Gli aiuti informatici occidentali all'Ucraina sono messi a dura prova dal protrarsi della guerra contro la Russia

L'assistenza informatica internazionale ha svolto un ruolo fondamentale nel sostenere la difesa dell'Ucraina contro gli attacchi informatici russi. Tuttavia, con il proseguire della guerra, il sostegno dell'Occidente sta diminuendo, sollevando crescenti preoccupazioni sull'efficacia a lungo termine di questi sforzi, secondo un recente rapporto.

Dall'inizio della guerra, il governo degli Stati Uniti, gli alleati europei e le aziende del settore privato hanno fornito all'Ucraina un'assistenza informatica fondamentale che ha permesso a Kyiv di contrastare gli attacchi DDoS (Distributed Denial-of-Service), di proteggere l'infrastruttura cloud e di rimuovere le intrusioni russe dalle sue reti, hanno dichiarato i ricercatori dell'Aspen Institute, un'organizzazione no-profit, in un rapporto pubblicato martedì.

Negli ultimi due anni, il governo statunitense ha fornito all'Ucraina oltre 82 milioni di dollari in assistenza informatica. Il Meccanismo di Tallinn, un'iniziativa multinazionale, ha raccolto oltre 200 milioni di euro (216 milioni di dollari) per rafforzare la capacità di difesa informatica non militare dell'Ucraina, mentre IT Coalition, un gruppo di dieci nazioni europee, ha promesso lo scorso febbraio di aiutare l'Ucraina a sostenere la sua infrastruttura informatica critica per i prossimi sei anni.

Tuttavia, le crescenti divisioni politiche a Washington e il cambiamento delle priorità globali hanno sollevato preoccupazioni circa un sostegno duraturo all'Ucraina. Anche i contributi del settore privato, pur continuando, sono diminuiti a causa del protrarsi della guerra più a lungo del previsto.

Le principali organizzazioni coinvolte nella fornitura di aiuti informatici all'Ucraina, tra cui il Cyber Defense Assistance Collaborative (CDAC), un gruppo di volontari composto da aziende e organizzazioni occidentali di sicurezza informatica, devono affrontare sfide significative nel tentativo di aiutare l'Ucraina.

Ad esempio, le organizzazioni ucraine spesso presentano richieste di aiuto sovrapposte o contrastanti a diversi donatori, complicando il coordinamento. I frequenti cambi di leadership all'interno delle istituzioni ucraine hanno ulteriormente rallentato gli sforzi di assistenza e reso i donatori esitanti a impegnare risorse a lungo termine, hanno detto i ricercatori.

Inoltre, le licenze e i programmi di formazione inizialmente concepiti come misure a breve termine richiedono ora rinnovi e un sostegno continuo. Le discussioni su un sostegno strutturato e a lungo termine rimangono lente, nonostante la continua minaccia delle operazioni informatiche russe.

Un'altra questione fondamentale è la difficoltà di valutare l'efficacia degli aiuti informatici. Molte aziende del settore privato, comprese quelle del CDAC, sono riluttanti a rivelare informazioni specifiche a causa di problemi di sicurezza, obblighi contrattuali e timori di esposizione pubblica. Nel frattempo, i beneficiari ucraini spesso non hanno le risorse per fornire un feedback sull'impatto dell'assistenza ricevuta, complicando ulteriormente gli sforzi per misurarne il successo.

Contributi del settore privato

Le aziende private del settore informatico e tecnologico, come Microsoft, Cloudflare e Mandiant, hanno sostenuto attivamente gli sforzi di difesa informatica dell'Ucraina fornendo supporto di intelligence, licenze software e programmi di formazione.

Tuttavia, il livello di nuove iniziative private è diminuito di recente. Secondo i ricercatori, diversi fattori contribuiscono a questo declino, tra cui il successo della resilienza digitale dell'Ucraina, la percezione dell'inefficacia della Russia nel dominio cibernetico, la stanchezza di alcuni fornitori di assistenza e la mancanza di finanziamenti dedicati per sostenere iniziative sistemiche su larga scala.

Secondo l'Aspen Institute, ci sono pareri discordanti sul fatto che il sostegno digitale e informatico all'Ucraina debba concentrarsi sulla risoluzione dei problemi immediati di difesa informatica o sulla costruzione di una forza digitale a lungo termine. Secondo i ricercatori, è ancora una sfida concordare le giuste priorità e lavorare insieme in modo efficace.

Prima della guerra tra Russia e Ucraina, negli Stati Uniti non esistevano sistemi formali per gestire l'assistenza alla difesa informatica che coinvolgesse il settore privato. Questi sistemi sono stati istituiti solo alla fine del 2023, quasi due anni dopo la guerra. La mancanza di fondi e la percezione che il peggio della crisi sia passato hanno portato a un minore aiuto volontario da parte del settore privato. Inoltre, gli aiuti informatici all'Ucraina sono ora influenzati dalla politica interna e sono considerati meno prioritari rispetto a potenziali nuovi conflitti.

Nonostante queste sfide, si è sviluppata una forte fiducia tra l'Ucraina e i suoi fornitori di assistenza informatica. “Tale fiducia è stata costruita in gran parte soddisfacendo le richieste ucraine e imparando a lavorare con loro per fornire informazioni e tecnologia in modo continuo e maturo”, hanno dichiarato i ricercatori.

