Ago 27, 2025 Marina Londei In evidenza, Malware, Minacce, News, RSS 0

---

Google ha deciso di aumentare la sicurezza dei dispositivi Android annunciando la verifica dell’identità degli sviluppatori: qualsiasi applicazione, anche quelle non distribuite sul Play Store, potrà essere installato solo se l’identità dello sviluppatore è riconosciuta dalla compagnia.

Molte applicazioni Android, anche legittime, vengono rese disponibili al di fuori dei canali ufficiali Google, alimentando il fenomeno del cosiddetto “sideloading“, ovvero il download di app al di fuori del Play Store. Ciò però espone gli utenti a numerose minacce: i cybercriminali sfruttano questo meccanismo per distribuire malware mobile più facilmente.

“Abbiamo visto come gli autori di attacchi informatici si nascondano dietro l’anonimato per danneggiare gli utenti, spacciandosi per sviluppatori e utilizzando la loro fama per creare app false convincenti. La portata di questa minaccia è significativa: la nostra recente analisi ha rilevato una quantità di malware proveniente da fonti di sideloading su Internet oltre 50 volte superiore rispetto a quella presente nelle app disponibili su Google Play” specifica la compagnia sul suo blog.

Per garantire più sicurezza ai propri utenti, Google ha deciso di permettere l’installazione di applicazioni su dispositivi Android (certificati) solo se distribuite da sviluppatori verificati. Questa nuova funzionalità si occuperà di controllare esclusivamente l’identità dell’autore dell’app, ma non il contenuto, né la provenienza. 

“Da quando abbiamo implementato i requisiti di verifica su Google Play nel 2023, abbiamo constatato in prima persona quanto sia utile l’identificazione degli sviluppatori per impedire ai malintenzionati di sfruttare l’anonimato per distribuire malware, commettere frodi finanziarie e rubare dati sensibili” continua la compagnia. “L’introduzione di un processo simile su Android su più ampia scala fornirà una base di riferimento coerente e di buon senso per la responsabilità degli sviluppatori in tutto l’ecosistema“.

Coloro che distribuiscono applicazioni al di fuori di Google Play potranno completare il processo di verifica direttamente su Android Developer Console. Facilitando la verifica anche a chi non pubblica sui canali ufficiali, la compagnia mira a lasciare la libertà di scelta agli utenti, favorendo un sistema open senza rinunciare alla sicurezza.

Secondo la timeline condivisa di Google, a partire da ottobre alcuni sviluppatori selezionati potranno prendere parte a un programma early access per la verifica dell’identità e alla community dedicata; da marzo 2026 il processo sarà aperto a tutti i developer. I requisiti di verifica per le app diventeranno effettivi da settembre 2026 in Brasile, Singapore, Indonesia e Thailandia, i Paesi più impattati dalle operazioni fraudolente tramite app mobile, mentre verranno estesi nel resto del mondo a partire dal 2027.

---

---

---

https://www.securityinfo.it/2025/08/27/android-piu-sicurezza-con-la-verifica-dellidentita-sviluppatori/?utm_source=rss&utm_medium=rss&utm_campaign=android-piu-sicurezza-con-la-verifica-dellidentita-sviluppatori

La sicurezza informatica, come la conosciamo oggi, è il risultato di un’evoluzione scientifica e tecnologica che ha attraversato oltre cinquant’anni di innovazioni rivoluzionarie. Dalle prime vulnerabilità dei sistemi mainframe degli anni ’60 alle sofisticate architetture di sicurezza contemporanee, il settore è stato plasmato da visionari, matematici, crittografi e informatici che hanno gettato le basi teoriche e pratiche della cybersecurity moderna.

L’analisi delle figure pioneristiche e delle loro contribuzioni teoriche rivela un ecosistema intellettuale complesso, caratterizzato da breakthrough scientifici che hanno ridefinito paradigmi consolidati e aperto nuove frontiere nella protezione dei sistemi informatici. Questi contributi non rappresentano meramente progressi tecnologici isolati, ma costituiscono un corpus teorico-metodologico coerente che ha determinato l’architettura concettuale della sicurezza informatica contemporanea.

Bob Thomas: Il padre della cybersecurity e la nascita del malware

Il Creeper Program e la genesi della sicurezza informatica

Bob Thomas è universalmente riconosciuto come il “padre della cybersecurity” per aver creato nel 1971 il primo computer worm conosciuto, denominato Creeper Program. Lavorando presso BBN Technologies, Thomas sviluppò questo software auto-replicante che si propagava attraverso ARPANET, precursore di Internet, visualizzando il messaggio iconico “I’m the creeper, catch me if you can!” sui computer infetti.

Il Creeper Program non era concepito come malware malevolo, ma piuttosto come esperimento per dimostrare le vulnerabilità intrinseche dei sistemi interconnessi. La capacità senza precedenti del programma di propagarsi attraverso diversi computer evidenziò la necessità di misure proattive di cybersecurity. Questo esperimento rivoluzionario sottolineò per la prima volta le vulnerabilità dei sistemi in rete, stimolando i ricercatori futuri a sviluppare soluzioni difensive.

Contributi teorici e pratici

Thomas non si limitò alla creazione del primo virus informatico, ma fu uno dei pionieri nel campo della sicurezza informatica, sviluppando alcuni dei primi protocolli di sicurezza che sono ancora utilizzati oggi. La sua opera ha stabilito i fondamenti concettuali per comprendere le minacce informatiche e ha catalizzato lo sviluppo dell’intera disciplina della cybersecurity.

Ray Tomlinson: l’inventore dell’email e il primo antivirus

Il programma REAPER e la nascita delle contromisure

Ray Tomlinson, l’inventore dell’email, creò il programma REAPER, considerato il primo software antivirus, progettato per rimuovere il virus CREEPER dai sistemi infetti, inaugurando l’era delle contromisure di sicurezza informatica. Il REAPER rappresentò il primo esempio di software difensivo nella storia della cybersecurity, stabilendo il principio fondamentale che ogni minaccia informatica richiede una contromisura specifica.

Rivoluzione concettuale nella sicurezza informatica

L’approccio di Tomlinson introdusse un paradigma rivoluzionario: l’idea che la sicurezza informatica non dovesse limitarsi alla prevenzione, ma dovesse includere anche capacità di rilevamento, risposta e remediation. Questo modello concettuale è alla base delle moderne architetture di sicurezza multi-layer.

Dorothy Denning: la matriarca della crittografia e della sicurezza informatica

Contributi teorici fondamentali

Dorothy Elizabeth Denning è riconosciuta come una delle massime autorità mondiali nella sicurezza informatica, nota per il controllo degli accessi basato su reticoli (LBAC), i sistemi di rilevamento delle intrusioni (IDS), e altre innovazioni di cybersecurity. Ha pubblicato quattro libri e oltre 200 articoli, ed è stata inserita nella National Cyber Security Hall of Fame nel 2012.

Il modello Lattice e la sicurezza delle informazioni

Il suo lavoro “A Lattice Model of Secure Information Flow” presentato nel 1976 fornì un metodo per controllare l’accesso ai dati che è ancora utilizzato oggi. Questo modello teorico rivoluzionò la comprensione del flusso delle informazioni sicure nei sistemi informatici, introducendo formalismi matematici rigorosi per la gestione della confidenzialità e dell’integrità dei dati.

Innovazioni nei sistemi di rilevamento delle intrusioni

Mentre lavorava presso SRI International, Denning e Peter G. Neumann svilupparono un modello di sistema di rilevamento delle intrusioni (IDS) utilizzando statistiche per il rilevamento delle anomalie che è ancora la base per i sistemi di rilevamento delle intrusioni odierni. Il loro Intrusion Detection Expert System (IDES) combinava un sistema esperto basato su regole con un componente statistico di rilevamento delle anomalie, stabilendo l’architettura concettuale dei moderni sistemi di sicurezza adattivi.

Contributi alla crittografia e alla protezione dei dati

Denning migliorò la sicurezza dei dati attraverso la tecnologia di crittografia. Introdusse timestamp nei protocolli di distribuzione delle chiavi, checksum crittografici per la sicurezza dei database multilivello, e un metodo per migliorare la sicurezza delle firme digitali con RSA e altri sistemi crittografici a chiave pubblica.

Whitfield Diffie e Martin Hellman: i rivoluzionari della crittografia a chiave pubblica

La rivoluzione crittografica del 1976

L’articolo di Diffie e Martin Hellman “New Directions in Cryptography”, pubblicato nel 1976, risolse uno dei problemi fondamentali della crittografia: lo scambio delle chiavi tra due parti, introducendo il metodo che oggi porta i loro nomi: l’algoritmo Diffie-Hellman.

Il loro articolo iniziava con la profetica dichiarazione: “We stand today on the brink of a revolution in cryptography” – una rivoluzione che le loro intuizioni della metà degli anni ’70 furono fondamentali per portare a compimento negli anni e decenni successivi.

Impatto teorico e pratico

A metà degli anni ’70, Whitfield Diffie e Martin Hellman inventarono la crittografia a chiave pubblica, un’innovazione che alla fine cambiò il mondo. Oggi la crittografia a chiave pubblica fornisce la base primaria per la comunicazione sicura su Internet, consentendo lavoro online, socializzazione, shopping, servizi governativi e molto altro.

La loro innovazione introdusse il concetto rivoluzionario della crittografia asimmetrica, dove le chiavi di cifratura e decifratura sono matematicamente correlate ma distinte, risolvendo il problema secolare della distribuzione sicura delle chiavi crittografiche.

Conflitti con la NSA e implicazioni politiche

Diffie e Hellman si scontrarono con la NSA per le loro pubblicazioni, includendo uno studio che sosteneva che l’agenzia aveva spinto IBM a indebolire il Data Encryption Standard (DES) del National Bureau of Standards limitando la dimensione della chiave a 56 bit invece di un’opzione più forte di 64 bit o superiore.

Il Trio RSA: Rivest, Shamir e Adleman

L’algoritmo RSA e la sua genesi

Ron Rivest, Adi Shamir, e Leonard Adleman al Massachusetts Institute of Technology fecero diversi tentativi nel corso di un anno per creare una funzione difficile da invertire. Rivest e Shamir, come informatici, proposero molte funzioni potenziali, mentre Adleman, come matematico, era responsabile di trovare le loro debolezze.

Nell’aprile 1977, trascorsero la Pasqua a casa di uno studente e bevvero una buona quantità di vino prima di tornare alle loro case verso mezzanotte. Rivest, incapace di dormire, si distese sul divano con un libro di matematica e iniziò a pensare alla loro funzione unidirezionale. Trascorse il resto della notte formalizzando la sua idea, e aveva gran parte del paper pronto all’alba.

