elettrico ha causato lunedì la paralisi degli orari dei voli, distorsioni dei sistemi metropolitani, interruzioni delle comunicazioni mobili e la chiusura degli sportelli bancomat in tutta la penisola iberica.

Secondo il gestore elettrico nazionale Red Eléctrica, la Spagna ha ripristinato oltre il 99% del suo fabbisogno di elettricità entro le 7 di questa mattina, ora locale.

Nel frattempo, tutte le 89 sottostazioni elettriche sono tornate operative e l'energia elettrica è stata ripristinata per tutti i 6,4 milioni di clienti entro lunedì sera, consentendo il ripristino dei servizi essenziali, ha affermato il gestore della rete elettrica portoghese REN.

Il primo ministro spagnolo Pedro Sánchez ha ringraziato sia la Francia sia il Marocco per il ruolo fondamentale svolto nel ripristino dell'elettricità nel suo Paese dopo il massiccio e senza precedenti blackout.

Anche l'operatore di telecomunicazioni marocchino Orange è stato colpito dall'interruzione di corrente, con conseguenti ripercussioni sulla connettività delle persone in tutto il Paese nordafricano.

https://www.moroccoworldnews.com/2025/04/195208/pro-russian-hackers-claim-responsibility-for-major-power-outage-across-spain-portugal/

L'Iran afferma di aver fermato un grande attacco informatico alle infrastrutture del paese

L'Iran afferma di aver fermato un grande attacco informatico sulle infrastrutture del paese

L'Iran ha respinto un attacco informatico "diffuso e complesso" che ha preso di mira le infrastrutture del paese domenica, secondo un alto funzionario che ha parlato con l'agenzia di stampa Tasnim, collegata al Corpo rivoluzionario islamico.

L'incidente, che non è stato descritto in dettaglio,

è stato rivelato da Behzad Akbari, il capo della società di infrastrutture di telecomunicazione del governo (TIC).

"È stato identificato uno degli attacchi informatici più diffusi e complessi contro le infrastrutture del paese e sono state prese misure preventive", ha detto Akbari. Il TIC non ha risposto immediatamente a una richiesta per ulteriori informazioni.

L'incidente informatico si è verificato un giorno dopo una grande esplosione a Shahid Rajaei, il più grande porto commerciale del paese, che ha ucciso almeno 28 persone e ferito in altre 800, secondo le autorità. La causa non è stata confermata. Non vi è alcuna indicazione che fosse collegato a qualsiasi operazione informatica.

La consulenza a rischio marittimo Ambrey Intelligence ha affermato che l'esplosione è stata causata dalla "gestione impropria di una spedizione di combustibili solidi destinati all'uso nei missili balistici iraniani" che era stato importato dalla Cina, sebbene il ministero della difesa iraniano abbia negato tali rapporti.

Viene tra i negoziati in corso tra Iran e Stati Uniti sul controverso programma nucleare della Repubblica islamica, tra i timori che il paese cercherebbe di arricchire l'uranio ai livelli che potrebbero permettergli di creare un'arma nucleare.

L'Iran ha affrontato diversi attacchi informatici notevoli negli ultimi anni,

Compresi quelli che colpiscono il sistema di alimentazione del paese nel 2021 e un acciaio nel giugno 2022, entrambi rivendicati da un gruppo che si chiamava predatorio che affermava che i suoi attacchi erano "effettuati attentamente per proteggere individui innocenti".

Mentre il gruppo di passero predatorio si descrive come composto da dissidenti,

L'attacco al mulino d'acciaio sembrava essere condotto con sofisticata pianificazione operativa al fine di evitare qualsiasi perdita di vite umane, spingendo la speculazione che fosse sponsorizzato da un'agenzia statale straniera con un processo di gestione del rischio.

Funzionari iraniani hanno incolpato gli Stati Uniti e Israele per lo attacco informatico del 2021 sui sistemi di alimentazione dell'Iran,

senza fornire alcuna prova. All'epoca il capo della difesa civile del paese, Gholamreza Jalali, disse alla televisione di stato: "Non siamo ancora in grado di dire forense, ma analiticamente credo che sia stato realizzato dal regime sionista, dagli americani e dai loro agenti".

Jalili ha detto di credere agli Stati Uniti

E Israele era dietro un attacco informatico mirato all'infrastruttura elettronica dell'autorità portuale di Shahid Rajaei nel 2020, sebbene di nuovo senza fornire prove. Si ritiene che gli Stati Uniti e Israele abbiano collaborato su The Stuxnet Worm, che è stato scoperto nel 2010, progettato per sabotare il programma nucleare dell'Iran.

https://therecord.media/iran-cyberattack-national-infrastructure

IBM chiede: come si sta evolvendo il panorama della sicurezza informatica?

IBM ha pubblicato il suo "IBM X-Force 2025 Threat Intelligence Index", evidenziando il vasto aumento della portata, della sofisticatezza e della furtività degli attacchi informatici.

I criminali informatici continuano a modificare il loro approccio, elaborando attacchi sofisticati e basati sull'identità che sfruttano credenziali rubate e accessi legittimi.

Questo cambiamento sta avendo un impatto trasformativo sul più ampio panorama informatico, con attacchi guidati dall'intelligenza artificiale e orientati alle campagne che stanno diventando sempre più difficili da rilevare.

Alla luce di ciò, IBM ha pubblicato il suo "IBM X-Force 2025 Threat Intelligence Index", sottolineando la necessità di modernizzare le strategie di difesa informatica in un contesto di aumento degli attacchi incentrati sull'identità e alimentati dall'intelligenza artificiale.

Fornisce ai difensori informazioni concrete per proteggere, adattarsi e anticipare fin da oggi le minacce di domani.

IBM non solo si impegna a fornire alle organizzazioni informazioni aggiornate su come, dove e perché si verificano gli attacchi, ma incoraggia anche i CISO a implementare architetture zero trust e a investire nel consolidamento delle identità per promuovere la resilienza collettiva.

IBM afferma: "Il modello è familiare. Le organizzazioni dedicano risorse sempre crescenti per rilevare le minacce, proteggere le reti e prevenire interruzioni. E nonostante ciò, gli attacchi informatici continuano a crescere in termini di portata, velocità e sofisticazione.

Ma negli ultimi 18-24 mesi si è verificato un netto cambiamento nelle tattiche. Gli autori delle minacce stanno portando avanti campagne su larga scala, dimostrando un livello di coordinamento, automazione e competenza mai visto prima, e aumentando la probabilità e l'impatto associati ai rischi operativi.

"A differenza degli incidenti del passato, in cui le violazioni dei dati e i danni alla reputazione erano la preoccupazione maggiore, l'interruzione generalizzata delle attività aziendali è ora una possibilità reale, un problema di cui ogni consiglio di amministrazione deve essere consapevole e su cui deve intervenire".

IBM pubblica il suo indice IBM X-Force 2025 Threat Intelligence (Credito: IBM)

L’importanza delle intrusioni basate sull’identità

Il rapporto di IBM indica le istruzioni basate sull'identità come una delle minacce alla sicurezza informatica più importanti e in rapida crescita .

Gli attacchi basati sull'identità rappresentano il 30% delle intrusioni totali segnalate. Queste intrusioni hanno utilizzato credenziali di account valide, rendendolo uno dei due principali metodi di accesso iniziale, insieme allo sfruttamento delle applicazioni accessibili al pubblico.