Le lezioni apprese dalla guerra cibernetica ucraina dovrebbero influenzare la futura cooperazione internazionale in materia di sicurezza informatica. “Poiché le tensioni geopolitiche intorno alla Russia e in Asia orientale continuano a mostrare una crescente componente informatica, queste lezioni sono fondamentali per aiutare gli Stati Uniti a gestire le crisi e, se necessario, a difendere con successo i propri alleati e amici”, hanno affermato i ricercatori.

https://therecord.media/western-cyber-aid-to-ukraine-faces-strain-war-drags

Un hacker dilettante sfrutta il server di hosting Bulletproof russo per diffondere malware

È stato scoperto un nuovo autore di minacce informatiche relativamente poco qualificato che sfrutta i servizi di un provider di hosting a prova di proiettile (BPH) per distribuire malware sotto le mentite spoglie di software legittimo.

L'hacker, noto con il soprannome "Coquettte", è stato scoperto dai ricercatori di DomainTools mentre indagavano su domini dannosi ospitati su Proton66.

Proton66 è un provider di hosting russo a prova di bomba, noto per favorire la criminalità informatica ignorando le denunce di abusi.

DomainTools ha condiviso le sue scoperte sull'attività di Coquettte in un rapporto pubblicato il 3 aprile 2025.

Tra le attività dei criminali informatici rientrano la distribuzione di malware e la vendita di manuali per la fabbricazione di sostanze e armi illegali.

La distribuzione del malware di Coquettte spiegata

I ricercatori di DomainTools hanno scoperto per la prima volta le attività di Coquettte attraverso il dominio cybersecureprotect[.]com, un falso sito di prodotti di sicurezza informatica ospitato su Proton66.

A prima vista, il sito web sembrava offrire il software antivirus 'CyberSecure Pro'. Tuttavia, il sito web in realtà distribuisce il malware loader Rugmi.

I ricercatori hanno ottenuto l'accesso alla directory web del sito in seguito a "un errore di sicurezza dell'operazione (OPSEC)" da parte di Coquettte.

La directory conteneva un file zip compresso di un Windows Installer. Una volta decompresso, il file sembra essere un dropper di malware per Rugmi piuttosto che un software di sicurezza.

Una volta eseguita, l'installazione raggiunge due URL hard-coded, cia[.]tf e quitarlosi[.], scarica un payload di seconda fase e rilascia file eseguibili aggiuntivi dai server controllati dall'attore della minaccia.

Rugmi è un malware loader modulare utilizzato dai criminali informatici per distribuire vari payload secondari, tra cui infostealer , trojan e ransomware. È stato osservato distribuire vari infostealer, tra cui Vidar, Raccoon Stealer V2, Lumma Stealer e Rescoms.

Secondo DomainTools, Rugmi è anche noto come Penguish ed è associato al caricatore Amadey.

Rugmi è distribuito da Coquettte utilizzando l'infrastruttura di Proton66, incluso l'hosting del server di comando e controllo (C2) dell'attore della minaccia sul dominio cia[.]tf, con cui Rugmi comunica.

Ulteriori indagini hanno rivelato che questo dominio è stato registrato con l'indirizzo email root[@]coquettte[.]com.

"Questo collegamento diretto ha confermato che Coquettte non solo gestiva cybersecureprotect[.]com come hub di distribuzione di malware, ma controllava anche cia[.]tf, che facilitava il download e l'esecuzione di payload di malware", hanno spiegato i ricercatori.

Guide sulle sostanze e le armi illegali

L'indagine ha inoltre portato alla luce altri progetti gestiti da Coquettte, tra cui un sito web ospitato su meth[.]to che contiene guide pratiche su sostanze e armi illegali.

Il sito presumibilmente fornisce ricette e istruzioni per la produzione di metanfetamine, la fabbricazione di esplosivi come C4/Semtex, la costruzione di dispositivi improvvisati (ad esempio granate stordenti, napalm) e persino guide sul furto di marmitte catalitiche. DomainTools non ha verificato che le guide possano effettivamente aiutare a produrre tali droghe e armi.

Coquettte gestisce anche un sito web personale, coquettte[.]com, che fornisce ulteriori approfondimenti sulla loro presenza online.

Il sito, ospitato su AWS, una volta mostrava un messaggio che diceva "Ingegnere informatico di 18 anni, sta conseguendo una laurea in Informatica".

I ricercatori di DomainTools hanno osservato: "Ciò suggerisce che Coquettte sia un giovane individuo, forse uno studente, il che coincide con gli errori da dilettanti (come la directory aperta) nei loro sforzi di criminalità informatica".

Collettivo di hacker amatoriali Black Hat

Si ritiene che Coquettte sia legata a un collettivo di hacker poco strutturato noto come Horrid.

Questa connessione è dimostrata dall'infrastruttura condivisa tra più domini, come horrid.xyz, terrorist.ovh, meth.to e meth.su, che utilizzano tutti lo stesso tracker di Google Analytics e ospitano contenuti correlati ad attività illecite.

L'impronta digitale sovrapposta indica che Coquettte è probabilmente lo pseudonimo di uno dei membri del gruppo piuttosto che un singolo attore.

Inoltre, Coquettte e i suoi soci mantengono una presenza online attiva su diverse piattaforme, tra cui un repository GitHub personale, un canale YouTube con lo pseudonimo "chickenwing_11" e un profilo Last.fm collegato.