Contributi teorici e impatto

Rivest Shamir Adleman (RSA) è un algoritmo crittografico a chiave pubblica o asimmetrico ben noto. Protegge i dati sensibili attraverso crittografia e decrittografia utilizzando una coppia di chiavi private e pubbliche. Introdotto per la prima volta nel 1977 da Ron Rivest, Adi Shamir e Leonard Adleman del Massachusetts Institute of Technology, RSA prende il nome dalle loro iniziali.

L’algoritmo RSA risolse praticamente il problema della implementazione della crittografia a chiave pubblica, fornendo un sistema matematicamente robusto basato sulla difficoltà computazionale di fattorizzare grandi numeri primi.

Innovatori nell’antivirus e nella protezione endpoint

I pionieri dell’antivirus commerciale

I primi software antivirus emersero alla fine degli anni ’80 in risposta al problema crescente dei virus informatici. Bernd Fix creò un programma nel 1987 per rimuovere il virus “Vienna”, segnando l’inizio dello sviluppo di software antivirus. Lo stesso anno, Andreas Lüning e Kai Figge rilasciarono il primo prodotto antivirus commerciale, “Antivirus Toolkit” sotto la compagnia G Data Software.

L’evoluzione delle tecnologie di protezione

Dalla fine degli anni ’80, il numero di campioni di malware prodotti esplose. Da alcune decine di migliaia di campioni noti nei primi anni ’90, la cifra raggiunse circa 5 milioni di nuovi campioni ogni anno entro il 2007. Entro il 2014, si stimava che circa 500.000 campioni di malware unici venissero prodotti ogni giorno.

Questa escalation quantitativa ha guidato l’evoluzione dalle soluzioni antivirus tradizionali basate su firme verso architetture più sofisticate come Endpoint Protection Platforms (EPP) e Endpoint Detection and Response (EDR).

Figure contemporanee e hall of fame della cybersecurity

I membri della Cyber Security Hall of Fame

La Global Cyber Security Hall of Fame, fondata da Larry Letow e Rick Geritz, fu istituita nel 2012 per riconoscere i contributi di individui chiave nel campo della cybersecurity; la sua mission è “Respect the Past – Protect the Future”.

Tra i membri illustri troviamo:

• Rebecca Bace: pioniera nel campo del rilevamento delle intrusioni, lavorò per la NSA e successivamente nel settore privato high-tech
• Howard Schmidt: creò il primo laboratorio di computer forensics del governo statunitense, servì come consulente per la cybersecurity della Casa Bianca nelle amministrazioni Bush e Obama
• Matthew Bishop: professore all’Università della California a Davis
• Alan Paller: ex presidente del SANS Technology Institute

Innovatori contemporanei

Alan Paller è stato fondatore del SANS Institute e critico nel lancio della Global Information Assurance Certification (GIAC), guidando l’educazione specializzata in cybersecurity per milioni di professionisti.

Teorici della sicurezza e dell’accesso ai sistemi

Contributi alla teoria della sicurezza informatica

La sicurezza informatica iniziò negli anni ’60 quando i ricercatori notarono vulnerabilità nei sistemi mainframe multi-utente. Il Project MAC al MIT assunse un ruolo guida, sviluppando uno dei primi protocolli di sicurezza per isolare i dati degli utenti. Il Compatible Time-Sharing System (CTSS) introdusse i permessi dei file per garantire la sicurezza individuale dei dati.

L’evoluzione verso Internet

Progetti come ARPANET, precursore di Internet, evidenziarono ulteriormente la necessità di misure di sicurezza robuste quando i sistemi divennero interconnessi.

Breakthrough crittografici e il loro impatto

La rivoluzione della crittografia simmetrica e asimmetrica

Nel 1976: Il protocollo di scambio chiavi Diffie-Hellman rivoluziona la crittografia e la comunicazione sicura. Questo protocollo permette alle parti di stabilire una chiave segreta condivisa su un canale insicuro, aprendo la strada alle tecniche di crittografia moderne.

L’era degli standard crittografici

Gli anni ’80 segnarono l’emergere dell’era antivirus mentre i virus informatici proliferavano. Con l’introduzione dei primi software antivirus come VirusScan di John McAfee, iniziarono gli sforzi per combattere le minacce emergenti, gettando le basi per la battaglia continua tra difensori informatici e attaccanti.

Hacker etici e consulenti di sicurezza

Kevin Mitnick: dal crimine alla consulenza

Sebbene Kevin Mitnick abbia avuto un passato controverso di hacking, ha trasformato le conoscenze e le competenze acquisite dai crimini in consulenza. Ora Mitnick, con la sua azienda Mitnick Security, esegue servizi di penetration testing. Lui e il suo team simulano attacchi, e poi procedono con piani su come rafforzare la cybersecurity dei loro clienti.

Con il suo passato di hacking nelle reti di quaranta aziende negli anni ’90 e finendo nella lista dei più ricercati dell’FBI, Mitnick ha l’intuizione delle vulnerabilità che gli hacker attaccano. Le aziende Fortune 500 si rivolgono a lui per la sua consulenza ed esperienza.

Impatti tecnologici e sociali delle innovazioni

La trasformazione del panorama digitale

Le innovazioni pionieristiche nella cybersecurity hanno facilitato la nascita dell’economia digitale moderna. Senza i contributi teorici e pratici di questi visionari, l’Internet commerciale, l’e-commerce, il cloud computing e le moderne architetture di rete non avrebbero potuto svilupparsi nella forma attuale.

Evoluzione delle minacce e delle difese

Nel 1988, Robert Morris creò un worm informatico, che rallentò significativamente i primi Internet. Quindi, abbiamo il primo attacco DoS nella storia. Sorprendentemente, Morris non scrisse il worm per causare danni.

Nel 2000: Il worm ILOVEYOU infettò milioni di computer in tutto il mondo nel giro di poche ore dal suo rilascio. Il worm è uno dei più dannosi nella storia.

Eredità scientifica e metodologica dei dei pionieri della cybersecurity

Paradigmi teorici consolidati

I contributi dei pionieri della cybersecurity hanno stabilito paradigmi teorici duraturi che continuano a guidare la ricerca e lo sviluppo contemporanei:

1. Modelli di controllo degli accessi: I formalismi matematici introdotti da Denning continuano a essere la base teorica per i moderni sistemi di autorizzazione
2. Crittografia a chiave pubblica: I principi di Diffie-Hellman e RSA rimangono fondamentali per la sicurezza delle comunicazioni digitali
3. Rilevamento delle intrusioni: Le architetture ibride statistiche-esperte sviluppate negli anni ’80 sono ancora il paradigma dominante nei sistemi di security monitoring
4. Filosofia defense-in-depth: L’approccio multi-layer derivato dalle prime esperienze con malware e contromisure

Metodologie di ricerca scientifica

L’evoluzione della cybersecurity ha anche stabilito metodologie di ricerca specifiche, caratterizzate da:

• Approccio interdisciplinare: Integrazione di matematica, informatica, psicologia e scienze sociali
• Ricerca orientata alla sicurezza: Metodologie che considerano simultaneamente aspetti offensivi e difensivi
• Validazione empirica: Necessità di testare teorie su sistemi reali e con minacce concrete
• Etica della ricerca: Bilanciamento tra disclosure responsabile e progresso scientifico

Conclusioni: L’eredità intellettuale della cybersecurity

L’analisi delle figure pioneristiche e delle loro contribuzioni rivela che la sicurezza informatica moderna è il risultato di un processo intellettuale complesso e stratificato, caratterizzato da breakthrough scientifici che hanno ridefinito i paradigmi della protezione digitale. I contributi di Bob Thomas, Dorothy Denning, Whitfield Diffie, Martin Hellman, e del trio RSA non rappresentano eventi isolati, ma costituiscono un ecosistema teorico coerente che ha determinato l’architettura concettuale della cybersecurity contemporanea.

Le loro innovazioni hanno trasceso i confini puramente tecnologici per diventare fondamenti epistemologici di una nuova disciplina scientifica. L’integrazione di crittografia avanzata, teoria dell’informazione, matematica computazionale e ingegneria dei sistemi ha creato un corpus metodologico che continua a guidare la ricerca e lo sviluppo nelle tecnologie di sicurezza.

Per i professionisti della cybersecurity contemporanea, la comprensione di questa eredità intellettuale è essenziale non solo per apprezzare l’evoluzione storica del settore, ma anche per anticipare le direzioni future della ricerca e dello sviluppo tecnologico. I principi fondamentali stabiliti da questi pionieri rimangono validi e costituiscono la base teorica per affrontare le sfide emergenti dell’era digitale, dall’intelligenza artificiale alla computazione quantistica.

L’eredità di questi visionari dimostra che la cybersecurity è, in ultima analisi, una disciplina intellettuale che richiede rigore scientifico, innovazione concettuale e visione strategica per continuare a proteggere efficacemente l’infrastruttura digitale della società contemporanea.

Fonti

University of Fairfax. (2023). Five Pioneers of the Cybersecurity Field. Disponibile: https://ufairfax.edu/five-pioneers-of-the-cybersecurity-field/

Wikipedia. (2024). National Cyber Security Hall of Fame. Disponibile: https://en.wikipedia.org/wiki/National_Cyber_Security_Hall_of_Fame

Cyber Magazine. (2021). The history of cybersecurity. Disponibile: https://cybermagazine.com/cyber-security/history-cybersecurity

Cybersecurity Ventures. (2024). The Beginnings Of Cyber Security, And The Next 30 Years. Disponibile: https://cybersecurityventures.com/the-beginnings-of-cyber-security-and-the-next-30-years/

Cyber Security Hall of Fame. Respect the Past | Protect the Future. Disponibile: https://www.cybersecurityhalloffame.org/

Cyber Skills Centre. Who Invented Cybersecurity? Unraveling the Pioneers and Evolution of Digital Safety. Disponibile: https://cyberskillscentre.com/who-invented-cybersecurity/

Maryville University. (2024). The History of Cybersecurity. Disponibile: https://online.maryville.edu/blog/history-of-cybersecurity/

Testbook. Father of Cybersecurity: Brief History, Contributions Explained. Disponibile: https://testbook.com/articles/father-of-cybersecurity

United States Cybersecurity Magazine. (2020). A Brief and Incomplete History of Cybersecurity. Disponibile: https://www.uscybersecurity.net/history/

SentinelOne. (2024). History of Cybersecurity: Everything You Need to Know. Disponibile: https://www.sentinelone.com/blog/history-of-cyber-security/