Questo aumento degli attacchi basati sull'identità è dovuto in gran parte all'aumento delle e-mail di phishing che veicolano malware infostealer, in crescita dell'84% su base annua.

Gli infostealer sottraggono credenziali e poi le vendono o le utilizzano direttamente in attacchi successivi.

Punti chiave del rapporto IBM: Gli attori della minaccia stanno aggiungendo l'intelligenza artificiale alle loro cassette degli attrezzi

La regione Asia-Pacifico ha registrato un aumento del 13% degli attacchi

Per quattro anni consecutivi, il settore manifatturiero è stato il primo obiettivo di ricerca

Gli attacchi basati sull'identità costituiscono il 30% delle intrusioni totali

Il ransomware rappresenta il 28% dei casi di malware

Il 25% degli attacchi sfrutta le applicazioni pubbliche

Gli attacchi si basano anche su campagne di phishing delle credenziali, incoraggiando gli utenti a falsificare i portali di accesso per ottenere le credenziali di accesso.

Gli autori delle minacce sfruttano i punti deboli causati dall'espansione delle organizzazioni su infrastrutture cloud e ibride e creano lacune nella gestione delle identità, per ottenere accessi non autorizzati senza attivare avvisi di sicurezza.

Il rapporto IBM evidenzia che l'identità è diventata il nuovo campo di battaglia. Gli attacchi sfruttano sempre più il comportamento umano, le lacune nell'autenticazione e la cattiva gestione degli accessi.

Le organizzazioni devono pertanto modernizzare le proprie strategie di identità e proteggere le credenziali su larga scala per gestire l'uso di credenziali rubate dai criminali informatici.

Evoluzione e resilienza del ransomware

IBM sottolinea il ruolo mutevole del ransomware nell'attuale panorama delle minacce informatiche. Sebbene il volume complessivo degli incidenti che coinvolgono il ransomware sia in calo, le tattiche, la resilienza e l'impatto degli autori del ransomware stanno diventando più persistenti e complessi.

Poco più di un quarto (28%) di tutti gli incidenti malware ha coinvolto ransomware, rendendolo la categoria più numerosa tra i tipi di malware.

Tuttavia, IBM sottolinea che il volume degli incidenti ransomware è diminuito per il terzo anno consecutivo. Ciò è dovuto agli interventi delle forze dell'ordine, al rafforzamento delle capacità difensive e alla riluttanza delle organizzazioni a pagare i riscatti.

Il ransomware continua a prosperare nei forum underground, con un'attività correlata sul dark web in aumento del 25% su base annua. Famiglie di ransomware di alto profilo come Lockbit3, Clop e RansomHub sono state le più attive in base alle menzioni sul dark web.

Il ransomware più diffuso in termini di volume di eventi nel dark web (Credito: IBM)

Gli autori delle minacce stanno adottando tattiche multi-estorsive, tra cui la vergogna pubblica, il furto di dati e le minacce di rilascio. Tutte queste strategie mirano a spingere le vittime a pagare.

I gruppi ransomware hanno adottato strategie multipiattaforma per colpire di default gli ambienti Linux, Windows ed ESXi.

L'ecosistema del ransomware rispecchia i modelli SaaS commerciali, con un'infrastruttura basata sul concetto di crimine come servizio che consente anche ad aggressori poco qualificati di lanciare sofisticate campagne ransomware.

Sebbene il ritmo della crescita del ransomware abbia rallentato, la sua resilienza e le sue strategie adattive fanno sì che rimanga una delle minacce più pericolose.

IBM consiglia diverse contromisure proattive, tra cui protocolli di backup e ripristino efficaci, EDR e rilevamento delle minacce avanzati e monitoraggio intelligente delle attività sul dark web.

In che modo l'intelligenza artificiale è allo stesso tempo un obiettivo e uno strumento?

IBM sottolinea che l'intelligenza artificiale è oggi sia uno strumento utilizzato dagli aggressori, sia un bersaglio per gli attacchi informatici.

Gli autori delle minacce utilizzano l'IA di generazione per creare deepfake, costruire siti web di phishing, scrivere codice dannoso ed elaborare email di phishing. Questo utilizzo dell'IA aiuta i criminali informatici a scalare e personalizzare le campagne di ingegneria sociale, aumentando sia il tasso di successo che la credibilità degli attacchi.

L'intelligenza artificiale non solo migliora la capacità degli aggressori di amplificare la velocità e la portata delle intrusioni, ma consente anche un impiego più efficiente degli infostealer e il coordinamento delle campagne.

Gli aggressori si stanno concentrando sulle infrastrutture di intelligenza artificiale, come i modelli di base (FM), i dati di formazione e le piattaforme operative di apprendimento automatico.

Queste piattaforme vengono utilizzate dalle aziende per addestrare e implementare LLM, creando nuove superfici di attacco.

Attualmente solo il 24% dei progetti di Gen AI è protetto, il che indica una finestra di vulnerabilità significativa che gli autori delle minacce possono sfruttare.

Per gestire la crescente adozione dell'intelligenza artificiale, le organizzazioni devono integrare controlli di sicurezza in ogni fase, trattare il processo di sviluppo dell'intelligenza artificiale come un'infrastruttura critica e utilizzare l'intelligenza artificiale in modo difensivo per contrastare la velocità e la sofisticatezza degli aggressori.

Cosa devono fare ora i CISO?

IBM fornisce una serie di raccomandazioni urgenti per i Chief Information Security Officer (CISO), focalizzandosi sul miglioramento della visibilità, della resilienza e delle strategie di difesa proattive, in un contesto in cui il panorama delle minacce informatiche diventa sempre più sofisticato.

I CISO dovrebbero passare dalla gestione reattiva del rischio a misure basate sulla comunità, come la condivisione di informazioni sulle minacce in tempo reale e il rafforzamento della collaborazione nella supply chain.

IBM esorta i dirigenti ad ampliare l'uso dell'autenticazione a più fattori (MFA) per tutti gli utenti, a consolidare i sistemi di identità in un sistema di identità unificato e a modernizzare la strategia di identità per renderla adattabile, scalabile e costantemente sottoposta a verifica.

Monitorando i forum del dark web alla ricerca di credenziali trapelate, sviluppando un piano di risposta alle crisi informatiche e formando regolarmente i dipendenti sull'igiene delle credenziali e sui rischi di phishing, IBM ritiene che i CISO possano contribuire a creare un ecosistema informatico più resiliente e forte.

https://cybermagazine.com/cyber-security/ibm-asks-how-is-the-cybersecurity-landscape-evolving

Gli aggressori si attengono a punti di intrusione efficaci, credenziali valide ed exploit

Secondo IBM X-Force, gli infostealer hanno alimentato la resistenza degli attacchi basati sull'identità, aumentando in media dell'84% su base settimanale lo scorso anno.

IBM X-Force ha osservato una ripartizione identica dei principali metodi utilizzati dai criminali informatici per intrusione nelle reti per due anni consecutivi, come dichiarato dall'azienda nel suo Threat Intelligence Index annuale. I principali vettori di accesso iniziale, le credenziali di account valide e lo sfruttamento di applicazioni pubbliche hanno rappresentato ciascuno il 30% dei casi di risposta agli incidenti di IBM X-Force lo scorso anno.