La loro infrastruttura si estende anche ad altri siti correlati alla sicurezza informatica, come un progetto di emulazione di terminale Linux ospitato su xn--xuu.ws, rafforzando ulteriormente l'idea che questa rete funzioni come un incubatore per aspiranti criminali informatici, fornendo risorse anti-malware, soluzioni di hosting e un ambiente collaborativo per attività di hacking clandestine.

https://www.infosecurity-magazine.com/news/coquettte-hacker-malware-bph/

Che cosa è il QR Code Phishing? (Quishing) – Guida agli attacchi e alla prevenzione nel 2025

Il phishing dei codici QR, o "Quishing", è una minaccia informatica che sfrutta l'uso diffuso dei codici QR (Quick Response) negli attacchi di phishing.

Il quishing sfrutta il recente elevato volume di utilizzo e la crescente popolarità dei codici QR. Questi codici, che possono essere facilmente scansionati tramite smartphone, sono comunemente considerati innocenti e sono diventati uno strumento ampiamente utilizzato da aziende e organizzazioni per scambiare informazioni, facilitare i pagamenti o guidare gli utenti verso siti Web. Sfruttare questa fiducia e familiarità è una tattica comune in alcune attività.

I truffatori possono utilizzare i codici QR attraverso vari canali, come e-mail, messaggi di testo, social media, luoghi pubblici o persino avvicinandosi direttamente alle persone per scannerizzarli.

L'FBI ha segnalato un aumento dei truffatori che chiedono alle vittime di utilizzare bancomat fisici con criptovaluta e codici QR per le transazioni di pagamento.

Spesso i truffatori manipolano le vittime per indurle a effettuare pagamenti e intimano loro di prelevare fondi dai loro conti finanziari, compresi i conti di investimento o pensionistici.

L'FBI avverte che alla vittima verrà fornito un codice QR collegato al portafoglio di criptovalute del truffatore, da utilizzare nella transazione.

Il truffatore guiderà quindi la vittima a un bancomat fisico per criptovalute, dove potrà depositare i propri fondi, acquistare criptovalute e utilizzare il codice QR fornito per compilare automaticamente l'indirizzo del destinatario.

Come funziona il Quishing

Generazione di un codice QR dannoso

I criminali informatici creano codici QR che, una volta scansionati, indirizzano gli utenti a siti web ingannevoli o avviano il download di software dannosi.

I codici QR possono essere distribuiti tramite diversi canali, tra cui e-mail, social media, materiale stampato oppure applicando adesivi sui codici QR legittimi in aree pubbliche.

Il processo di truffa

Una volta che qualcuno scansiona il codice QR, viene indirizzato a un sito Web ingannevole che potrebbe sembrare legittimo. Su questo sito, viene chiesto loro di fornire informazioni sensibili come credenziali di accesso, dati personali o dettagli finanziari.

Il malware può essere scaricato in risposta a determinati tentativi di quishing che portano alla compromissione di dispositivi e reti.

Gli aggressori hanno sfruttato account di posta elettronica compromessi per sfruttare l'infrastruttura Outlook legittima dell'organizzazione vittima per inviare i codici QR. Le pagine di phishing trovate dopo le scansioni dei codici QR erano ospitate tramite un servizio di sondaggio aziendale e collegate ad indirizzi IP associati a Google o Amazon.

Ciò che distingue questi messaggi è che includono codici QR che consentono agli utenti di accedere ai messaggi vocali persi. Ciò evita ingegnosamente la necessità di scansionare gli URL per gli allegati e-mail, che i gateway e-mail protetti e i controlli di sicurezza nativi in ​​genere bloccano.

Per lo più, le immagini del codice QR sono state generate lo stesso giorno in cui sono state inviate, il che riduce le possibilità che vengano segnalate da una blocklist di sicurezza a causa di segnalazioni precedenti. Sono stati utilizzati in totale sei profili distinti per trasmettere messaggi per la campagna, con la maggior parte creati per apparire collegati al settore di interesse.

Attacco Quishing recente

Nelle ultime campagne di phishing, i criminali informatici hanno iniziato a utilizzare i codici QR come alternativa ai pulsanti per reindirizzare le vittime a siti web fraudolenti.

Queste e-mail non contengono URL in chiaro, ma utilizzano codici QR per nasconderle, il che rappresenta una sfida per i software di sicurezza.

I codici QR sono diventati più efficaci perché mirati agli utenti di dispositivi mobili, che potrebbero essere meno protetti dagli strumenti di sicurezza di Internet.

Una volta raggiunto il sito di phishing, agli utenti viene chiesto di fornire l'indirizzo della propria banca, il codice, il nome utente e il PIN.

Dopo aver inserito questi dati nella pagina di phishing, l'utente attende pazientemente la convalida, per poi dover reinserire le proprie credenziali perché ritenute errate.

Questa ripetizione viene spesso utilizzata nelle campagne di phishing per evitare errori di battitura quando gli utenti inseriscono le proprie credenziali per la prima volta.

È importante prestare attenzione quando si gestiscono le e-mail, anche se sembrano autentiche. Evita di cliccare su pulsanti, URL o codici QR che ti reindirizzano a siti Web esterni.

Prima di inserire le credenziali del tuo account, è importante verificare il dominio su cui ti trovi per garantirne l'autenticità.

Potresti averli incontrati in vari contesti, come ristoranti, parcheggi e campagne di marketing. Nel 2022, il Federal Bureau of Investigation ha evidenziato il problema dei criminali informatici che manipolano i codici QR per ottenere illegalmente i fondi finanziari delle vittime.