Wikipedia. (2024). Dorothy E. Denning. Disponibile: https://en.wikipedia.org/wiki/Dorothy_E._Denning

ScienceDirect. Dorothy Denning on infosec and physical security. Disponibile: https://www.sciencedirect.com/science/article/abs/pii/S1353485805702439

Indiana University. Dorothy Denning: Modern Cybersecurity Trailblazers. Disponibile: https://womenandtech.indiana.edu/programs/cybersecurity/profiles-current-trailblazers/denning.html

Purdue University. Professor Dorothy Denning. Disponibile: https://www.cs.purdue.edu/diversity/womens-history/dorothy_denning.html

Wikipedia. (2024). Whitfield Diffie. Disponibile: https://it.wikipedia.org/wiki/Whitfield_Diffie

Wikipedia. (2025). Diffie–Hellman key exchange. Disponibile: https://en.wikipedia.org/wiki/Diffie%E2%80%93Hellman_key_exchange

ACM. Whitfield Diffie – A.M. Turing Award Laureate. Disponibile: https://amturing.acm.org/award_winners/diffie_8371646.cfm

ACM Digital Library. Democratizing Cryptography: The Work of Whitfield Diffie and Martin Hellman. Disponibile: https://dl.acm.org/doi/book/10.1145/3549993

Stanford. (2022). Stanford cryptography pioneers Whitfield Diffie and Martin Hellman win ACM A.M. Turing Award. Disponibile: https://cisac.fsi.stanford.edu/news/stanford-cryptography-pioneers-whitfield-diffie-and-martin-hellman-win-acm-2015-am-turing-award

National Inventors Hall of Fame. Martin Hellman and Public Key Cryptography History. Disponibile: https://www.invent.org/inductees/martin-hellman

https://www.ictsecuritymagazine.com/articoli/pionieri-della-cybersecurity/

Ago 25, 2025 Marina Londei Attacchi, In evidenza, Malware, Minacce, News, RSS 0

---

Il gruppo pakistano APT36, noto anche come Transparent Tribe, ha usato file Linux .desktop per distribuire malware  nei sistemi BOSS in una campagna di spionaggio ai danni di realtà governative e del settore della difesa in India.

Secondo il report di Cyfirma, APT36 ha sfruttato numerose email di spear-phishing per distribuire un file .zip, il quale a sua volta contiene un file .desktop di Linux. All’apparenza il file si presenta come una shortcut per PDF, ma contiene una serie di comandi che vengono eseguiti non appena viene aperto, tra i quali anche quelli per scaricare il payload malevolo e installare il malware.

Contemporaneamente, per sviare i sospetti, viene eseguito Firefox in background e viene aperto un link Google Drive che contiene un PDF innocuo, così da convincere l’utente che ha effettivamente aperto un documento.

Dopo aver stabilito un canale di comunicazione con il server degli attaccanti, il malware comincia a raccogliere informazioni sensibili dal dispositivo della vittima per inviarle al server C2.

Secondo Cyfirma, la campagna sarebbe cominciata il 1° agosto scorso ed è ancora in esecuzione. APT36 è attivo da oltre 10 anni e a partire dal 2016 ha affinato le proprie tattiche per eseguire campagne sempre più sofisticate.

Il gruppo, affiliato al governo pakistano, ha sempre preso di mira realtà indiane, in particolare nei settori governativo e militare e anche le istituzioni diplomatiche. In alcuni casi le attività della gang si sono estese anche ai settori dell’istruzione, della difesa e delle infrastrutture critiche.

Negli ultimi anni il gruppo ha preso di mira vittime anche in altri Paesi, in maniera per lo più opportunistica, mettendo a rischio partner e fornitori delle realtà colpite.

“L‘adozione di payload .desktop mirati a Linux BOSS riflette un cambiamento tattico verso lo sfruttamento delle tecnologie native. In combinazione con il malware tradizionale basato su Windows e i dispositivi mobile, ciò dimostra l’intenzione del gruppo di diversificare i vettori di accesso e garantire la persistenza anche in ambienti protetti” hanno affermato i ricercatori di Cyfirma.

---

---

---

https://www.securityinfo.it/2025/08/25/file-linux-usati-per-furto-di-dati-e-spionaggio-la-campagna-di-apt36/?utm_source=rss&utm_medium=rss&utm_campaign=file-linux-usati-per-furto-di-dati-e-spionaggio-la-campagna-di-apt36

Ago 25, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Leaks, Malware, Minacce, News, Phishing, Privacy, Scenario, Tecnologia, Vulnerabilità 0

---

La scorsa settimana il CERT-AGID ha rilevato 81 campagne malevole nell’ambito italiano. Quarantuno di queste hanno avuto come obiettivo diretto realtà nostrane, mentre le restanti quaranta, pur essendo di natura più generica, hanno comunque coinvolto anche il nostro territorio.

Agli enti accreditati sono stati messi a disposizione 756 indicatori di compromissione individuati nel corso delle attività di monitoraggio.

I temi della settimana

Questa settimana i criminali informatici hanno sfruttato 24 diversi temi per diffondere campagne malevole sul territorio italiano.

Tra i più ricorrenti figura quello degli Ordini, impiegato per veicolare numerosi malware, tra cui AgentTesla, MassLogger, Remcos, Darkcloud, Avemaria, Formbook, VipKeylogger, XWorm e Obj3ctivity, attraverso due campagne italiane e nove di carattere generico.

Il settore bancario (Banking) è stato invece preso di mira da attacchi di phishing rivolti in particolare contro ING, BPM e Intesa Sanpaolo, con alcune campagne che hanno diffuso anche il malware Darkcloud.

I Documenti rappresentano un altro tema significativo, utilizzato in quattro campagne di phishing che hanno impersonato i brand Microsoft, DocuSign e Office365, oltre a sette campagne malware che hanno distribuito varianti come Formbook, XWorm, Lumma, Asyncrat e una versione malevola del legittimo software ScreenConnect.

Non è mancato neppure il tema delle Multe, usato in otto campagne che hanno sfruttato il nome di PagoPA e di presunte sanzioni stradali per sottrarre dati sensibili e numeri di carte di credito.

Tra gli eventi di maggiore interesse emerge una campagna particolarmente insidiosa che ha visto false comunicazioni riguardanti aggiornamenti di sicurezza per software di firma digitale.

Le email fraudolente invitavano gli utenti a scaricare una patch che in realtà conteneva codice malevolo sotto forma di script VBS.

Nonostante l’assenza di sofisticate tecniche di offuscamento, lo script consente l’installazione di Action1, un software legittimo di gestione remota sfruttato dai criminali per ottenere accesso ai sistemi.

Si tratta della prima volta che in Italia viene osservato l’abuso di Action1 in un contesto di compromissione.

Il CERT-AGID ha inoltre rilevato una campagna di phishing che ha sfruttato il nome del Fascicolo Sanitario Elettronico. In questo caso, le potenziali vittime hanno ricevuto email che promettevano un rimborso, corredate da un codice identificativo da inserire su una pagina esterna fraudolenta.

Una volta digitato il codice, l’utente è stato invitato a fornire dati personali e bancari, inclusi IBAN e nome della banca, per poi essere reindirizzato a una falsa pagina di accesso del proprio istituto.

Un’ulteriore campagna ha colpito gli utenti dell’Agenzia delle Entrate, con comunicazioni che annunciavano un rimborso fiscale di 500 euro.

Le email contenevano un link e un codice QR che portavano a un sito fraudolento, dove l’utente poteva scegliere tra otto diversi istituti bancari e inserire le proprie credenziali di home banking, consegnandole così direttamente agli attaccanti.

Malware della settimana

Nel corso della settimana sono state individuate diciassette diverse famiglie di malware che hanno colpito l’Italia.

Tra le più rilevanti si segnala Remcos, al centro di una campagna nazionale a tema “preventivo” e di otto campagne generiche legate a ordini, pagamenti, consegne, prezzi e prenotazioni. Gli attacchi sono stati diffusi tramite email con allegati compressi in formati 7Z, RAR, ZIP e Z.

FormBook è stato invece protagonista di sei campagne generiche che hanno sfruttato i temi dei preventivi, delle consegne, dei documenti, degli ordini, dei prezzi e dei pagamenti, veicolate attraverso allegati GZ, RAR e ZIP.

Anche AgentTesla ha mantenuto una presenza significativa, con tre campagne generiche basate sui temi degli ordini e dei contratti, distribuite mediante allegati compressi in 7Z, GZ e TAR.

DarkCloud ha visto l’emergere di una campagna italiana a tema prezzi e di due campagne generiche a tema ordini, propagate tramite email con allegati 7Z e GZ.

XWorm ha colpito con una campagna italiana incentrata sugli ordini e con una campagna generica a tema documenti, diffuse tramite allegati ZIP e RAR. AsyncRat è stato rilevato in due campagne generiche legate a documenti e prenotazioni, anch’esse veicolate tramite file ZIP.

LummaStealer è apparso in due campagne generiche a tema legale e documenti, anch’esse veicolate con allegati ZIP. SnakeKeylogger ha fatto la sua comparsa in due campagne generiche costruite attorno al tema delle fatture, trasmesse con allegati RAR e ZIP.

A completare il quadro, sono state osservate alcune campagne italiane che hanno diffuso Avemaria e Modiloader, insieme a campagne generiche che hanno distribuito altri malware noti come Grandoreiro, Guloader, MassLogger, Obj3ctivity, ScreenConnect e VipKeylogger.

Phishing della settimana

Nel corso della settimana sono stati presi di mira venti diversi brand attraverso campagne di phishing. A emergere per frequenza sono state le campagne che hanno sfruttato il nome di PagoPA, quello della banca ING e il Fascicolo Sanitario Elettronico.

Non sono mancate inoltre numerose campagne di phishing legate a servizi di webmail non brandizzati, a conferma della varietà delle strategie utilizzate dai criminali informatici per colpire gli utenti italiani.

Formati e canali di diffusione

L’analisi delle campagne malevole osservate in Italia nell’ultima settimana ha evidenziato  dodici diversi formati di file, con una netta prevalenza degli archivi compressi.

Il formato più utilizzato è stato lo ZIP, protagonista di dodici campagne, seguito dal RAR con otto episodi. Non molto distanti i formati 7Z e GZ, rispettivamente con sei e cinque utilizzi, mentre più rari sono stati i casi che hanno coinvolto file JS e Z.

Per quanto riguarda i canali di diffusione, le email si confermano lo strumento quasi esclusivo sfruttato dai criminali informatici, responsabili di tutte le 81 campagne individuate. Non sono state invece registrate attività attraverso PEC o SMS.