Concentrandosi sugli attacchi basati sull'identità, i criminali informatici si mimetizzano in attività apparentemente comuni sulle reti delle vittime, eludendo il rilevamento. "Stanno effettuando l'accesso, invece di hackerare", ha dichiarato a CyberScoop Michelle Alvarez, responsabile del team di threat intelligence di IBM X-Force.

Secondo i ricercatori, infostealer, software dannosi ed email di phishing che rubano le credenziali di accesso stanno alimentando la resistenza degli attacchi basati sull'identità. IBM X-Force ha anche descritto il phishing delle credenziali, ovvero i siti dannosi che imitano una pagina di accesso legittima, come un "vettore di infezione ombra per la compromissione di account validi".

I ricercatori di minacce informatiche hanno osservato un aumento medio settimanale dell'84% degli infostealer inviati tramite email di phishing lo scorso anno, rispetto al 2023. Il volume settimanale di infostealer distribuiti via email nel 2025 è ancora maggiore, con un aumento del 180% rispetto ai livelli di attività del 2023.

Le credenziali sono state inoltre l'obiettivo principale in tutti i casi di risposta agli incidenti di IBM X-Force nel 2024, con la raccolta di credenziali avvenuta nel 28% degli incidenti.

I criminali informatici riutilizzano credenziali di account valide contro altre organizzazioni o le vendono sul dark web. "Abbiamo individuato 800 milioni di potenziali coppie di credenziali disponibili sul dark web", ha affermato Alvarez.

"La stragrande maggioranza delle credenziali proviene da infostealer o da phishing di credenziali", ha affermato Alvarez. "Questi due fattori influenzano sicuramente l'utilizzo di credenziali valide per l'accesso."

Secondo IBM X-Force, i primi cinque infostealer elencati nei forum del dark web nel 2024 includono Lumma, RisePro, Vidar, Stealc e RedLine.

Le identità non sono state l'unico punto di accesso per gli attacchi informatici nel 2024. Gli addetti alla risposta agli incidenti di IBM X-Force hanno ricondotto il 30% degli attacchi allo sfruttamento di vulnerabilità in applicazioni pubbliche. I ricercatori hanno osservato la scansione post-compromissione nel 25% di questi casi, a indicare che gli aggressori hanno utilizzato strumenti di scansione delle vulnerabilità per identificare ulteriori difetti, ottenere ulteriore accesso e ottenere un movimento laterale.

"Spesso, gli autori delle minacce sfruttano semplicemente vulnerabilità che sono sostanzialmente prive di patch", ha affermato Alvarez. "Vediamo vulnerabilità risalenti ad anni fa, per le quali era disponibile una patch da molto tempo, ancora sfruttate, quindi tutto si riduce alle migliori pratiche di gestione delle vulnerabilità".

Le organizzazioni che operano nel settore delle infrastrutture critiche sono state particolarmente colpite lo scorso anno, rappresentando il 70% di tutti gli attacchi, come affermato nel rapporto IBM X-Force. Il settore manifatturiero è stato il più colpito per il quarto anno consecutivo, con il 26% degli incidenti nel 2024.

Gli attacchi nel settore finanziario e assicurativo hanno rappresentato il 23% di tutti gli attacchi alle infrastrutture critiche, seguiti dai servizi professionali, aziendali e ai consumatori con il 18%. Energia e trasporti hanno completato i cinque settori più colpiti, rappresentando rispettivamente il 10% e il 7% degli attacchi.

IBM X-Force ha affermato che gli aggressori hanno utilizzato account validi per ottenere l'accesso nel 31% di tutti gli attacchi alle organizzazioni di infrastrutture critiche commessi lo scorso anno.

https://cyberscoop.com/ibm-x-force-threat-intelligence-index-2025/

Attacco malware multifase utilizza .JSE e PowerShell per distribuire Agent Tesla e XLoader

È stato osservato un nuovo attacco multifase che diffonde famiglie di malware come le varianti di Agent Tesla, Remcos RAT e XLoader.

"Gli aggressori si affidano sempre di più a meccanismi di distribuzione complessi per eludere il rilevamento, aggirare i sandbox tradizionali e garantire la distribuzione e l'esecuzione corrette del payload", ha affermato Saqib Khanzada, ricercatore dell'Unità 42 di Palo Alto Networks, in un resoconto tecnico della campagna.

Il punto di partenza dell'attacco è un'e-mail ingannevole che si spaccia per una richiesta d'ordine di consegna di un allegato dannoso di tipo archivio 7-zip, contenente un file codificato in JavaScript (.JSE).

L'email di phishing, rilevata nel dicembre 2024, affermava falsamente che era stato effettuato un pagamento e invitava il destinatario a esaminare un file d'ordine allegato. L'avvio del payload JavaScript innesca la sequenza di infezione, con il file che funge da downloader per uno script di PowerShell da un server esterno.

Lo script, a sua volta, contiene un payload codificato in Base64 che viene successivamente decifrato, scritto nella directory temporanea di Windows ed eseguito. Ecco dove accade qualcosa di interessante: l'attacco genera un dropper di fase successiva, compilato con .NET o AutoIt.

Nel caso di un eseguibile .NET, il payload incorporato crittografato (una variante di Agent Tesla sospettata di essere Snake Keylogger o XLoader) viene decodificato e iniettato in un processo "RegAsm.exe" in esecuzione, una tecnica osservata in precedenti campagne di Agent Tesla.

L'eseguibile compilato da AutoIt, d'altra parte, introduce un livello aggiuntivo nel tentativo di complicare ulteriormente le attività di analisi. Lo script AutoIt all'interno dell'eseguibile incorpora un payload crittografato responsabile del caricamento dello shellcode finale, causando l'iniezione del file .NET in un processo "RegSvcs.exe", che porta infine all'implementazione dell'agente Tesla.

"Questo suggerisce che l'aggressore utilizzi più percorsi di esecuzione per aumentare la resilienza ed eludere il rilevamento", ha osservato Khanzada. "L'attenzione dell'aggressore rimane su una catena di attacco multilivello piuttosto che su un offuscamento sofisticato."

"Accumulando fasi semplici anziché concentrarsi su tecniche altamente sofisticate, gli aggressori possono creare catene di attacco resilienti che complicano l'analisi e il rilevamento."

IronHusky presenta la nuova versione di MysterySnail RAT

La rivelazione arriva mentre Kaspersky descrive in dettaglio una campagna che prende di mira organizzazioni governative con sede in Mongolia e Russia con una nuova versione di un malware chiamato MysterySnail RAT. L'attività è stata attribuita a un autore di minacce di lingua cinese soprannominato IronHusky.

IronHusky, la cui attività è stata stimata almeno dal 2017, era stato precedentemente documentato dalla società russa di sicurezza informatica nell'ottobre 2021 in relazione allo sfruttamento zero-day di CVE-2021-40449, una falla di escalation dei privilegi Win32k, per diffondere MysterySnail.

Le infezioni provengono da uno script dannoso di Microsoft Management Console (MMC) che imita un documento Word dell'Agenzia Nazionale del Territorio della Mongolia ("co-financing letter_alamgac"). Lo script è progettato per recuperare un archivio ZIP contenente un documento esca, un file binario legittimo ("CiscoCollabHost.exe") e una DLL dannosa ("CiscoSparkLauncher.dll").

Non si sa esattamente come lo script MMC venga distribuito ai bersagli di interesse, anche se la natura del documento esca suggerisce che potrebbe essere avvenuto tramite una campagna di phishing.