In passato, gli attacchi di phishing tramite QR Code non erano molto comuni. Tuttavia, verso metà settembre 2023, Microsoft Security Research & Threat Intelligence ha notato un notevole aumento dei tentativi di phishing che coinvolgevano i codici QR.

I recenti episodi di quishing (phishing di codici QR) evidenziano le strategie in continua evoluzione impiegate dai criminali informatici e la crescente importanza di mantenere un elevato livello di cautela nella sicurezza digitale.

Obiettivi di attacco di schiacciamento

Molte di queste e-mail di phishing erano specificamente rivolte alle aziende del settore energetico, ma anche altri settori, come quello manifatturiero, assicurativo, tecnologico e dei servizi finanziari, erano oggetto di attacchi.

I codici QR in queste e-mail indirizzavano gli utenti a pagine ingannevoli di Microsoft 365, spesso mascherate da aggiornamenti delle impostazioni di sicurezza o richieste di autenticazione multifattoriale. Questo metodo avanzato utilizzava domini attendibili e tecniche di offuscamento per evitare il rilevamento e arrivare effettivamente nelle caselle di posta elettronica.

Un esempio degno di nota di un attacco quishing riguardava e-mail ingannevoli che sembravano provenire da fonti attendibili, come il Ministero delle Finanze cinese o un servizio di consegna pacchi.

Queste e-mail includevano documenti con codici QR che, una volta scansionati, indirizzavano gli utenti a siti Web ingannevoli per estrarre dati personali e finanziari. Questa strategia ha trasferito con successo l'attacco di phishing da un'impostazione desktop a dispositivi mobili, sfruttando potenzialmente difese anti-phishing più deboli.

L'adozione dei codici QR nelle campagne di phishing riflette una decisione ponderata da parte degli aggressori di sfruttare le piattaforme emergenti e le mutevoli abitudini degli utenti.

L'implementazione di soluzioni di sicurezza e-mail basate sull'intelligenza artificiale può proteggere la tua azienda dalle minacce e-mail più pericolose di oggi, come monitoraggio, blocco, modifica delle e-mail, phishing, furto di account, compromissione delle e-mail aziendali, malware e ransomware. Richiedi una demo gratuita.

I rischi del quishing

I dati personali e sensibili rischiano di essere rubati.

Frode finanziaria: esiste il rischio di furto finanziario diretto o frode, in particolare quando si forniscono informazioni di pagamento.

Infezione da malware: alcuni tentativi ingannevoli possono portare al download di malware, che rappresenta una minaccia per la sicurezza dei dispositivi e delle reti.

Problemi di fiducia: il crescente problema del quishing ha portato a una mancanza di fiducia nei codici QR, il che può ridurne notevolmente l'efficacia per scopi legittimi.

Fai attenzione a non condividere le tue credenziali di accesso, perché potresti causare accessi non autorizzati ai tuoi account personali o aziendali.

Rischio organizzativo Potenziali violazioni della sicurezza: se un dipendente diventa bersaglio di un attacco di phishing, individui non autorizzati rischiano di accedere alle reti aziendali e ai dati sensibili.

Danno alla reputazione: se un'organizzazione viene coinvolta in un attacco di phishing, sia come bersaglio sia a causa della compromissione dei sistemi, potrebbe danneggiare gravemente la propria reputazione.

Perdite finanziarie: oltre al furto diretto, le aziende possono subire perdite finanziarie dovute alla necessità di misure correttive, all'intensificazione delle misure di sicurezza informatica e alle potenziali ripercussioni legali.

Come affrontare i problemi di sicurezza informatica Distribuzione di malware : il quishing è un metodo che può essere utilizzato per distribuire malware, compromettendo dispositivi e reti.

L'uso diffuso dei codici QR ha aumentato significativamente la possibilità per i criminali informatici di sfruttare le vulnerabilità, rendendo ancora più difficile il mantenimento di misure di sicurezza complete.

Concentrarsi sulle fasce vulnerabili della popolazione: gli individui che non hanno familiarità con la tecnologia potrebbero essere più vulnerabili ai tentativi di phishing, il che li espone a un rischio maggiore di essere presi di mira.

Impatto sulla società Calo della fiducia nei codici QR: frequenti attacchi di quishing possono minare la fiducia delle persone nei codici QR, rendendoli meno utili e meno propensi ad essere adottati.

L'esposizione regolare a tali tattiche può indurre gli utenti a diventare insensibili alle attività sospette, rendendoli più vulnerabili ad altri tipi di attacchi informatici.

Possibili conseguenze legali per le organizzazioni: le aziende che non salvaguardano adeguatamente i propri dati potrebbero dover affrontare conseguenze legali, in particolare in base alle normative sulla protezione dei dati come il GDPR.

Sfide di conformità: le organizzazioni devono garantire che le proprie politiche e pratiche di sicurezza informatica siano aggiornate per contrastare efficacemente le minacce in continua evoluzione, il che può richiedere risorse ingenti.

Strategie efficaci e approcci consigliati per prevenire il phishing QR

Aumentare la consapevolezza degli utenti: è essenziale informare gli utenti sui possibili rischi dei codici QR. Gli utenti devono prestare attenzione quando scansionano codici QR da fonti non familiari o non affidabili.

Generazione sicura di codici QR: generare codici QR in modo sicuro e renderli a prova di manomissione è fondamentale per le organizzazioni.