---

---

---

https://www.securityinfo.it/2025/08/25/cert-agid-16-22-agosto-primo-abuso-action1/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-16-22-agosto-primo-abuso-action1

Il panorama della cybersicurezza nel 2025 si caratterizza per un’escalation senza precedenti nell’intensità e nella sofisticazione degli attacchi informatici, accompagnata da un’intensificazione coordinata delle operazioni di law enforcement a livello globale. Le statistiche del Federal Bureau of Investigation indicano che i costi del cybercrime hanno raggiunto i 16,6 miliardi di dollari nel 2024, con un incremento del 33% delle denunce rispetto all’anno precedente.

Il paradigma emergente degli attacchi informatici nel 2025

Analisi quantitativa del threat landscape

L’analisi condotta da Cyble evidenzia un incremento del 149% degli attacchi ransomware negli Stati Uniti nei primi cinque mesi del 2025, con 378 incidenti documentati rispetto ai 152 dell’anno precedente. Questo dato rappresenta un indicatore critico della crescente aggressività degli threat actors nel panorama cybercriminale contemporaneo.

La morfologia degli attacchi si è evoluta verso paradigmi di maggiore complessità tecnica e strategica. Il 9 marzo 2025, le aziende di cybersecurity hanno osservato un’impennata coordinata nello sfruttamento delle vulnerabilità Server-Side Request Forgery (SSRF), con oltre 400 indirizzi IP che hanno preso di mira attivamente questi difetti in sistemi negli Stati Uniti, Germania, Singapore, India, Lituania e Giappone. Questa campagna di attacco dimostra la capacità degli attori malevoli di orchestrare operazioni sincronizzate su scala globale.

Evoluzione delle metodologie di attacco

Il panorama cybercriminale del 2025 si caratterizza per l’adozione di strategie multi-vettoriali sempre più sofisticate. Zscaler ThreatLabz ha predetto che i gruppi ransomware si stiano spostando dagli attacchi di massa verso operazioni strategiche a basso volume che prendono di mira organizzazioni ad alto valore. Questa evoluzione tattica riflette una maturazione dell’ecosistema cybercriminale verso approcci più mirati e redditizi.

All’inizio del 2025, gli analisti di cybersecurity hanno riportato un aumento significativo degli attacchi Distributed Denial-of-Service (DDoS) in Europa, con la frequenza di questi attacchi saltata del 137% su base annua, mentre gli aggressori distribuivano colpi più precisi e potenti. L’attacco più significativo ha raggiunto 1,4 terabit al secondo, paralizzando i servizi e causando perdite finanziarie considerevoli.

Operation Endgame: paradigma del law enforcement coordinato

Architettura operativa e risultati quantitativi

Operation Endgame rappresenta la prima operazione internazionale coordinata del suo genere, coinvolgendo una dozzina di paesi che hanno condotto perquisizioni, interrogato o arrestato soggetti, e smantellato o perturbato più di 100 server per sconfiggere multiple varianti di malware. L’operazione ha neutralizzato infrastrutture critiche per i gruppi malware IcedID, Smokeloader, Pikabot e Bumblebee.

Nella fase più recente, dal 19 al 22 maggio 2025, le autorità hanno smantellato circa 300 server a livello mondiale, neutralizzato 650 domini e emesso mandati d’arresto internazionali contro 20 obiettivi. Inoltre, sono stati sequestrati 3,5 milioni di euro in criptovalute durante la settimana d’azione, portando l’importo totale sequestrato durante Operation Endgame a 21,2 milioni di euro.

Impatto sull’ecosistema cybercriminale

Le operazioni di follow-up hanno portato alla detenzione di cinque individui collegati alla botnet Smokeloader, con diversi sospetti che hanno scelto di cooperare durante gli interrogatori, permettendo agli investigatori di esaminare le prove digitali memorizzate sui loro dispositivi personali. Questa cooperazione ha fornito insight critici sui meccanismi operativi delle reti cybercriminali.

L’efficacia dell’operazione si manifesta nella sua capacità di adattamento alle contromisure degli attori malevoli. Operation Endgame ha dimostrato che le forze dell’ordine continuano a perseguire i cybercriminali e i loro associati più di un anno dopo l’azione iniziale, concentrandosi sui clienti dei servizi smantellati.

Analisi dei casi di arresto significativi

Panorama globale degli arresti nel 2024-2025

Il quarto trimestre del 2024 ha visto un’intensificazione sostanziale delle azioni, con l’arresto il 1° ottobre di quattro individui collegati al gruppo ransomware LockBit, inclusi uno sviluppatore, un amministratore di servizi di hosting bulletproof e due altri affiliati. Questa operazione ha seguito le sanzioni formali imposte dal Dipartimento del Tesoro degli Stati Uniti sui membri di LockBit.

Tra novembre 2024 e febbraio 2025, nell’ambito dell’Operation Red Card coordinata da INTERPOL, le autorità hanno arrestato 306 sospetti e sequestrato 1.842 dispositivi presuntamente utilizzati in truffe bancarie mobili, di investimento e di app di messaggistica collegate a oltre 5.000 vittime.

Casi specifici di particolare rilevanza tecnica

Il 19 dicembre 2024, un cittadino rumeno è stato condannato a 20 anni di prigione per il suo ruolo nell’operazione ransomware Netwalker. L’anno si è concluso con un altro arresto significativo: il 31 dicembre, un soldato statunitense è stato arrestato per presunto hacking dei sistemi AT&T e Verizon.

Operation Magnus, eseguita il 28 ottobre dalle forze dell’ordine olandesi, ha sequestrato con successo l’infrastruttura degli infostealer Redline e Meta, strumenti malware utilizzati dai cybercriminali per rubare dati personali sensibili. L’operazione ha reso non funzionale il malware e incapace di rubare nuovi dati dalle vittime infette.

Analisi tecnica delle infrastrutture compromesse

Metodologie di takedown e disruption

La scala dell’infrastruttura compromessa dalle forze dell’ordine e dalle aziende di cybersecurity nelle ultime settimane è vasta, attraversando decine di migliaia di indirizzi IP malevoli e domini, e sistemi di comando e controllo utilizzati dai cybercriminali per pubblicizzare e avviare le loro attività illecite.

Gli obiettivi delle recenti azioni di law enforcement includono:

• L’operazione Lumma Stealer infostealer, che ha infettato circa 10 milioni di sistemi
• Il servizio antivirus contatore AVCheck e i servizi di crittazione correlati
• Marketplace cybercriminali e infrastrutture ransomware
• Operazioni DDoS-for-hire

Impatto sulla resilienza dell’ecosistema cybercriminale

L’ecosistema cybercriminale è resiliente. Mentre il cybercrime continua ad espandere la sua portata e i suoi profitti, la domanda per certi servizi – che si tratti di infrastrutture ransomware, codice malware, accesso e credenziali di accesso o dati trapelati – continua a crescere.

Tuttavia, l’efficacia cumulativa delle operazioni si manifesta nella capacità di aumentare i costi operativi per gli attori malevoli. Ogni azione di law enforcement di successo interrompe le operazioni criminali, costringe gli hacker ad abbandonare le reti stabilite e mina la fiducia all’interno delle comunità cybercriminali.

Trend emergenti nel cybercrime 2025

Evoluzione delle tattiche ransomware

Trend Micro ha avvertito che i cybercriminali utilizzeranno sempre più attacchi di esfiltrazione dati senza necessariamente crittografare i file. Questa tattica mira a minacciare le vittime con il rilascio pubblico di dati sensibili, aumentando così la pressione per i pagamenti di riscatto.

Nel 2024, IC3 ha identificato 67 nuove varianti ransomware, con FOG, Lynx, Cicada 3301, Dragonforce e Frag tra le più frequentemente riportate. Le denunce ransomware sono aumentate del 9% rispetto al 2023.

Sofisticazione tecnologica e AI-driven attacks

Il crescente utilizzo dell’intelligenza artificiale generativa rappresenta una preoccupazione emergente. Gli attaccanti che utilizzano GenAI nel 2025 potrebbero portare a campagne di phishing più avanzate e sfruttamento ransomware.

Gli cybercriminali si stanno adattando più velocemente che mai. Mentre gli attaccanti e gli hacker esternalizzano i loro requisiti malware ai RaaS, stanno respingendo i protocolli di cybersecurity espliciti e le linee guida di conformità per crittografare e isolare i database.

Dimensione economica del cybercrime

Analisi dei costi e dell’impatto finanziario

Le stime del costo degli attacchi informatici variano, con Cybersecurity Ventures che stima il valore a 10,5 trilioni di dollari entro il 2025, mentre un’altra previsione menziona il costo del cybercrime a 23 trilioni di dollari entro il 2027.

I costi del cybercrime crescono del 15% ogni anno fino al 2025. I pagamenti di riscatto sono aumentati del 500%, raggiungendo una media di 2 milioni di dollari. Questo incremento esponenziale evidenzia l’urgenza di strategie di difesa più efficaci.

Settori maggiormente colpiti

Il ransomware può colpire qualsiasi individuo o settore, e tutti i verticali sono a rischio. I 13 principali obiettivi ransomware per settore includono: costruzioni e proprietà, governo centrale e federale, media, intrattenimento e tempo libero, governo locale e statale, infrastrutture energetiche e di pubblica utilità, distribuzione e trasporti, servizi finanziari.

Prospettive future e raccomandazioni strategiche

Evoluzione dell’enforcement internazionale

L’indicazione è che la comunità globale delle forze dell’ordine sta adottando meccanismi più creativi e proattivi per reagire alle realtà del panorama delle minacce in cui stiamo operando. La crescente sofisticazione nelle tecniche investigative e la cooperazione internazionale rappresentano elementi chiave per il contenimento futuro delle minacce cybercriminali.

Implicazioni per le strategie di difesa

La natura evolutiva del threat landscape richiede un approccio adattivo alla cybersecurity. È essenziale, ora più che mai, intensificare la pianificazione e la preparazione della risposta agli incidenti informatici. Più importante, è necessario testare regolarmente i piani e le procedure di risposta agli incidenti per valutare se sono effettivamente efficaci in una situazione di attacco reale.

Conclusioni tecniche

Il panorama cybercriminale del 2025 presenta una dicotomia significativa tra l’evoluzione tecnologica degli attacchi e l’intensificazione delle contromisure di law enforcement. La portata di Operation Endgame riflette la crescente complessità del cybercrime, che attraversa multiple giurisdizioni e richiede un continuo adattamento dalle autorità.