Come osservato in molti attacchi, "CiscoCollabHost.exe" viene utilizzato per caricare lateralmente la DLL, una backdoor intermedia in grado di comunicare con l'infrastruttura controllata dall'aggressore sfruttando il progetto open source piping-server .

La backdoor supporta funzionalità per eseguire shell di comandi, scaricare/caricare file, enumerare il contenuto delle directory, eliminare file, creare nuovi processi e terminarsi. Questi comandi vengono quindi utilizzati per eseguire il sideload di MysterySnail RAT.

L'ultima versione del malware è in grado di accettare quasi 40 comandi, consentendogli di eseguire operazioni di gestione dei file, eseguire comandi tramite cmd.exe, avviare e terminare processi, gestire servizi e connettersi alle risorse di rete tramite moduli DLL dedicati.

Kaspersky ha affermato di aver osservato gli aggressori rilasciare una "versione riproposta e più leggera" di MysterySnail, nome in codice MysteryMonoSnail, dopo che le aziende interessate avevano adottato misure preventive per bloccare le intrusioni.

"Questa versione non ha tutte le funzionalità della versione di MysterySnail RAT", ha osservato l'azienda. "È stata programmata per avere solo 13 comandi di base, utilizzati per elencare il contenuto delle directory, scrivere dati su file e avviare processi e shell remote."

https://thehackernews.com/2025/04/multi-stage-malware-attack-uses-jse-and.html?_m=3n%2e009a%2e3646%2esn0ao466fe%2e2o9e

Gli hacker nordcoreani sfruttano LinkedIn per infettare gli sviluppatori di criptovalute con infostealer

Se sei uno sviluppatore che lavora su progetti di criptovaluta, fai attenzione a chi cerca di assumerti su LinkedIn: potrebbero essere hacker nordcoreani.

In un rapporto del 14 aprile, l'Unità 42, divisione di ricerca di Palo Alto Networks, ha condiviso nuove scoperte su Slow Pisces, un gruppo di hacker affiliato al regime nordcoreano.

In una nuova campagna dannosa iniziata nel 2024, il gruppo si è spacciato per reclutatori su LinkedIn, prendendo di mira gli sviluppatori di progetti di criptovaluta con sfide di codifica dannose.

Queste sfide sfruttano le esche PDF, creando repository dannosi su GitHub che distribuiscono due nuovi payload malware, che i ricercatori dell'Unità 42 hanno chiamato RN Loader e RN Stealer.

Le esche PDF su LinkedIn portano a repository GitHub dannosi

Questa campagna si svolge in più fasi.

In primo luogo, gli hacker di Slow Pisces si spacciano per potenziali reclutatori su LinkedIn e interagiscono con i probabili obiettivi, inviando loro un PDF innocuo con una descrizione del lavoro. Gli obiettivi sono principalmente coinvolti in progetti di criptovaluta.

Esche PDF "benigne". Fonte: Unità 42, Palo Alto Networks

Se gli obiettivi sono validi, gli aggressori presentano loro una sfida di programmazione composta da diversi compiti delineati in un foglio di domande.

Questi fogli di domande in genere includono attività generiche di sviluppo software e una sfida di codifica di un "progetto reale", collegata a un repository GitHub.

I repository contengono codice adattato da progetti open source, tra cui applicazioni per la visualizzazione e l'analisi dei dati del mercato azionario, statistiche dei campionati di calcio europei, dati meteorologici e prezzi delle criptovalute.

"Il gruppo utilizzava principalmente progetti in Python o JavaScript, probabilmente a seconda che la vittima si candidasse per un ruolo di sviluppo front-end o back-end. Abbiamo anche individuato repository basati su Java in questa campagna, sebbene fossero molto meno comuni, con solo due casi in cui si spacciavano per un'applicazione di criptovaluta chiamata jCoin", si legge nel rapporto di Unit 42.

I ricercatori hanno aggiunto che potrebbero esistere repository non scoperti anche per altri linguaggi di programmazione.

Panoramica della campagna "Sfide di programmazione" di Slow Pisces. Fonte: Unità 42, Palo Alto Networks

I repository Python distribuiscono malware Infostealer

In genere, Slow Pisces utilizza repository con più fonti di dati, la maggior parte delle quali legittime e una dannosa.

Slow Pisces evita i metodi tradizionali di distribuzione del malware, facilmente rilevabili, confermando innanzitutto che il suo server di comando e controllo (C2) fornisca dati applicativi validi e previsti (come un elenco JSON di simboli aziendali S&P 500) al repository di destinazione.

Gli aggressori inviano quindi payload dannosi solo a obiettivi accuratamente convalidati in base a fattori quali indirizzo IP, geolocalizzazione, ora e intestazioni HTTP.

Concentrandosi sugli individui contattati tramite LinkedIn anziché condurre campagne di phishing su larga scala, il gruppo controlla attentamente le fasi successive della campagna per distribuire il malware esclusivamente alle vittime designate.

I ricercatori dell'Unità 42 hanno identificato due carichi utili precedentemente sconosciuti, RN Loader e RN Stealer.

RN Loader invia informazioni di base sul computer della vittima e sul sistema operativo tramite HTTPS al server C2 degli hacker.

RN Stealer è un infostealer che estrae dati, anche compressi, dal dispositivo della vittima.

I ricercatori hanno recuperato lo script di un campione di RN Stealer da un sistema macOS. Questo campione era in grado di rubare informazioni specifiche dei dispositivi macOS, tra cui:

• Informazioni di base sulla vittima: nome utente, nome del computer e architettura
• Applicazioni installate
• Un elenco di directory e il contenuto di primo livello della directory home della vittima
• Il file login.keychain-db che memorizza le credenziali salvate nei sistemi macOS
• Chiavi SSH memorizzate
• File di configurazione per AWS, Kubernetes e Google Cloud

I ricercatori dell'Unità 42 non sono riusciti a recuperare l'intera catena di attacco per i repository JavaScript.

Metodi di occultamento avanzati

L'utilizzo di esche come LinkedIn e GitHub è una tattica comune tra gli attori nordcoreani responsabili delle minacce, tra cui Alluring Pisces e Contagious Interview.

Tuttavia, Slow Pisces si distingue per la rigorosa sicurezza operativa: fornisce payload che esistono esclusivamente nella memoria e implementa metodi di occultamento avanzati come la deserializzazione YAML e EJS escapeFunction solo quando necessario.

Queste tattiche ostacolano l'analisi e il rilevamento, rendendo particolarmente difficile per gli sviluppatori di criptovalute inesperti identificare le minacce.

I resoconti pubblici sui furti di criptovalute suggeriscono che questa campagna ha avuto un grande successo e potrebbe continuare fino al 2025, sottolineando la necessità di una rigorosa separazione dei dispositivi aziendali e personali per mitigare il rischio di attacchi mirati di ingegneria sociale.

L'Unità 42 ha confermato che GitHub e LinkedIn hanno rimosso gli account e i repository in questione.

Informazioni sui Pesci Lenti

Slow Pisces (noto anche come Jade Sleet, TraderTraitor e Pukchong) è un gruppo di hacker sponsorizzato dallo stato nordcoreano, il cui obiettivo principale è generare entrate per il regime, in genere prendendo di mira grandi organizzazioni, con particolare attenzione al settore delle criptovalute.

Si dice che il gruppo abbia rubato oltre 1 miliardo di dollari dal settore delle criptovalute nel 2023, utilizzando vari metodi, tra cui false applicazioni di trading, malware diffuso tramite Node Package Manager (NPM) e compromissioni della supply chain.