Verifica degli URL: si consiglia di controllare l'URL dopo aver scansionato un codice QR per confermare che corrisponda alla destinazione prevista.

Alcune app di scansione che utilizzano scanner di codici QR sicuri dispongono di funzionalità di sicurezza avanzate in grado di identificare e segnalare in modo efficace tutti gli URL sospetti che potrebbero rappresentare una potenziale minaccia.

Implementazione dell'autenticazione a più fattori (MFA): aggiungere un livello di sicurezza può essere utile, in particolare per le piattaforme spesso prese di mira dagli attacchi di phishing.

Monitoraggio costante: è importante che le aziende monitorino costantemente le proprie campagne con codici QR per rilevare eventuali segnali di manomissione o uso improprio.

Si prega di prestare attenzione quando si condividono informazioni dopo aver scansionato un codice QR: prima di inserire dati o informazioni personali, è importante controllare attentamente il logo e l'URL completo della pagina in cui ci si trova quando viene richiesto di cliccare su un collegamento.

Per una maggiore sicurezza, è consigliabile inserire manualmente l'URL originale nel browser anziché fornire informazioni sensibili tramite un link o un codice QR.

https://cybersecuritynews.com/qr-code-phishing/

RamiGPT – Strumento AI per aumentare i privilegi e ottenere l’accesso root in un minuto

RamiGPT, un nuovo strumento di sicurezza offensiva basato sull'intelligenza artificiale, è noto per la sua capacità di aumentare autonomamente i privilegi e ottenere l'accesso root ai sistemi vulnerabili in meno di un minuto.

Sviluppato dall'utente GitHub M507, lo strumento sfrutta l'API di OpenAI. Integra framework di penetration testing collaudati come PwnTools per semplificare gli attacchi su piattaforme ospitate su VulnHub, un repository di macchine virtuali intenzionalmente vulnerabili per la formazione sulla sicurezza.

Velocità e precisione

RamiGPT ha dimostrato un'efficienza notevole in molteplici scenari VulnHub, tra cui:

Lo strumento combina la scansione automatizzata delle vulnerabilità (utilizzando strumenti come LinPEAS per Linux e BeRoot per Windows) con il processo decisionale basato sull'intelligenza artificiale per identificare configurazioni errate, credenziali deboli o servizi sfruttabili.

Ad esempio, nella sfida R-TEMIS: 1 CTF, RamiGPT ha replicato passaggi manuali come l'attacco brute-forcing SSH e l'analisi della cronologia di MySQL per estrarre le credenziali di root a livello di programmazione.

Configurazione e distribuzione

Per utilizzare RamiGPT, gli utenti devono:Ottieni una chiave API OpenAI :Crea un account OpenAI e richiedi l'accesso all'API.

Configurare la chiave in un .envfile dopo aver clonato il repository.

Esegui tramite Docker o localmente 

Sebbene la velocità di RamiGPT sia senza precedenti, gli esperti mettono in guardia contro l'uso improprio. Arthur Howell, analista di sicurezza informatica, ha osservato: "Strumenti come RamiGPT ridefiniscono gli esercizi di red-team ma richiedono rigidi limiti etici". Il repository GitHub limita esplicitamente l'uso ad ambienti autorizzati, sottolineando la conformità a leggi come il Computer Fraud and Abuse Act (CFAA).

Le soluzioni Privileged Access Management (PAM) si stanno ora adattando per contrastare le minacce guidate dall'intelligenza artificiale. I moderni framework PAM impongono:Percorsi di controllo degli algoritmi per monitorare le modifiche al modello di intelligenza artificiale.

Analisi comportamentale per rilevare modelli di accesso anomali.

Controlli degli accessi basati sul tempo per limitare le finestre di esposizione.

RamiGPT evidenzia sia il potenziale che i rischi dell'intelligenza artificiale nella sicurezza offensiva:

Pro: accelera la scoperta delle vulnerabilità e riduce l'errore umano nei test di penetrazione.

Contro: riduce la barriera d'ingresso per gli autori di attacchi malintenzionati; potrebbe automatizzare gli attacchi su larga scala.

RamiGPT è disponibile apertamente su GitHub, sebbene la sua efficacia dipenda da aggiornamenti continui per soddisfare le sfide in evoluzione di VulnHub. Mentre l'IA rimodella la sicurezza informatica, l'equilibrio tra innovazione offensiva e resilienza difensiva definirà la prossima era della guerra digitale.

https://cybersecuritynews.com/ramigpt-gain-root-access/

La CISA avverte della vulnerabilità di Apache Tomcat sfruttata in natura

La Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto una vulnerabilità critica di Apache Tomcat al suo catalogo delle vulnerabilità note sfruttate (KEV) in seguito alle prove di sfruttamento attivo in circolazione.

La vulnerabilità, identificata come CVE-2025-24813, consente ad aggressori remoti di eseguire codice arbitrario, accedere a informazioni sensibili o iniettare contenuti dannosi tramite un difetto di equivalenza del percorso nel famoso software per server web.

Vulnerabilità di equivalenza del percorso Apache Tomcat

CVE-2025-24813 è una vulnerabilità di equivalenza del percorso con un punteggio CVSS di 9,8, che rappresenta un grave rischio per le organizzazioni che eseguono installazioni Tomcat non corrette.

La falla è causata dalla gestione impropria delle richieste PUT parziali, che consente ad aggressori non autenticati di eseguire codice in remoto tramite una sofisticata catena di attacchi.