L’efficacia delle operazioni coordinate dimostra che, nonostante la resilienza dell’ecosistema cybercriminale, le azioni sostenute e tecnicamente sofisticate possono produrre risultati significativi nella disruption delle infrastrutture malevole. La sfida futura risiede nel mantenimento di questo momentum operativo e nell’adattamento continuo alle contromisure degli attori cybercriminali.

Per i professionisti della sicurezza informatica, questi sviluppi sottolineano l’importanza di una strategia difensiva multi-livello che integri threat intelligence avanzata, tecnologie di detection e response, e piani di incident response testati attraverso esercitazioni realistiche. La collaborazione tra settore pubblico e privato emerge come elemento critico per l’efficacia delle strategie di difesa nell’ecosistema digitale contemporaneo.

Fonti

Federal Bureau of Investigation. (2025). Operation Endgame: Coordinated Worldwide Law Enforcement Action Against Network of Cybercriminals. https://www.fbi.gov/news/press-releases/operation-endgame-coordinated-worldwide-law-enforcement-action-against-network-of-cybercriminals

Europol. (2025). Operation ENDGAME strikes again: the ransomware kill chain broken at its source. https://www.operation-endgame.com/

BrightDefense. (2025). 256 Cybercrime Statistics for 2025. https://www.brightdefense.com/resources/cybercrime-statistics/

Center for Strategic and International Studies. (2025). Significant Cyber Incidents. https://www.csis.org/programs/strategic-technologies-program/significant-cyber-incidents

CyberScoop. (2025). 10 key numbers from the 2024 FBI IC3 report. https://cyberscoop.com/fbi-ic3-cybercrime-report-2024-key-statistics-trends/

Veeam. (2025). 2024 Cybercrime Crackdown: Major Arrests & Trends in Ransomware. https://www.veeam.com/blog/will-law-enforcement-success-against-ransomware-continue-in-2025.html

https://www.ictsecuritymagazine.com/articoli/law-enforcement/

La guerra in Ucraina non si combatte solo con armi convenzionali. Fin dall’inizio dell’invasione, e in realtà da anni prima, il cyberspazio è diventato un dominio di conflitto strategico, una frontiera invisibile dove attacchi informatici sofisticati vengono sferrati con la stessa intensità di quelli sul campo di battaglia. Questa “guerra ibrida”, come definita dagli analisti di tutto il mondo, ha trasformato l’Ucraina in un laboratorio a cielo aperto per le più recenti tattiche di cyberguerra. Ma le sue onde d’urto, lungi dall’essere confinate, si propagano con forza in tutta Europa, investendo direttamente le aziende e costringendole a ripensare radicalmente il loro approccio alla sicurezza.

L’escalation delle ostilità ha infatti coinciso con un’impennata di minacce cibernetiche su una scala senza precedenti. L’Agenzia dell’Unione Europea per la Cybersicurezza (ENISA), nel suo ultimo report sul panorama delle minacce, ha evidenziato come gli attori legati a stati-nazione, in particolare la Russia, abbiano intensificato le operazioni contro i paesi membri dell’UE. Si parla di un aumento di oltre il 125% degli attacchi DDoS (Distributed Denial of Service) solo nel primo anno del conflitto, spesso rivendicati da collettivi hacktivisti pro-Russia come Killnet, che hanno preso di mira siti di aeroporti, banche e istituzioni governative in Italia, Germania e Paesi Bassi.

Attacchi cyber Russia-Ucraina: HermeticWiper e malware distruttivi

Non si tratta più di un rischio astratto, ma di una realtà tangibile e distruttiva. La notte prima dell’invasione, l’Ucraina è stata colpita da un attacco wiper devastante, battezzato HermeticWiper, progettato non per rubare dati, ma per cancellarli in modo permanente, rendendo i sistemi informatici inutilizzabili.

Questo malware, scoperto dai ricercatori di ESET e Symantec, è stato solo il primo di una lunga serie (CaddyWiper, DoubleZero, etc.) che ha segnato un cambio di paradigma: l’obiettivo non è il profitto, ma l’interruzione della continuità operativa, il danneggiamento della reputazione e la creazione di caos. Come ha dichiarato Brad Smith, Presidente di Microsoft, nel suo report “Defending Ukraine: Early Lessons from the Cyber War”, “Gli attacchi informatici della Russia contro l’Ucraina dimostrano che la difesa contro un attacco militare richiede ora, per la maggior parte delle organizzazioni, una strategia per proteggersi e difendersi anche nel cyberspazio.”

Le imprese europee, interconnesse in catene di fornitura globali e spesso fornitrici di servizi essenziali, si trovano ora in prima linea, esposte al rischio di “danni collaterali” o prese di mira direttamente. Un attacco a un fornitore di logistica in Polonia o a un produttore di componenti in Germania può avere ripercussioni a cascata su tutta l’economia continentale.

Lezioni dal fronte digitale ucraino

L’incredibile capacità di resistenza dell’Ucraina nel dominio cibernetico offre spunti di riflessione cruciali per qualsiasi organizzazione. Di fronte ad attacchi persistenti e distruttivi, il paese ha implementato strategie innovative che costituiscono un vero e proprio manuale per la resilienza.

1. La Difesa non è più un’Isola: il Potere della Collaborazione Pubblico-Privato: Una delle lezioni più significative è stata l’eccezionale livello di collaborazione tra il governo ucraino e un’ampia coalizione di aziende tecnologiche. Microsoft ha investito oltre 400 milioni di dollari in assistenza tecnologica, aiutando a rilevare le minacce e a migrare i dati governativi. Il team di analisi delle minacce di Google (TAG) ha lavorato incessantemente per smantellare le campagne di disinformazione e avvisare gli utenti di attacchi di phishing orchestrati dal gruppo russo Fancy Bear (APT28). Per le aziende europee, questo si traduce nella necessità di superare una mentalità isolazionista. È vitale partecipare attivamente a piattaforme di condivisione delle informazioni (come gli ISAC) e costruire solide relazioni con i CERT (Computer Emergency Response Team) nazionali e con fornitori di sicurezza. Come sottolineato dal CERT-EU, “La condivisione tempestiva di informazioni su incidenti e vulnerabilità è fondamentale per una difesa collettiva efficace.”
2. Il Cloud come Scudo Strategico: Prima dell’invasione, la legislazione ucraina poneva dei limiti all’archiviazione di dati governativi su cloud pubblici. Questa normativa è stata rapidamente modificata per permettere una migrazione massiva verso infrastrutture cloud distribuite e resilienti di provider come Amazon Web Services (AWS) e Microsoft Azure. Questa mossa si è rivelata decisiva. Quando un missile ha colpito un data center a Kiev, i servizi governativi sono rimasti online perché i dati e le applicazioni erano già stati spostati al sicuro nel cloud, fuori dalla portata fisica degli aggressori. Le aziende europee devono vedere il cloud non solo come uno strumento di efficienza, ma come un pilastro della resilienza, sfruttando la sicurezza integrata, la ridondanza geografica e la capacità di scalare le difese offerte dai grandi provider.
3. Dalla Prevenzione alla Risposta: Prepararsi al Peggio: La natura degli attacchi ha evidenziato che una difesa puramente perimetrale è un’illusione. Gruppi affiliati alla Russia, come Sandworm, hanno impiegato malware come Industroyer2 specificamente progettato per manipolare i sistemi di controllo industriale (ICS) delle centrali elettriche. La lezione è chiara: non è più una questione di se si verrà attaccati, ma di quando e con quale violenza. La resilienza si misura dalla capacità di resistere, limitare i danni e ripristinare le operazioni. Ciò richiede piani di incident response e disaster recovery dettagliati e, soprattutto, testati regolarmente. Eseguire simulazioni di attacchi wiper o ransomware, non solo di furto dati, è oggi fondamentale per verificare la reale capacità di ripristino dai backup (che devono essere immutabili e tenuti offline).

Strategie di resilienza cibernetica per il contesto europeo

Sulla base di queste lezioni, le aziende europee devono adottare un approccio olistico e proattivo, come richiesto anche dalla nuova direttiva NIS2, che alza l’asticella per la gestione del rischio cyber.

• Adottare un’Architettura Zero Trust: Il principio “mai fidarsi, sempre verificare” deve diventare il mantra. L’architettura Zero Trust prevede che nessun utente o dispositivo sia considerato affidabile per impostazione predefinita. Ogni richiesta di accesso alle risorse deve essere autenticata, autorizzata e crittografata sulla base dell’identità e del contesto. Questo approccio segmenta la rete e, come dimostrato in molti incidenti, può impedire a un attaccante che ha rubato una credenziale di muoversi lateralmente per raggiungere i dati critici o sferrare un attacco distruttivo.
• Potenziare l’Intelligence sulle Minacce (Threat Intelligence): Comprendere il “chi, cosa, come e perché” delle minacce è vitale. Investire in servizi di threat intelligence permette di passare da una difesa reattiva a una predittiva. Sapere, ad esempio, che un determinato gruppo sta sfruttando una specifica vulnerabilità (come la CVE-2023-38831 su WinRAR, ampiamente usata in campagne di phishing contro l’Ucraina) consente di prioritizzare le patch e di configurare le difese in modo mirato, prima di essere colpiti.
• Focus sulla Sicurezza della Supply Chain: Gli attacchi non sono sempre diretti. Un report di S&P Global ha rilevato che circa il 40% delle aziende europee ha subito interruzioni operative a causa di problemi di sicurezza informatica nella propria catena di fornitura. È fondamentale mappare la propria supply chain digitale, condurre audit di sicurezza sui fornitori critici e imporre requisiti contrattuali chiari, trasferendo parte del rischio e garantendo standard minimi di protezione.
• Formazione e Cultura della Sicurezza: Il fattore umano resta cruciale. Le campagne di phishing mirate (spear-phishing) sono la porta d’ingresso preferita dagli aggressori. È essenziale investire in programmi di formazione continua, con simulazioni di phishing basate su scenari reali e attuali. Creare una solida cultura della sicurezza, dove segnalare un’email sospetta è considerato un contributo positivo e non un disturbo, è uno degli investimenti più efficaci per aumentare la resilienza complessiva.

La guerra in Ucraina ha segnato un punto di non ritorno, accelerando la fusione tra tensioni geopolitiche e rischi digitali. Per le aziende europee, ignorare queste lezioni significa esporsi a un rischio esistenziale. Costruire una solida resilienza cibernetica è un imperativo strategico non solo per la protezione del proprio business, ma per contribuire alla stabilità e alla sicurezza dell’intero ecosistema economico e sociale del continente.

Fonti:

Microsoft Digital Defense Report (e Report Specifici sull’Ucraina).

ENISA (Agenzia dell’Unione Europea per la Cybersicurezza).