Nel dicembre 2024, l'FBI ha collegato Slow Pisces al furto di 308 milioni di dollari da una società di criptovalute con sede in Giappone.

Più di recente, il gruppo ha attirato l'attenzione per il suo presunto ruolo nel furto di 1,5 miliardi di dollari da un exchange di criptovalute di Dubai.

https://www.infosecurity-magazine.com/news/north-korea-hackers-linkedin/

Il fronte invisibile: impatto della cyberwar Algeria-Marocco sulle aziende italiane

Le tensioni tra Algeria e Marocco, storicamente radicate in dispute territoriali e divergenze politiche, si stanno riversando con forza nel dominio cibernetico.

Il gruppo di hacker algerini JabaRoot DZ ha recentemente rivendicato un attacco informatico su larga scala ai danni di enti pubblici marocchini, rivelando profonde vulnerabilità nei sistemi di sicurezza del Paese e causando una massiccia fuga di dati sensibili.

Cyber attacco contro il Marocco

La sera dell’8 aprile 2025, infatti, JabaRoot DZ ha annunciato sul proprio canale Telegram di aver condotto un cyber attacco di ampia portata violando i sistemi informatici di alcune istituzioni del Marocco ed esfiltrando informazioni personali relative a quasi due milioni di cittadini marocchini.

Tra gli obiettivi colpiti, figurano il sito del ministero per l’Inclusione economica, le Piccole imprese e l’occupazione, e il database del Fondo nazionale di previdenza sociale (CNSS).

A destare particolare preoccupazione è l’entità della violazione. I dati sottratti, pubblicati dal gruppo su Telegram, comprendono infatti: un file CSV con informazioni relative a 499.881 aziende, inclusi nomi commerciali, numeri di registrazione, date di costituzione, dati bancari e identità dei direttori. Tra le entità coinvolte si annoverano il Mohammed VI Investment Fund, il Crédit du Maroc, e perfino Siger, la holding personale del monarca;

un secondo file CSV con dati su 1.996.026 dipendenti iscritti al CNSS, tra cui nomi, indirizzi e-mail, numeri di carte d’identità e dettagli occupazionali;

circa 53.574 file PDF contenenti elenchi dei dipendenti delle aziende e i relativi stipendi.

Inoltre, tra i documenti esfiltrati figurano anche dati finanziari non verificati riguardanti dirigenti di aziende statali, membri di partiti politici, personaggi associati al fondo di beneficenza della famiglia reale marocchina, nonché individui connessi all’ufficio di collegamento israeliano a Rabat.

Tuttavia, in un comunicato stampa pubblicato il giorno dopo l’attacco, il CNSS ha affermato che i primi controlli effettuati sui documenti divulgati hanno rivelato che questi contenevano informazioni false, inesatte o troncate.

Cyberguerra fra Algeria e Marocco: cosa sappiamo

Secondo quanto dichiarato dal gruppo algerino, l’attacco sarebbe stato una ritorsione contro presunte attività ostili compiute da hacker marocchini, accusati di aver compromesso l’account X dell’Algerian Press Service (APS), agenzia di stampa nazionale algerina.

JabaRoot DZ ha inoltre asserito che “qualsiasi futura azione ostile contro gli interessi algerini incontrerà risposte ancora più forti”, minacciando nuove offensive informatiche in caso di ulteriori attacchi ai danni di siti algerini.

Le frizioni tra i due Paesi si sono dunque spostate nel cyberspazio. Secondo quanto recentemente dichiarato dal ministro delegato per l’amministrazione della Difesa nazionale, Abdeltif Loudiyi, infatti, solo nel 2024 il Marocco ha registrato 644 attacchi informatici, di cui 134 hanno richiesto interventi tecnici urgenti da parte del Centro per la vigilanza, il monitoraggio e la risposta agli attacchi informatici.

Il ministro ha inoltre aggiunto che alla luce dell’escalation dei cyber attacchi, sono state implementate misure di protezione avanzate per incrementare la sicurezza dei sistemi informativi e delle infrastrutture vitali.

Tuttavia, nonostante le contromisure recentemente adottate, l’offensiva informatica dell’8 aprile ha messo in luce gravi lacune nella resilienza cibernetica del Paese.

Il picco più alto della cyberguerra fra Algeria e Marocco

Questo episodio rappresenta il picco più alto – finora – della guerra informatica tra Algeria e Marocco, inserendosi nel contesto di una crisi diplomatica che si protrae da anni.

Nell’agosto 2021, infatti, l’Algeria ha interrotto le relazioni diplomatiche con il Marocco, accusando Rabat di aver perpetrato atti ostili nei confronti del governo di Algeri. Tra i principali motivi di attrito figurano la normalizzazione dei rapporti tra Marocco e Israele avvenuta nel 2020, il sostegno marocchino ai movimenti separatisti della Cabilia e la disputa irrisolta sul Sahara Occidentale.

Tale regione, considerata dall’ONU un “territorio non autonomo”, è teatro di un conflitto che da oltre cinquant’anni vede contrapposti il ​​Marocco e il movimento indipendentista saharawi del Fronte polisario, sostenuto dall’Algeria.

A tal proposito, in una conferenza stampa tenutasi giovedì 10 aprile, il portavoce del governo marocchino Mustapha Baitas ha affermato che gli attacchi farebbero parte di una strategia mirata a minare il crescente sostegno internazionale al Marocco, specialmente in relazione al conflitto del Sahara Occidentale.

Nel 2020, infatti, nel corso del suo primo mandato, il presidente Donald Trump ha modificato la posizione consolidata degli Usa sostenendo apertamente la sovranità del Marocco sul territorio. Tale posizione non è stata revocata né esplicitamente confermata durante la presidenza Biden.

Secondo Baitas, la tempistica di questi attacchi informatici non è stata casuale, ma ha coinciso con la dichiarazione da parte del Segretario di Stato americano Marco Rubio del rinnovato riconoscimento della sovranità del Marocco sulla regione contesa.

L’impatto del cyber attacco sulle aziende italiane

Considerata la vasta portata delle informazioni sottratte da JabaRoot DZ, l’impatto dell’attacco potrebbe avere ripercussioni ben oltre i confini maghrebini. Il Marocco rappresenta, infatti, un partner strategico per diversi Paesi europei, tra cui l’Italia, che detiene investimenti significativi nel Paese.

Come affermato il 10 aprile 2025 da Nicola Vanin, Chief Information Security Officer di Cassa Depositi e Prestiti, le aziende italiane che operano sul territorio marocchino potrebbero subire conseguenze indirette per via della fuga di dati e delle interruzioni ai servizi.

La violazione delle infrastrutture digitali marocchine potrebbe infatti rallentare, complicare o mettere a rischio transazioni economiche bilaterali, catene di fornitura e informazioni sensibili relative alle aziende italiane attive nel Paese.

Inoltre, è importante considerare che tra i dati esfiltrati dal gruppo di hacker algerino potrebbero esserci anche informazioni personali riguardanti stranieri, inclusi cittadini italiani, che risiedono o lavorano in Marocco.

È dunque fondamentale monitorare la questione e comprendere se vi siano rischi diretti per i nostri connazionali e per le aziende italiane operanti nel Paese.