"Questa vulnerabilità non è universalmente sfruttabile. Richiede una confluenza di configurazioni specifiche", hanno osservato i ricercatori della sicurezza che stanno indagando sulla falla.

Tuttavia, quando queste condizioni si allineano, l’attacco diventa “semplicissimo da eseguire”, secondo i ricercatori di Wallarm citati in recenti rapporti.

La vulnerabilità interessa più versioni di Apache Tomcat, tra cui 11.0.0-M1 a 11.0.2, 10.1.0-M1 a 10.1.34 e 9.0.0.M1 a 9.0.98.

I ricercatori di sicurezza hanno confermato che anche le versioni 8.5.x (in particolare dalla 8.5.0 alla 8.5.98 e 8.5.100, esclusa la 8.5.99) sono vulnerabili, sebbene inizialmente non fossero state incluse nell'avviso di Apache.

Di seguito è riportato il riepilogo della vulnerabilità:

Gli esperti di sicurezza hanno identificato il processo di sfruttamento come segue:

Gli aggressori inviano al server vulnerabile una richiesta PUT contenente un payload Java serializzato codificato in Base64.

Seguono una richiesta GET contenente un cookie "JSESSIONID" appositamente creato che fa riferimento alla sessione dannosa. Ciò fa sì che il server deserializzi il payload, innescando l'esecuzione del codice.

Per uno sfruttamento di successo, devono essere soddisfatte diverse condizioni:Il servlet predefinito deve avere i permessi di scrittura abilitati (disabilitati per impostazione predefinita).

Deve essere abilitato il supporto PUT parziale (abilitato per impostazione predefinita).

L'applicazione deve utilizzare la persistenza della sessione basata sui file di Tomcat.

L'applicazione deve includere una libreria vulnerabile alla deserializzazione.

Bonifica

La CISA ha aggiunto CVE-2025-24813 al suo catalogo KEV, segnalandolo come un “frequente vettore di attacco per i malintenzionati” che pone “rischi significativi per l’impresa federale”.

Le agenzie del ramo esecutivo civile federale (FCEB) sono tenute a porre rimedio a questa vulnerabilità entro il 22 aprile 2025, in base alla direttiva operativa vincolante (BOD) 22-01.

Sebbene la direttiva si applichi solo alle agenzie federali, la CISA “esorta fermamente tutte le organizzazioni a ridurre la loro esposizione agli attacchi informatici dando priorità a una tempestiva correzione”.

Apache ha rilasciato versioni patchate per risolvere questa vulnerabilità. Le organizzazioni dovrebbero effettuare immediatamente l'aggiornamento ad Apache Tomcat versioni 9.0.99, 10.1.35 o 11.0.3, a seconda del loro ambiente.

Gli esperti di sicurezza raccomandano inoltre queste ulteriori strategie di mitigazione:Disattivare i metodi HTTP non necessari.

Applicare rigidi controlli di accesso.

Distribuire firewall per applicazioni Web (WAF).

Implementare un monitoraggio continuo degli indicatori di minaccia.

Per le organizzazioni che non sono in grado di applicare immediatamente la patch, la revisione delle configurazioni del server per assicurarsi che il servlet predefinito non abbia autorizzazioni di scrittura abilitate può fornire una mitigazione temporanea, poiché questa condizione è necessaria per uno sfruttamento riuscito.

https://cybersecuritynews.com/cisa-warns-of-apache-tomcat-vulnerability-exploited/

Google Chrome è stato interessato da CVE-2025-2783

CVE-2025-2783 è una vulnerabilità zero-day che colpisce Google Chrome, scoperta in una campagna mirata di cyber-spionaggio nota come Operation ForumTroll. Questa falla critica ha permesso agli aggressori di aggirare le robuste protezioni sandbox di Chrome ed eseguire codice dannoso sui sistemi delle vittime.

Panoramica di CVE-2025-2783

Dettagli tecniciIl difetto risiede in Mojo, una libreria di comunicazione interprocesso (IPC) ampiamente utilizzata in Chrome. Mojo facilita la comunicazione tra i componenti del browser.

La vulnerabilità deriva da una gestione non corretta degli handle, che crea una situazione in cui gli aggressori possono aumentare i privilegi ed eseguire payload dannosi.

Sfruttando questa falla, gli aggressori aggirano le protezioni sandbox di Chrome , progettate per isolare i processi del browser dal resto del sistema operativo. Questa violazione garantisce l'accesso non autorizzato alla macchina della vittima.

Meccanismo di sfruttamento

Vettore di attacco

La vulnerabilità è stata sfruttata tramite e-mail di spear-phishing che hanno reindirizzato le vittime a siti Web dannosi creati appositamente per sfruttare la falla. Questi siti contenevano codice che prendeva di mira la libreria vulnerabile Chrome Mojo.

Metodo di consegnaLe vittime venivano indotte a cliccare su link inseriti in e-mail che sembravano legittime.

Non è stata richiesta alcuna interazione aggiuntiva da parte dell'utente una volta che la vittima ha avuto accesso al sito dannoso. Ciò ha reso l'attacco particolarmente efficace.

Profilo della vittima

Lo zero-day è stato utilizzato principalmente nell'operazione ForumTroll, che aveva come obiettivo: Organi di stampa russi: probabilmente mirano a influenzare le narrazioni o a rubare dati sensibili.

Istituzioni educative: tra i possibili moventi rientrano il furto di proprietà intellettuale o lo spionaggio.