Google’s Threat Analysis Group (TAG).

ESET Research – HermeticWiper: New data wiper malware hits Ukraine.

CERT-EU (Computer Emergency Response Team for the EU Institutions).

S&P Global Market Intelligence.

ICT Security Magazine: le campagne cyber russe in Ucraina: ben oltre un semplice campo di battaglia digitale.

https://www.ictsecuritymagazine.com/notizie/russia-ucraina/

Ago 18, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Leaks, Malware, Minacce, News, Phishing, Scenario, Tecnologia, Vulnerabilità 0

---

Nel corso di questa settimana il CERT-AGID ha rilevato 71 campagne malevole.

Di queste, 36 hanno preso di mira in modo diretto obiettivi italiani, mentre le restanti 35, pur essendo di carattere generico, hanno comunque avuto ricadute sul nostro Paese.

Agli enti accreditati sono stati messi a disposizione 712 indicatori di compromissione, utili per individuare e contrastare le attività dannose.

I temi della settimana

I criminali informatici hanno fatto leva su 18 diversi temi per veicolare le proprie campagne malevole in Italia.

Il settore bancario è stato il più colpito, con 16 campagne di phishing indirizzate agli utenti di ING. Tutti i tentativi sono transitati attraverso email ingannevoli progettate per sottrarre le credenziali di accesso all’home banking.

Lo stesso argomento è stato sfruttato anche in due campagne a più ampio raggio, utilizzate come veicolo per diffondere i malware SnakeKeylogger e MassLogger.

Un altro filone ha riguardato le finte comunicazioni relative a multe non pagate. Sette campagne di phishing, tutte camuffate da messaggi ufficiali del servizio PagoPA, hanno tentato di spingere le vittime a cliccare su link malevoli.

L’obiettivo era quello di raccogliere dati personali e, in particolare, informazioni sulle carte di pagamento.

Il tema degli Ordini è stato sfruttato in una campagna mirata all’Italia e in altre sei di carattere generico. Anche in questo caso le email sono state lo strumento principale per distribuire software dannoso.

Tra le famiglie di malware individuate compaiono AgentTesla, SnakeKeylogger, MassLogger, XWorm e Guloader.

Analogo meccanismo è stato osservato per le campagne che hanno usato come pretesto l’invio di Documenti: una ha colpito direttamente gli utenti di Libero attraverso il phishing, mentre cinque di respiro internazionale hanno diffuso VipKeylogger, FormBook, XWorm e ancora AgentTesla.

Accanto a queste minacce, sono emerse vicende di rilievo che vanno oltre la consueta attività di phishing e malware.

Come ricorderete dalla scorsa settimana, il CERT-AGID ha infatti confermato la scoperta della messa in vendita, in ambienti criminali, di documenti d’identità trafugati da strutture alberghiere italiane.

Si tratta di decine di migliaia di copie digitali ad alta risoluzione di passaporti, carte d’identità e altri documenti raccolti durante le procedure di check-in.

Secondo quanto dichiarato dall’attore responsabile, i dati sarebbero stati sottratti tra giugno e agosto 2025 attraverso accessi abusivi ai sistemi informatici delle strutture. Negli ultimi giorni sono comparsi ulteriori annunci che hanno portato a dodici il numero complessivo di hotel coinvolti.

Per fronteggiare la situazione, l’Agenzia per l’Italia Digitale ha inviato una circolare ai gestori di servizi fiduciari (come SPID e firme digitali), chiedendo di alzare il livello di attenzione nei controlli documentali.

Malware della settimana

Nel corso della settimana sono state individuate 12  diverse famiglie di malware che hanno interessato lo scenario italiano.

Tra le più attive spicca AgentTesla, protagonista di 7 campagne generiche che hanno sfruttato pretesti come contratti, preventivi, documenti e ordini. Le email infette contenevano allegati compressi nei formati ZIP, RAR, TAR e ISO, concepiti per aggirare i controlli di sicurezza.

Anche Remcos ha fatto registrare una forte presenza, con 5 campagne che hanno usato come esca falsi aggiornamenti, comunicazioni bancarie, contratti e richieste di pagamento. In questi casi, i file sospetti si presentavano sotto forma di archivi RAR, ZIP e 7Z.

FormBook, dal canto suo, è stato diffuso attraverso 4 campagne che richiamavano temi legati a consegne, documenti e contratti, sempre tramite allegati compressi.

XWorm ha alimentato altre 4 campagne, questa volta sfruttando i temi di fatture, documenti, ordini e prenotazioni. I file malevoli venivano nascosti in archivi ZIP, TAR e GZ.

Non è mancato MassLogger, comparso sia in 1 campagna italiana legata a falsi ordini, con allegati 7Z, sia in 2 campagne generiche che hanno utilizzato i temi banking e ordine per diffondere file ZIP e RAR.

Parallelamente, SnakeKeylogger è stato identificato in 3 campagne che facevano leva su aggiornamenti, ordini e servizi bancari, sempre attraverso allegati RAR e Z. VipKeylogger, invece, è comparso in 3 diverse campagne costruite attorno a finte comunicazioni di pagamenti e listini prezzi, veicolate tramite archivi ZIP e R01.

Accanto a queste minacce più ricorrenti, sono stati rilevati anche diversi attacchi legati a famiglie come AsyncRat, DarkCloud, Guloader, LummaStealer e PureCrypter, anch’essi distribuiti mediante email corredate da archivi compressi.

Phishing della settimana

Nel corso della settimana sono stati 12 i brand presi di mira dalle campagne di phishing che hanno colpito l’Italia.

A dominare la scena sono state le campagne contro ING, ormai un bersaglio costante per i criminali informatici, con un numero elevatissimo di email fraudolente costruite per sottrarre le credenziali di accesso ai conti correnti online.

Non meno rilevante è stato l’abuso del marchio PagoPA, utilizzato per confezionare messaggi che simulavano la notifica di sanzioni amministrative non saldate: un espediente in grado di fare leva sul timore di multe e scadenze per indurre gli utenti a cliccare sui link malevoli.

L’uso dei nomi di istituzioni note o di servizi diffusi si conferma quindi una delle strategie più efficaci per massimizzare l’impatto delle campagne di phishing.

Formati e canali di diffusione

L’analisi delle campagne malevole osservate in Italia nell’ultima settimana ha mostrato un utilizzo meno ampio di formati di file, con la solita predominanza degli archivi compressi.

In particolare, il formato ZIP è risultato il più sfruttato, impiegato in 11 diverse campagne, seguito a breve distanza dal RAR, comparso in 9  episodi.

Con numeri inferiori, ma comunque significativi, si collocano i formati 7Z, usato in 4 casi, e TAR, rilevato in 3. Più rari gli utilizzi di ISO e Z, registrati 2  volte ciascuno, mentre i formati PDF, R01 e GZ sono stati rilevati soltanto in un’occasione.

Per quanto riguarda i vettori di distribuzione, le email continuano a rappresentare il canale quasi esclusivo delle attività criminali, responsabili di settanta campagne su settantuno.

Gli SMS hanno avuto un ruolo del tutto marginale, con una sola segnalazione, mentre non sono state riscontrate campagne che abbiano sfruttato la posta elettronica certificata.

---

---

---

https://www.securityinfo.it/2025/08/18/cert-agid-9-14-agosto-gli-alberghi-italiani-ancora-sotto-attacco/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-9-14-agosto-gli-alberghi-italiani-ancora-sotto-attacco

Ago 11, 2025 Stefano Silvestri Hacking, In evidenza, Intrusione, Leaks, Malware, Minacce, News, Phishing, Tecnologia, Vulnerabilità 0

---

La scorsa settimana il CERT-AGID ha rilevato e analizzato 85 campagne malevole che hanno interessato l’Italia.

Di queste, 43 erano specificamente rivolte a obiettivi situati in Italia, mentre le restanti 42, pur essendo di natura generica, hanno comunque avuto ricadute sul nostro territorio.

L’attività di monitoraggio e analisi ha portato all’individuazione di 723 indicatori di compromissione (IoC), che sono stati messi a disposizione degli enti accreditati per facilitare l’attività di prevenzione e risposta agli incidenti.

I temi della settimana

Il CERT-AGID ha identificato 19 temi sfruttati per la diffusione di campagne malevole sul territorio italiano.

Tra questi, il più rilevante è stato come al solito il settore bancario (Banking), coinvolto in 14 campagne di phishing mirate contro gli istituti ING, BPM, Mooney e Intesa Sanpaolo.

Nella maggior parte dei casi, i messaggi fraudolenti sono stati inviati tramite email, con una sola eccezione in cui è stata utilizzata la posta elettronica certificata (PEC).  L’argomento è stato inoltre impiegato in tre campagne generiche che hanno diffuso malware come Remcos e SnakeKeylogger.

Si tratta di un modus operandi ormai consolidato, in cui i criminali simulano comunicazioni ufficiali di banche per convincere le vittime a inserire le proprie credenziali o a scaricare file dannosi, sfruttando layout e linguaggio credibili per superare la diffidenza iniziale.

Un altro tema ricorrente è stato quello delle Multe, sfruttato in 10 campagne di phishing rivolte a utenti italiani.

Tutti i messaggi, veicolati via email, simulavano notifiche di mancato pagamento provenienti dal servizio PagoPA, minacciando presunte conseguenze legali in caso di mancata azione immediata.

L’obiettivo era indurre i destinatari a cliccare su link che rimandano a siti malevoli, dove vengono richiesti dati sensibili, comprese le informazioni delle carte di pagamento. La strategia punta sul senso di urgenza e sul timore di sanzioni per aumentare le probabilità di successo.

Il tema degli Ordini è stato utilizzato per una campagna mirata contro obiettivi italiani e per otto campagne di portata più ampia, tutte distribuite via email.

In questo caso, le esche digitali sono state progettate per installare malware come Guloader, MassLogger, Remcos, FormBook e AgentTesla, con funzioni di furto di dati e controllo remoto dei dispositivi infetti.

Anche i Documenti sono stati al centro di attività malevole, con una campagna di phishing rivolta a utenti italiani di LiberoMail e cinque campagne generiche che hanno incluso sia tentativi di phishing a tema Microsoft e Outlook, sia distribuzioni di malware come AgentTesla, XWorm e Lumma.

In tutti i casi, le email truffaldine miravano a convincere gli utenti ad aprire allegati o link apparentemente legittimi per sottrarre credenziali o infettare i sistemi.

Tra gli eventi più rilevanti segnalati dal CERT-AGID figura la scoperta della messa in vendita di documenti d’identità rubati a clienti di hotel italiani, pubblicati su un noto forum underground da un attore malevolo conosciuto come “mydocs”.