Il cyberspazio come frontiera del confronto geopolotico

L’attacco di JabaRoot DZ è solo l’ultimo esempio di come il cyberspazio si sia trasformato in un’estensione del confronto geopolitico.

In uno scenario internazionale sempre più segnato da “guerre fredde digitali”, i gruppi hacker – spesso legati o tollerati da apparati statali – diventano strumenti di pressione, operando in una zona grigia tra guerra convenzionale, intelligence e terrorismo informatico.

Per il Marocco – così come per qualsiasi altro attore statale – la resilienza cibernetica non può più essere considerata un’opzione, ma una necessità strategica per proteggere non solo i dati dei cittadini, ma anche la propria stabilità interna, le relazioni diplomatiche e la competitività economica sul piano globale.

https://www.cybersecurity360.it/cybersecurity-nazionale/il-fronte-invisibile-impatto-della-cyberwar-algeria-mar

Gli hacker cinesi attaccano le infrastrutture critiche per sabotare le reti

In un'allarmante escalation di minacce informatiche, gli hacker sponsorizzati dallo Stato cinese hanno intensificato le loro operazioni prendendo di mira infrastrutture critiche negli Stati Uniti, in Europa e nella regione Asia-Pacifico.

Recenti rapporti di intelligence rivelano che sofisticati attori della minaccia, tra cui Volt Typhoon e Salt Typhoon, si sono infiltrati nelle reti elettriche, nelle reti di telecomunicazioni e nei sistemi di trasporto con l'apparente obiettivo di predisporre potenziali interruzioni in tempo di guerra o ritorsioni coercitive durante periodi di tensione geopolitica.

Questi gruppi di minacce persistenti avanzate (APT) impiegano tecniche sofisticate progettate per l'accesso furtivo e a lungo termine, rendendone il rilevamento particolarmente impegnativo per i team di sicurezza.

Invece di provocare un'interruzione immediata, gli hacker installano quelle che gli esperti di sicurezza descrivono come "bombe logiche", ovvero codici maligni che rimangono dormienti finché non vengono attivati ​​durante un potenziale conflitto o una crisi.

Questo approccio strategico consente agli attori di mantenere un accesso persistente riducendo al minimo il rischio di scoperta durante il monitoraggio di sicurezza di routine.

L'esperta di sicurezza informatica Simone Kraus (@SIMKRA) ha individuato il malware dopo aver analizzato una serie di incidenti in diversi settori.

"Ciò che rende questi attacchi particolarmente preoccupanti è il fatto che si concentrano su infrastrutture critiche che, se compromesse, potrebbero avere conseguenze devastanti nel mondo reale", ha spiegato Kraus in un'analisi completa pubblicata ieri.

"Stiamo osservando un chiaro schema di ricognizione e persistenza che indica una preparazione a un potenziale sabotaggio piuttosto che a un'interruzione immediata o al furto di dati".

Gli attacchi sembrano far parte di una più ampia strategia cinese di guerra irregolare basata sulla cyber-sicurezza, che combina attacchi informatici sponsorizzati dallo Stato, gruppi per procura e campagne di disinformazione per raggiungere obiettivi strategici senza innescare risposte militari convenzionali.

Di recente si sono verificati incidenti in diversi settori, prendendo di mira in modo particolare le infrastrutture energetiche.

In un caso documentato, un guasto alla rete elettrica di Taiwan è stato ricondotto a una bomba logica Volt Typhoon rimasta nascosta nel sistema per mesi prima dell'attivazione.

Incidenti simili sono stati segnalati nelle infrastrutture europee, il che suggerisce l'esigenza di una campagna coordinata.

Vivere della terra: il metodo di infezione preferito

Ciò che contraddistingue questi attacchi sono le loro sofisticate tecniche “Living Off the Land” (LOL), in cui gli hacker utilizzano strumenti e funzionalità di sistema legittimi anziché introdurre malware facilmente rilevabili.

Questo approccio consente loro di integrarsi nelle normali operazioni amministrative, garantendo al contempo la persistenza.

Gli aggressori sfruttano spesso PowerShell, Windows Management Instrumentation (WMI) e PsExec per spostamenti laterali tra le reti.

Una tipica sequenza di comandi recuperata da un sistema infetto mostra come gli aggressori stabiliscono la persistenza:# Create scheduled task for persistence $Action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-WindowStyle hidden -NonInteractive -ExecutionPolicy Bypass -EncodedCommand $EncodedCommand" $Trigger = New-ScheduledTaskTrigger -AtLogOn $Settings = New-ScheduledTaskSettingsSet -Hidden Register-ScheduledTask -TaskName "SystemVerification" -Action $Action -Trigger $Trigger -Settings $Settings -RunLevel Highest

Dopo aver stabilito la persistenza, gli aggressori in genere utilizzano tecniche di raccolta delle credenziali per muoversi lateralmente nella rete:# Lateral movement using harvested credentials $username = 'domain\admin' $password = 'P@ssw0rd' | ConvertTo-SecureString -AsPlainText -Force $cred = New-Object System.Management.Automation.PSCredential($username, $password) Invoke-Command -ComputerName "target-server" -Credential $cred -ScriptBlock { whoami }

Gli esperti di sicurezza consigliano di implementare un monitoraggio efficace per i comandi PowerShell insoliti, i modelli di utilizzo delle credenziali e la creazione di attività pianificate come parte di una strategia di difesa approfondita.

Le organizzazioni che gestiscono infrastrutture critiche sono invitate a implementare la segmentazione della rete, l'autenticazione a più fattori e la ricerca attiva delle minacce per individuare questi avversari sofisticati prima che possano mettere a segno i loro obiettivi di sabotaggio.

https://cybersecuritynews.com/chinese-hackers-attacking-critical-infrastru

Gli hacker russi attaccano la missione militare occidentale utilizzando un'unità dannosa

Il gruppo di hacker russo Gamaredon (noto anche come "Shuckworm"), sostenuto dallo stato, ha preso di mira una missione militare di un paese occidentale in Ucraina, con attacchi probabilmente effettuati tramite unità rimovibili.

I ricercatori di Symantec sulle minacce informatiche affermano che la campagna è iniziata a febbraio 2025 ed è proseguita fino a marzo, con gli hacker che hanno distribuito una versione aggiornata del malware GammaSteel, in grado di rubare informazioni, per esfiltrare dati.

Secondo il rapporto , l'accesso iniziale ai sistemi infetti è stato probabilmente ottenuto tramite unità rimovibili contenenti file .LNK dannosi, un vettore che Gamaredon ha utilizzato in passato.

I ricercatori notano un cambiamento nelle tattiche dell'autore della minaccia, tra cui il passaggio dagli script VBS agli strumenti basati su PowerShell, una maggiore occultazione dei payload e un maggiore utilizzo di servizi legittimi a scopo di elusione.

Ultimi attacchi di Gamaredon in Ucraina

Nel corso dell'indagine, i ricercatori hanno notato nel registro di Windows del sistema compromesso un nuovo valore nella chiave UserAssist, che indicava che l'infezione era iniziata da un'unità esterna, da un file di collegamento denominato files.lnk.

Successivamente, uno script fortemente offuscato crea ed esegue due file. Il primo gestisce le comunicazioni di comando e controllo (C2), risolvendo l'indirizzo del server utilizzando servizi legittimi e connettendosi agli URL protetti da Cloudflare.

Il secondo file gestisce il meccanismo di diffusione per infettare altre unità rimovibili e di rete utilizzando file LNK, nascondendo al contempo determinate cartelle e file di sistema per nascondere la compromissione.