Enti governativi: per acquisire informazioni classificate o interrompere le operazioni.

Impatto e portata

Sistemi interessatiVersioni di Google Chrome:

Tutte le versioni di Chrome precedenti alla 134.0.6998.178 erano vulnerabili.

Browser basati su Chromium:

Potrebbero essere interessati anche altri browser basati sul framework Chromium, come Microsoft Edge, Brave, Opera e Vivaldi.

Danni potenziali

Lo sfruttamento di CVE-2025-2783 potrebbe comportare:

Esfiltrazione dei dati: Gli aggressori hanno avuto accesso a file sensibili memorizzati nei sistemi delle vittime, tra cui credenziali, documenti e altri dati proprietari.

Compromissione del sistema :Il malware è stato distribuito per mantenere un accesso e un controllo persistenti sui dispositivi compromessi.

Spionaggio: Probabilmente sono state prese di mira informazioni riservate provenienti da enti governativi e proprietà intellettuali di istituti scolastici.

Gravità

Questa vulnerabilità è classificata come critica a causa di: Il suo stato zero-day.

La possibilità di aggirare le protezioni sandbox di Chrome.

Il suo sfruttamento da parte di una probabile minaccia persistente avanzata (APT) sponsorizzata dallo Stato.

Strategie di mitigazione

La risposta di Google

Google ha rapidamente risolto la vulnerabilità rilasciando una patch nella versione 134.0.6998.178 di Chrome. Questo aggiornamento assicura la corretta gestione degli handle IPC e ripristina l'integrità della sandbox.

Passaggi per gli utenti

Aggiornamenti immediati: Gli utenti devono aggiornare manualmente Chrome andando su Impostazioni > Informazioni su Chrome. In questo modo si garantisce che sia installata la patch di sicurezza più recente.

Verifica le versioni del browser: Assicurarsi che tutti i browser basati su Chromium siano aggiornati alle rispettive versioni patchate.

Consapevolezza del phishing: Formare utenti e dipendenti a riconoscere le email di phishing ed evitare di cliccare su link sospetti.

Abilita Endpoint Protection: Implementare strumenti avanzati di Endpoint Detection and Response (EDR) per identificare e bloccare il malware che potenzialmente sfrutta la vulnerabilità.

Rafforzamento del sistema: Implementare strumenti di potenziamento della sandbox e limitare l'accesso ai file critici.

Implicazioni più ampie

L'importanza degli aggiornamenti tempestivi

Questo incidente evidenzia l'urgenza per le organizzazioni di implementare sistemi di gestione delle patch per distribuire rapidamente gli aggiornamenti e proteggersi dalle minacce emergenti.

L'evoluzione degli APT

Le vulnerabilità zero-day come CVE-2025-2783 ci ricordano come le minacce persistenti avanzate (APT) sfruttino tecniche sofisticate per infiltrarsi nei sistemi, soprattutto a fini di spionaggio.

Raccomandazioni future

Monitoraggio proattivo: Utilizzare servizi di intelligence sulle minacce per rilevare nuovi attacchi zero-day e potenziali modelli di sfruttamento.

Programmi Bug Bounty: Migliorare i programmi che incentivano i ricercatori a segnalare le vulnerabilità prima che vengano sfruttate.

Collaborazione: Rafforzare la cooperazione tra governi, aziende tecnologiche e ricercatori sulla sicurezza informatica per identificare e mitigare le minacce in modo più efficace.

Conclusione

CVE-2025-2783 sottolinea la minaccia persistente rappresentata dalle vulnerabilità zero-day, specialmente in software ampiamente utilizzati come Google Chrome. Lo sfruttamento di questa vulnerabilità tramite Operation ForumTroll dimostra la crescente sofisticatezza delle campagne di cyber-spionaggio. Mentre Google ha rilasciato una patch per mitigare il problema, organizzazioni e individui devono rimanere vigili e adottare misure proattive per proteggersi da minacce simili.

https://thecyberthrone.in/2025/03/27/google-chrome-was-affected-by-cve-2025-2783/

Twitter (X) colpito da una fuga di dati di 2,8 miliardi di profili in un presunto insider job

Un'enorme fuga di dati sul profilo Twitter (X) espone i dettagli di 2,8 miliardi di utenti; presunte fughe di notizie interne vengono alla luce, ma non c'è stata alcuna risposta ufficiale da parte dell'azienda.

Una fuga di dati che ha coinvolto ben 2,87 miliardi di utenti Twitter (X) è emersa sui famigerati Breach Forums. Secondo un post di un utente di nome ThinkingOne, la fuga di dati è il risultato di un dipendente X scontento che avrebbe rubato i dati durante un periodo di licenziamenti di massa . Se fosse vero, questa sarebbe la più grande fuga di dati sui social media della storia, ma sorprendentemente, né X né il pubblico più ampio sembrano esserne a conoscenza.

Cosa sappiamo della fuga di notizie

Il post originale di ThinkingOne afferma che i dati, per un valore di circa 400 GB, sono stati probabilmente esfiltrati durante i licenziamenti caotici di X. L'autore del post afferma di aver provato a contattare X tramite diversi metodi, ma di non aver ricevuto risposta.

Frustrati dalla mancanza di riconoscimento da parte di X e del pubblico in generale, hanno preso in mano la situazione e hanno deciso di unire i dati appena trapelati con un'altra famigerata violazione avvenuta nel gennaio 2023.