Il materiale trafugato comprende decine di migliaia di scansioni ad alta risoluzione di passaporti, carte d’identità e altri documenti acquisiti durante i check-in.

Secondo lo stesso attore, i dati sarebbero stati sottratti tra giugno e luglio 2025 grazie ad accessi non autorizzati a quattro strutture alberghiere del Paese.

Infine, sono state rilevate due campagne di phishing mirato contro personale e studenti di due università italiane: l’Università di Pisa e l’Università di Padova.

In entrambi i casi, i criminali hanno realizzato copie fraudolente dei portali ufficiali di accesso alle aree riservate degli atenei, allo scopo di rubare le credenziali istituzionali.

La somiglianza nella struttura e nelle modalità operative fa ipotizzare che gli attacchi possano essere riconducibili allo stesso attore.

Malware della settimana

Nel corso della settimana sono state individuate dodici famiglie di malware attive nello scenario italiano, con diverse campagne che hanno sfruttato temi ricorrenti e modalità di distribuzione ormai consolidate nel panorama delle minacce informatiche.

AgentTesla si conferma tra i più diffusi, con diverse campagne generiche che hanno utilizzato esche come “Aggiornamenti”, “Preventivo”, “Pagamenti”, “Documenti”, “Ordine” e “Prezzi”.

Questi attacchi sono stati veicolati tramite email contenenti allegati compressi in vari formati, tra cui ZIP, RAR, Z, TAR e ISO, spesso camuffati da documenti legittimi per indurre le vittime ad aprirli.

Remcos è stato al centro di una campagna specificamente rivolta a utenti italiani, mascherata da comunicazione su una presunta “Fattura”, e di sei campagne generiche a tema “Delivery”, “Banking”, “Fattura”, “Prezzi” e “Ordine”.

Anche in questo caso, la diffusione è avvenuta via email con allegati nei formati DOCX, ZIP, RAR e GZ, sfruttando la varietà dei contenuti per massimizzare le possibilità di infezione.

FormBook è stato rilevato in quattro campagne generiche che hanno preso spunto da argomenti come “Ordine”, “Delivery” e “Contratti”. Le email truffaldine contenevano allegati DOCX, ZIP e RAR, utilizzati per installare il malware e avviare la sottrazione di dati sensibili.

DarkCloud ha alimentato tre campagne generiche, tutte basate sul tema “Contratti” e distribuite con allegati nei formati Z e GZ. MassLogger, invece, è stato osservato in due campagne italiane e una generica a tema “Prezzi” e “Ordine”, con allegati compressi in formato RAR e 7Z.

Anche Guloader ha fatto la sua comparsa con due campagne generiche, entrambe a tema “Ordine” e veicolate tramite allegati DOCX e ISO, mentre VipKeylogger è stato protagonista di due campagne generiche a tema “Prezzi” e “Pagamenti”, diffuse con archivi TAR e R01.

XWorm, invece, è stato individuato in due campagne generiche: una a tema “Aggiornamenti” distribuita con un file RAR e una a tema “Documenti” che sfruttava un PDF contenente un link a uno script BAT.

Completano il quadro una campagna italiana che ha sfruttato ScreenConnect per il controllo remoto dei sistemi e alcune campagne generiche legate a SnakeKeylogger, Grandoreiro e Lumma, tutte veicolate tramite email con allegati ZIP.

Phishing della settimana

Nel bilancio settimanale del CERT-AGID sono 19 i brand finiti nel mirino delle campagne di phishing.

Per volume di attività spiccano in particolare quelle che hanno sfruttato il marchio PagoPA e l’istituto bancario ING, affiancate dalle ormai costanti campagne di webmail generiche, prive di un brand specifico ma strutturate per colpire gli utenti di diversi fornitori di posta elettronica.

Questi attacchi, seppur apparentemente meno sofisticati, continuano a mietere vittime grazie a pagine di login contraffatte che imitano in modo credibile le interfacce di accesso ai servizi di posta, inducendo gli utenti a fornire inconsapevolmente le proprie credenziali.

Formati e canali di diffusione

Nell’ultima settimana, l’analisi delle campagne malevole attive in Italia ha evidenziato l’impiego di 11 diverse tipologie di file.

Il formato più diffuso è stato il RAR, utilizzato in 11 campagne, seguito a breve distanza dallo ZIP, presente in 10 casi.

A una certa distanza compaiono i formati Z e DOCX, entrambi rilevati in 4 campagne, mentre GZ e 7Z sono stati usati in 3 occasioni ciascuno. Più rari, ma comunque presenti, i file ISO, PDF e TAR, impiegati due volte ciascuno.

Chiudono la lista gli eseguibili EXE e i file compressi r01, osservati solo in un singolo episodio.

Per quanto riguarda i vettori di distribuzione, le email restano il canale dominante, responsabili di 84 campagne, confermando la loro centralità nelle strategie di diffusione del malware e del phishing. La posta elettronica certificata (PEC) è stata invece sfruttata in un’unica occasione.

---

---

---

https://www.securityinfo.it/2025/08/11/cert-agid-2-8-agosto-rubati-documenti-didentita-a-clienti-di-hotel-italiani/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-2-8-agosto-rubati-documenti-didentita-a-clienti-di-hotel-italiani

Ago 04, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Malware, Minacce, News, Phishing, Scenario, Tecnologia, Vulnerabilità 0

---

Nel corso della settimana, il CERT-AGID ha rilevato e analizzato 77 campagne malevole all’interno del contesto italiano. Di queste, 45 avevano come bersaglio specifico il nostro Paese, mentre le restanti 32, essendo di natura generica, hanno comunque coinvolto anche l’Italia.

Agli enti accreditati sono stati forniti complessivamente 828 indicatori di compromissione individuati durante le attività di analisi.

I temi della settimana

Nel periodo preso in esame, sono stati individuati 22 differenti temi utilizzati per condurre campagne malevole sul territorio italiano.

Tra questi, spicca il tema “Ordine“, sfruttato in ben tredici campagne: una singola azione di phishing ha preso di mira Adobe, mentre le altre dodici, sia italiane che di portata più ampia, sono state finalizzate alla diffusione di malware, tra cui AgentTesla, FormBook, VipKeylogger, RedLine, SnakeKeylogger e PureLogs.

Il tema “Banking” è stato impiegato in numerose campagne di phishing italiane via email, facendo leva sui nomi di noti istituti bancari per trarre in inganno le vittime. Sono state osservate dieci campagne che coinvolgono marchi come ING, Intesa Sanpaolo, BBVA, Isybank e Inbank, con l’intento di sottrarre credenziali o dati sensibili.

A queste si aggiunge una campagna che ha diffuso il malware Copybara mascherandosi da comunicazione bancaria, con l’obiettivo di infettare dispositivi Android.

Il tema “Multe” è stato invece al centro di nove campagne di phishing italiane, veicolate tutte via email e travestite da notifiche ufficiali del servizio PagoPA. I messaggi segnalavano presunte sanzioni amministrative non pagate, inducendo le vittime a cliccare su link fraudolenti e a fornire i dati delle proprie carte di pagamento.

Il tema “Pagamenti” è stato rilevato in cinque campagne email: quattro di queste erano orientate alla diffusione di malware, mentre una era un’operazione di phishing. Tra i malware coinvolti figurano Remcos, XWorm e SnakeKeylogger. Una delle campagne, di matrice italiana, ha abusato del marchio Outlook con finalità di phishing.

Tra gli eventi più rilevanti rilevati nel corso della settimana, si segnala una nuova campagna di phishing rivolta agli utenti dell’Istituto Nazionale della Previdenza Sociale.

I truffatori hanno realizzato una falsa pagina web che imita fedelmente l’interfaccia del sito ufficiale dell’INPS, con l’obiettivo di sottrarre dati personali e documenti utili al furto d’identità, una tecnica già osservata in precedenti episodi. In particolare, alle vittime è stato chiesto di caricare documenti sensibili come carta d’identità, patente, tessera sanitaria e le ultime tre buste paga.

È stata inoltre individuata e contrastata, grazie alla collaborazione con i gestori di posta elettronica certificata, una nuova campagna italiana di malspam condotta tramite caselle PEC compromesse.

L’obiettivo era la diffusione del malware MintLoader, impiegando tecniche già viste in campagne simili: abuso di domini con estensione .top, uso di algoritmi di generazione dinamica dei domini (DGA), e l’impiego di script in JavaScript (JS) e PowerShell (PS1) per la distribuzione del payload.

Un aspetto peculiare di questa campagna è l’adozione, per la seconda volta, di una strategia concepita per aggirare i sistemi automatici di rilevamento: i messaggi malevoli non contengono link diretti ma un archivio ZIP con un file HTML che a sua volta reindirizza al download del primo script della catena.

Infine, il CERT-AGID ha rilevato una campagna che sfrutta vulnerabilità note come ToolShell, recentemente scoperte e corrette da Microsoft, che interessano SharePoint on-premise. Queste vulnerabilità consentono la deserializzazione di dati non attendibili e l’esecuzione remota di codice, permettendo a un attaccante non autenticato di compromettere le istanze vulnerabili.

Il tentativo di attacco è stato osservato a seguito di un’azione fallita, nella quale i cybercriminali hanno cercato di utilizzare un loader per scaricare ed eseguire il ransomware 4L4MD4R, una variante del malware Mauri870. Il codice malevolo, scritto in GoLang, cripta i file della vittima e chiede un riscatto di 0,005 Bitcoin.

La richiesta viene comunicata tramite due file HTML salvati sul desktop della macchina infetta: uno contenente le istruzioni per la decrittazione e un altro con l’elenco dei file criptati. Il ransomware è stato distribuito tramite un dominio italiano.

Malware della settimana

Nel corso della settimana sono state individuate 17 famiglie di malware attive sul territorio italiano.

Tra le più rilevanti, si segnala la presenza di AgentTesla in nove campagne complessive (sei italiane e tre generiche), legate ai temi “Ordine” e “Acquisti”, veicolate via email con allegati compressi in formato ZIP, RAR, Z e TAR.

FormBook è stato osservato in sei campagne generiche con oggetti legati a “Delivery”, “Prezzi” e “Ordine”, diffuse tramite email contenenti allegati DOCX, LZH, TAR, ZIP e 7Z.

SnakeKeylogger è invece comparso in cinque campagne generiche con temi come “Pagamenti”, “Ordine”, “Fattura” e “Prezzi”, distribuite attraverso file ZIP, RAR e 7Z allegati a messaggi email.