Modifica delle chiavi del Registro di sistema per nascondere file specifici

Fonte: Symantec

Successivamente, Gamaredon ha utilizzato uno script di ricognizione PowerShell in grado di catturare ed estrarre screenshot del dispositivo infetto e di raccogliere informazioni sugli strumenti antivirus installati, sui file e sui processi in esecuzione.

Il payload finale utilizzato negli attacchi osservati è una versione di GammaSteel basata su PowerShell, memorizzata nel Registro di sistema di Windows.

Payload memorizzato nel Registro, offuscato e suddiviso per funzioni

Fonte: Symantec

Il malware è in grado di rubare documenti (.DOC, .PDF, .XLS, .TXT) da varie posizioni, come Desktop, Documenti e Download, confermando il continuo interesse di Gamaredon per lo spionaggio.

Infine, il malware utilizza "certutil.exe" per eseguire l'hashing dei file e li esfiltra tramite richieste web di PowerShell. Se l'esfiltrazione fallisce, Gamaredon utilizza cURL su Tor per trasferire i dati rubati.

Infine, viene aggiunta una nuova chiave a 'HKCU\Software\Microsoft\Windows\CurrentVersion\Run' per stabilire la persistenza sul computer di destinazione.

La recente campagna Gamaredon riflette uno sforzo per aumentare l'efficacia e la segretezza operativa, nonostante la limitata sofisticazione del gruppo in questione rispetto ad altri attori statali russi.

Symantec afferma che vari miglioramenti incrementali ma significativi nelle TTP (tattiche, tecniche e procedure) del gruppo di minaccia aumentano i rischi che esso pone alle reti occidentali, soprattutto considerando l'incrollabile tenacia di Gamaredon.

https://www.bleepingcomputer.com/news/security/russian-hackers-attack-western-military-mission-using-malicious-drive/

Gli hacker affermano di aver violato Magento tramite terze parti e di aver divulgato i dati CRM di 700.000 utenti

Un hacker che usa lo pseudonimo "Satanic" sostiene che la violazione di Magento tramite una terza parte ha fatto trapelare i dati CRM di oltre 700.000 utenti, tra cui e-mail, numeri di telefono e informazioni aziendali di importanti aziende.

Un autore di minacce noto come "Satanic" ha rivendicato la responsabilità di una nuova violazione dei dati che ha coinvolto Magento , la piattaforma di e-commerce open source utilizzata da migliaia di aziende in tutto il mondo. Secondo l'hacker, la presunta violazione dei dati si è verificata il 9 aprile 2025 tramite un'integrazione di terze parti, che ha portato al furto di un ampio set di dati contenente informazioni di contatto aziendali e personali dettagliate.

La violazione, che non è stata ancora verificata da Adobe (la società madre di Magento), include ciò che l'hacker descrive come 745.000 voci univoche, con 430.000 indirizzi email univoci e 261.000 numeri di telefono. L'intero set di dati è stato divulgato su Breach Forums, una nota piattaforma dedicata alla criminalità informatica e alle violazioni dei dati.

Dalla BBC al Chicago Tribune

Secondo l'analisi di Hackread.com, i dati sembrano provenire da un sistema CRM collegato alle distribuzioni Magento e includono nomi, titoli di lavoro, e-mail aziendali, domini aziendali, numeri di telefono e link ai social media, tra cui nomi di organizzazioni che vanno dalla BBC al Chicago Tribune e molti altri.

Un file intitolato "MagentoCRM", condiviso nell'ambito della fuga di notizie, contiene voci strutturate che mostrano dettagli approfonditi per ogni record. In un esempio, un record collegato alla BBC elenca i dati di contatto completi di un regista, insieme a link ai profili social dell'organizzazione e metadati su settori verticali, utilizzo della tecnologia e negozi online.

I file di esempio mostrano anche dati in stile CRM anziché credenziali grezze o informazioni di pagamento, ma la natura della fuga di notizie rappresenta comunque un rischio serio. Le informazioni potrebbero essere utilizzate per phishing o truffe di impersonificazione B2B, oppure per la profilazione di obiettivi di alto valore. Inoltre, diversi record sembrano contenere account LinkedIn verificati, alias email aziendali e recapiti del servizio clienti.

Il database include anche metadati tecnici che potrebbero aiutare gli aggressori a comprendere lo stack tecnologico, le piattaforme di marketing e persino i processori di pagamento di ciascuna azienda. Una voce fa riferimento a Magento insieme a Salesforce, Adobe Experience Manager e Stripe, suggerendo che i dati violati potrebbero essere stati estratti da una piattaforma di intelligence tecnologica o da uno strumento di arricchimento CRM integrato nei flussi di lavoro di Magento.

Sebbene i dati in sé sembrino reali e non generati dall'intelligenza artificiale, questa affermazione sulla violazione segue l'apparizione di Satanic sui giornali la scorsa settimana, dopo aver offerto quello che hanno descritto come l' intero database della piattaforma email SendGrid di Twilio. La violazione è stata negata da Twilio, ma l'hacker ha ribadito la sua posizione nei forum dedicati alla criminalità informatica.

Nel settembre 2024, lo stesso autore era dietro la violazione di Tracelo, in cui i dati di 1,4 milioni di utenti di un servizio di tracciamento della geolocalizzazione sono trapelati online. Oltre a questi incidenti, Satanic è noto per la condivisione di log di infostealer tramite canali Telegram, spesso utilizzati dai criminali informatici per distribuire credenziali compromesse e impronte digitali.

Sebbene Hackread.com abbia contattato Adobe, le aziende che utilizzano Magento, in particolare quelle dotate di strumenti CRM connessi, sono invitate a verificare le proprie integrazioni, monitorare attività sospette e rivedere le policy di accesso ai dati nei servizi connessi.

Questo incidente si aggiunge a un elenco crescente di rischi della catena di fornitura di terze parti che colpiscono le piattaforme di commercio digitale, dove la debolezza non risiede nella piattaforma stessa ma nei canali di dati che la alimentano.

https://hackread.com/hackers-magento-breach-3rd-party-crm-data-leak/

Nuovo malware TCESB rilevato in attacchi attivi che sfruttano ESET Security Scanner

Un attore minaccioso affiliato alla Cina, noto per i suoi attacchi informatici in Asia, è stato osservato sfruttare una falla di sicurezza nel software di sicurezza di ESET per distribuire un malware precedentemente non documentato con il nome in codice TCESB.

"Mai visto prima negli attacchi di ToddyCat, [TCESB] è progettato per eseguire furtivamente i payload aggirando gli strumenti di protezione e monitoraggio installati sul dispositivo", ha affermato Kaspersky in un'analisi pubblicata questa settimana.

ToddyCat è il nome dato a un gruppo di attività minacciose che ha preso di mira diverse entità in Asia, con attacchi che risalgono almeno al dicembre 2020.

Lo scorso anno, il fornitore russo di sicurezza informatica ha dettagliato l'uso da parte del gruppo di hacker di vari strumenti per mantenere l'accesso persistente agli ambienti compromessi e raccogliere dati su "scala industriale" dalle organizzazioni situate nella regione Asia-Pacifico.