Uno screenshot di Breach Forums mostra cosa ha pubblicato ThinkingOne sulla presunta fuga di notizie (Credito: Waqas/Hackread.com)

Riepilogo delle violazioni del 2023

Per comprendere la portata completa di ciò che è trapelato, è importante guardare alla violazione dei dati del 2023 X che ha interessato circa 209 milioni di utenti. Tale violazione ha esposto:

Indirizzi email

Nomi visualizzati e nomi utente (handle)

Conteggio dei follower e date di creazione dell'account

All'epoca, X minimizzò la fuga di notizie, affermando che si trattava di dati disponibili al pubblico. Nonostante la massiccia esposizione di indirizzi email, insistettero sul fatto che non erano coinvolte informazioni sensibili o private. Tuttavia, gli esperti di sicurezza avvisarono che la combinazione di email e dati pubblici avrebbe potuto consentire phishing e furto di identità su larga scala.

Cosa c'è dietro la presunta fuga di notizie del 2025?

La fuga di notizie del 2025, tuttavia, è una bestia completamente diversa. A differenza della fuga di notizie del 2023, non contiene indirizzi email, ma contiene una miniera d'oro di metadati di profilo, tra cui:

Date di creazione dell'account 

ID utente e nomi schermo 

Descrizioni del profilo e URL 

Impostazioni di posizione e fuso orario 

Nomi visualizzati (correnti e dal 2021).

I follower sono conteggiati sia nel 2021 che nel 2025 

Conteggio dei tweet e timestamp dell'ultimo tweet Conteggio degli amici, conteggio degli elenchi e conteggio dei preferiti 

Fonte dell'ultimo tweet (ad esempio TweetDeck o X Web App)

Impostazioni di stato (ad esempio se il profilo è verificato o protetto).

I dati forniscono un'istantanea dettagliata dei profili e delle attività degli utenti nel tempo, tra cui biografie, conteggi dei follower di diversi anni, cronologia dei tweet e persino l'app utilizzata per l'ultimo tweet. Ma l'unica cosa che non include è la parte più sensibile: gli indirizzi email.

Dati analizzati dal team di ricerca di Hackread.com (Credito: Waqas/Hackread.com)

Il mashup dei dati

ThinkingOne, una figura ben nota su Breach Forums per la sua abilità nell'analizzare le perdite di dati, ha deciso di combinare la perdita del 2025 con quella del 2023, producendo un singolo file CSV da 34 GB (9 GB compressi) contenente 201 milioni di voci unite. Per essere chiari, i dati uniti includono solo gli utenti che sono apparsi in entrambi gli incidenti, creando una confusione tra dati pubblici e semi-pubblici.

Questa combinazione disordinata ha portato molti a credere che la fuga di notizie del 2025 contenesse anche indirizzi email, ma non è così. Le email mostrate nel file unito provengono dalla violazione del 2023. La presenza di email nel dataset unito ha dato l'impressione sbagliata che il contenuto della fuga di notizie del 2025 includa anche indirizzi email.

Perché 2,8 miliardi non tornano

A gennaio 2025, X (ex Twitter) aveva circa 335,7 milioni di utenti, quindi come è possibile che i dati di 2,8 miliardi di utenti siano trapelati? Una possibile spiegazione è che il set di dati include dati aggregati o storici, come account bot creati e successivamente bannati, account inattivi o eliminati che persistevano ancora nei record storici o vecchi dati che sono stati uniti a dati più recenti, aumentando il numero totale di record.

Inoltre, alcune voci potrebbero non rappresentare nemmeno utenti reali, ma includere entità non utente, come account API, bot per sviluppatori, profili eliminati o vietati che sono rimasti registrati da qualche parte, oppure account di organizzazioni e marchi che non sono collegati a singoli utenti.

Un'altra possibilità è che i dati trapelati non siano stati ottenuti esclusivamente da Twitter stesso, ma piuttosto siano stati recuperati da più fonti pubbliche e uniti insieme, includendo dati archiviati da vecchie fughe di notizie o informazioni da servizi di terze parti collegati agli account Twitter.

Chi è ThinkingOne e come ha ottenuto i dati?

Uno dei più grandi misteri è come ThinkingOne sia riuscito a ottenere i dati trapelati del 2025 in primo luogo. A differenza dei tipici hacker, non sono noti per aver violato i sistemi in prima persona, ma sono molto stimati per l'analisi e l'interpretazione dei set di dati trapelati. Non è ancora chiaro se abbiano ricevuto i dati da un'altra fonte o se abbiano condotto una sofisticata aggregazione di dati.

La loro teoria secondo cui un dipendente scontento avrebbe fatto trapelare i dati durante i licenziamenti non è stata confermata e non ci sono prove concrete a sostegno; si tratta solo di un'ipotesi plausibile, dati i tempi e il caos interno all'azienda X.

Perché il silenzio di X?

Se le affermazioni sono vere, non si tratta solo di una fuga di dati di dimensioni enormi, ma anche di un duro colpo alla privacy degli utenti. Inoltre, che si sia trattato o meno di un lavoro interno, gli utenti si ritrovano con più domande che risposte: quanti dei loro dati sono stati "presi" ? Chi c'è dietro la fuga? E perché X non ha detto nulla a riguardo, anche dopo che ThinkingOne ha provato a contattarlo più volte?

https://hackread.com/twitter-x-of-2-8-billion-data-leak-an-insider-job/