Kaspersky ha dichiarato che la sua indagine sugli incidenti legati a ToddyCat all'inizio del 2024 ha portato alla luce un file DLL sospetto (“version.dll”) nella directory Temp su diversi dispositivi. Si è scoperto che la DLL a 64 bit, TCESB, è stata lanciata tramite una tecnica chiamata DLL Search Order Hijacking per prendere il controllo del flusso di esecuzione.

Questo, a sua volta, sarebbe stato realizzato sfruttando un difetto di ESET Command Line Scanner, che carica in modo insicuro una DLL denominata “version.dll” verificando prima la presenza del file nella directory corrente e poi la sua presenza nelle directory di sistema.

A questo punto è bene sottolineare che “version.dll” è una libreria legittima di Microsoft per il controllo della versione e l'installazione dei file, che risiede nelle directory “C:\Windows\system32” o “C:\Windows\SysWOW64”.

Sfruttando questa falla, gli aggressori potrebbero eseguire la loro versione dannosa di “version.dll” anziché la sua controparte legittima. La vulnerabilità, classificata come CVE-2024-11859 (punteggio CVSS: 6,8), è stata risolta da ESET alla fine di gennaio 2025 dopo la divulgazione responsabile.

Malware TCESB

“La vulnerabilità permetteva potenzialmente a un aggressore con privilegi di amministratore di caricare una libreria dynamic-link dannosa e di eseguirne il codice”, ha dichiarato ESET in un avviso pubblicato la scorsa settimana. “Questa tecnica, tuttavia, non elevava i privilegi: l'attaccante avrebbe già dovuto disporre dei privilegi di amministratore per eseguire questo attacco”.

In una dichiarazione condivisa con The Hacker News, l'azienda slovacca di cybersicurezza ha dichiarato di aver rilasciato build corrette dei suoi prodotti di sicurezza per consumatori, aziende e server per il sistema operativo Windows per risolvere la vulnerabilità.

TCESB, da parte sua, è una versione modificata di uno strumento open-source chiamato EDRSandBlast che include funzioni per alterare le strutture del kernel del sistema operativo per disabilitare le routine di notifica (alias callback), che sono progettate per consentire ai driver di essere notificati di eventi specifici, come la creazione di un processo o l'impostazione di una chiave di registro.

Sicurezza informatica

Per riuscirci, TCESB sfrutta un'altra tecnica nota come “bring your own vulnerable driver” (BYOVD) per installare un driver vulnerabile, un driver Dell DBUtilDrv2.sys, nel sistema attraverso l'interfaccia di Gestione periferiche. Il driver DBUtilDrv2.sys è soggetto a una falla nota per l'escalation dei privilegi, classificata come CVE-2021-36276.

Questa non è la prima volta che i driver Dell vengono abusati per scopi dannosi. Nel 2022, una vulnerabilità simile di privilege escalation (CVE-2021-21551) in un altro driver Dell, dbutil_2_3.sys, è stata sfruttata come parte di attacchi BYOVD dal gruppo Lazarus, legato alla Corea del Nord, per disattivare i meccanismi di sicurezza.

Una volta che il driver vulnerabile è installato nel sistema, TCESB esegue un ciclo in cui controlla ogni due secondi la presenza di un file di payload con un nome specifico nella directory corrente - il payload potrebbe non essere presente al momento del lancio dello strumento", ha detto il ricercatore di Kaspersky Andrey Gunkin.

Sebbene gli artefatti del payload stessi non siano disponibili, ulteriori analisi hanno determinato che sono crittografati utilizzando AES-128 e che vengono decodificati ed eseguiti non appena compaiono nel percorso specificato.

"Per rilevare l'attività di tali strumenti, si consiglia di monitorare i sistemi per eventi di installazione che coinvolgono driver con vulnerabilità note", ha affermato Kaspersky. "Vale anche la pena monitorare gli eventi associati al caricamento dei simboli di debug del kernel di Windows su dispositivi in cui il debug del kernel del sistema operativo non è previsto."

https://thehackernews.com/2025/04/new-tcesb-malware-found-in-active.html

Vulnerabilità di WhatsApp consente agli aggressori di eseguire codice dannoso tramite allegati

Una vulnerabilità critica in WhatsApp per Windows che potrebbe consentire agli aggressori di eseguire codice dannoso attraverso allegati di file apparentemente innocui.

La vulnerabilità di spoofing, ufficialmente identificata come CVE-2025-30401, interessa tutte le versioni di WhatsApp Desktop per Windows precedenti alla 2.2450.6 e rappresenta un rischio significativo per gli utenti che interagiscono con gli allegati inviati tramite la piattaforma.

Il problema dello spoofing deriva da un difetto fondamentale nel modo in cui WhatsApp per Windows elabora gli allegati.

Secondo l'avviso di sicurezza ufficiale, l'applicazione "visualizzava gli allegati in base al loro tipo MIME, ma selezionava il gestore di apertura dei file in base all'estensione del nome file dell'allegato".

Questa discrepanza creava una pericolosa scappatoia che i malintenzionati potevano sfruttare.

Quando un utente riceve un allegato su WhatsApp, l'applicazione mostra il tipo di file in base al suo tipo MIME (ad esempio, visualizzandolo come immagine), mentre il sistema operativo decide come aprire il file in base alla sua estensione (ad esempio, .exe).

Un aggressore potrebbe creare un file con una combinazione fuorviante di tipo MIME ed estensione del nome file, inducendo gli utenti a eseguire inavvertitamente codice arbitrario quando aprono manualmente quello che sembra un allegato innocuo.

Vulnerabilità di WhatsApp per Windows

Il vettore di attacco è particolarmente preoccupante perché fa leva sulla fiducia degli utenti. Un criminale informatico potrebbe inviare quello che sembra un file immagine standard all'interno di WhatsApp, ma l'allegato potrebbe in realtà avere un'estensione eseguibile.

Se il destinatario aprisse questo allegato direttamente da WhatsApp, anziché visualizzare un'immagine, eseguirebbe inconsapevolmente un codice potenzialmente dannoso.

"Una discrepanza creata in modo dannoso avrebbe potuto indurre il destinatario a eseguire inavvertitamente codice arbitrario anziché visualizzare l'allegato quando lo apriva manualmente all'interno di WhatsApp", si legge nell'avviso ufficiale di Facebook, la società madre di WhatsApp.

Di seguito è riportato il riepilogo della vulnerabilità:

Impatto e versioni interessate

La vulnerabilità riguarda tutte le versioni di WhatsApp Desktop per Windows dalla versione 0.0.0 fino alla 2.2450.6 esclusa.

La vulnerabilità CVE-2025-30401 è classificata come grave a causa del rischio di esecuzione di codice remoto, che potrebbe causare l'accesso non autorizzato al sistema o il furto di dati.

Gli analisti della sicurezza sottolineano che questa vulnerabilità è particolarmente pericolosa negli scenari di chat di gruppo, in cui allegati dannosi potrebbero raggiungere più vittime contemporaneamente.

Non è la prima volta che le piattaforme di messaggistica affrontano simili sfide di sicurezza. Nel 2024, il ricercatore di sicurezza Saumyajeet Das ha scoperto una vulnerabilità separata in WhatsApp per Windows che consentiva l'esecuzione di script Python e PHP senza preavviso quando aperti.

Si consiglia vivamente agli utenti di WhatsApp per Windows di aggiornare immediatamente le proprie applicazioni alla versione 2.2450.6 o successiva, che risolve la vulnerabilità di spoofing.

https://cybersecuritynews.com/whatsapp-for-windows-vulnerability/