MassLogger è stato riscontrato in due campagne generiche riferite a “Documenti” e “Contratti”, sempre tramite allegati ZIP e RAR. Due campagne legate ai temi “Booking” e “Ordine” hanno invece diffuso il malware PureLogs, utilizzando file ZIP e PDF.

Remcos è comparso in due campagne: una di natura italiana a tema “Pagamenti” e una generica a tema “Banking”, entrambe distribuite attraverso file compressi. MintLoader è stato veicolato in una campagna italiana a tema “Fattura”, utilizzando comunicazioni via PEC con allegato ZIP.

Tra le campagne più insidiose si segnala quella relativa al malware Copybara, diffuso attraverso SMS che contenevano link per il download di file APK dannosi e presentata sotto il tema “Banking”. Un’altra campagna italiana, incentrata sul tema “Booking”, ha diffuso il malware DeerStealer tramite email che rimandavano a falsi Captcha.

Completano il quadro numerose campagne italiane che hanno coinvolto i malware AsyncRat, VipKeylogger, XWorm e PureLogs Stealer, oltre ad alcune operazioni generiche che hanno diffuso DarkCloud, RedLine e StrRat.

Phishing della settimana

Nel monitoraggio settimanale sono stati individuati 18 brand coinvolti in campagne di phishing rivolte agli utenti italiani.

Tra i più colpiti per numero di segnalazioni spiccano PagoPA, Aruba, ING, Outlook, oltre a un ampio numero di campagne legate a servizi di Webmail non brandizzati.

Questi nomi sono stati sfruttati per indurre le vittime a cliccare su link malevoli, inserire dati sensibili o scaricare contenuti dannosi, confermando l’elevato livello di sofisticazione e varietà degli attacchi attualmente in circolazione.

Formati e canali di diffusione

Nell’analisi delle minacce informatiche emerse nell’ultima settimana, sono state rilevate 14 differenti tipologie di file malevoli utilizzati all’interno delle campagne attive in Italia.

Il formato più utilizzato è stato ancora una volta lo ZIP, presente in 10 campagne, seguito da RAR con 7 impieghi e TAR con 6.

Il formato 7Z è comparso in 3 occasioni, mentre i file LHA, DOCX e Z sono stati osservati in 2 campagne ciascuno.

Non sono mancati anche formati meno diffusi ma comunque presenti, ciascuno con un singolo rilevamento: si tratta di LZH, APK, SVG, PDF, VBS, PS1 e GZ, che testimoniano l’ampia gamma di estensioni sfruttate per veicolare malware.

Sul fronte dei vettori di distribuzione, l’email si conferma il canale dominante, con 74 campagne su 77 che hanno fatto ricorso alla posta elettronica per la diffusione dei file dannosi.

In misura decisamente più contenuta, sono stati osservati anche casi isolati di utilizzo di SMS, PEC e domini ad hoc.

---

---

---

https://www.securityinfo.it/2025/08/04/cert-agid-26-luglio-1-agosto-sharepoint-mintloader-e-4l4md4r-protagonisti/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-26-luglio-1-agosto-sharepoint-mintloader-e-4l4md4r-protagonisti

Negli ultimi anni i video virali su TikTok – specie quelli promossi come “trucchi” per sbloccare funzioni premium o filtri magici – sono stati sfruttati da cybercriminali per diffondere malware (inclusi trojan e info-stealer). Alcuni casi reali documentati hanno mostrato come utenti attratti da promesse di software gratis siano stati istruiti, direttamente nei video, a eseguire comandi PowerShell dannosi o a scaricare app contraffatte.

Video Virali TikTok usati per diffondere malware e trojan

Per esempio, Trend Micro ha individuato una campagna in cui video (spesso creati con voce e presentazione generata da IA) invitavano gli utenti a premere “Windows+R”, avviare PowerShell e inserire un comando che in realtà scaricava e lanciava trojan Vidar e StealC. In un caso il video – che prometteva di “boostare” Spotify o attivare Windows gratis – ha raggiunto oltre mezzo milione di visualizzazioni. Similmente, Trend Micro e BleepingComputer hanno descritto come questi video sfruttino l’“algoritmo virale” di TikTok per massimizzare la portata: ogni clip è pubblicata su account fasulli e presto sparisce, ma intanto inducono decine di migliaia di utenti a seguire istruzioni che portano all’installazione di malware.

Un altro caso documentato riguarda la cosiddetta Invisible Challenge su TikTok (dicembre 2022), dove l’effetto filtro “invisibile” è stato usato per adescare vittime. Ricercatori Bitdefender e Checkmarx hanno osservato che creatori di contenuti pubblicavano video virali invitando gli utenti a scaricare un’app “che rimuove il filtro invisibile”.

I video, con oltre un milione di visualizzazioni in pochi giorni, reindirizzavano le vittime a un server Discord: qui si sosteneva di mostrare video “svelati”, ma in realtà i link conducevano all’installazione di Wasp Stealer, un trojan information-stealer noto per rubare password, dati di carte di credito e criptovalute. In questo scenario l’attacco era orchestrato come un una truffa di social engineering: gli utenti incuriositi dai video – molti dei quali mostrano i protagonisti privi di vestiti – venivano convinti che una app “speciale” avrebbe rivelato contenuti segreti, ma scaricavano malware al posto di una app legittima.

Altri report evidenziano minacce correlate: ad esempio un’analisi di Cofense ha mostrato come gli URL di TikTok vengano talvolta usati in campagne di phishing. In questi casi i criminali inseriscono link TikTok (ad es. nella bio di un profilo) che reindirizzano a siti maligni. L’obiettivo è sfruttare la fiducia degli utenti nel dominio ufficiale TikTok: “gli aggressori aggirano così i sospetti dell’utente e sfruttano la fiducia che molti ripongono nella piattaforma”. In sintesi, la condivisione di link dannosi o contenuti creativi infetti su TikTok è già stato registrato come vettore di trojan e phishing, e mostra quanto l’ecosistema social sia oggi oggetto di nuovi vettori di attacco.

Meccanismi di diffusione dei video virali TikTok e social engineering

I video virali su TikTok possono fungere da vettore di attacco sfruttando soprattutto l’ingegneria sociale. Gli attaccanti creano contenuti apparentemente innocui – tutorial per trucchi, sfide di tendenza o offerte too-good-to-be-true – per catturare l’attenzione. All’interno del video il malintenzionato istruisce verbalmente l’utente a compiere azioni tecniche: ad esempio aprire il prompt dei comandi o PowerShell e incollare un comando.

Questa istruzione, presentata come passaggio necessario per attivare funzionalità premium, in realtà scarica uno script dannoso da un server remoto. Poiché il codice non è presente nel video ma viene eseguito dall’utente, le normali difese antivirus sul dispositivo dell’utente non intercettano nulla su TikTok stesso. Come spiega Trend Micro, “nessun codice malevolo è visibile sulla piattaforma che possa essere analizzato o bloccato da soluzioni di sicurezza” – tutta l’azione malevola avviene attraverso la persuasione diretta del video.

Oltre agli script PowerShell, gli aggressori possono inserire link dannosi nei commenti, nelle descrizioni o nelle biografie. Ad esempio, i profili possono contenere URL abbreviati o TikTok.link che, se cliccati, reindirizzano a siti di phishing o download di trojan. Cofense ha evidenziato casi in cui messaggi di posta phishing utilizzavano URL di TikTok per mimetizzare il redirect verso pagine di raccolta credenziali. In questo modo l’utente viene convinto di visitare una risorsa affidabile anche quando in realtà viene spinto verso trappole malware.

Steganografia e occultamento: in teoria, contenuti multimediali (immagini, audio, video) possono nascondere informazioni malevole tramite tecniche di steganografia. Per esempio, un aggressore potrebbe impercettibilmente incorporare istruzioni o payload in un video o nella sua traccia audio. In ambito accademico si studiano già “schemi robusti di video steganography” per comunicazioni segrete su social media.

In pratica, ciò significa che un video virale potrebbe avere dati cifrati incorporati nei frame: un malware o uno script sarebbe estratto dall’audio/video su dispositivo vittima. Sebbene non vi siano casi pubblici noti di steganografia specifica su TikTok, i ricercatori segnalano che i social network basati su video offrono un mezzo ideale per comunicazioni occultate. La popolarità del mezzo (e la ridondanza delle trasmissioni video compressi) può mascherare segmenti di dati malevoli difficili da rilevare con analisi convenzionali.

In sintesi, i video virali favoriscono la diffusione di malware per due ragioni chiave: il fattore psicologico (utente rilassato e ingannato dalla natura di “intrattenimento” del contenuto) e la portata algoritmica di TikTok. L’algoritmo favorisce la viralità dei contenuti più popolari, amplificando i video malevoli fino a centinaia di migliaia di visualizzazioni. Gli attaccanti possono quindi dirigere i propri contenuti a segmenti specifici (es. paesi, fasce d’età) grazie agli strumenti di targeting di TikTok, rendendo l’attacco altamente scalabile. L’uso crescente di contenuti generati da IA (voci sintetiche, avatar faceless) permette di automatizzare la creazione di varianti di video malevoli, rendendo più agevole bombardare la piattaforma con nuovi video fraudolenti.

Contromisure e suggerimenti per gli utenti

Per proteggersi, gli utenti devono adottare precauzioni sia comportamentali che tecniche. Innanzitutto, la scetticismo è fondamentale: diffidate di video che promettono “software gratis”, trucchi facili o filtri miracolosi. Non seguire ciecamente istruzioni di “esperti sconosciuti”. Qualunque offerta di attivare Windows, Office, Spotify, CapCut o rimuovere filtri TikTok tramite passaggi complessi dovrebbe suonare come un potenziale inganno. Bitdefender raccomanda di «scrutare attentamente» qualsiasi rivendicazione riguardo alla rimozione di filtri o sblocchi TikTok e di attivare l’autenticazione a due fattori (2FA) quando possibile.

Dal punto di vista tecnico, tenete il sistema operativo e il software di sicurezza aggiornati. Installate un antivirus o soluzione antimalware affidabile; questa può rilevare possibili payload scaricati. Evitate di scaricare app TikTok modificate o da fonti non ufficiali: usate sempre gli store ufficiali (Google Play, App Store) e verificate che l’app di TikTok stessa sia aggiornata e certificata. Disabilitate l’esecuzione automatica di script o codice scaricato via internet. Se un video istruisce ad aprire il prompt dei comandi o PowerShell, non fatelo – è una pratica insolitamente rischiosa. Anche Trend Micro consiglia di monitorare l’esecuzione di comandi insoliti: “Tenere sotto controllo esecuzioni anomale di PowerShell o altri strumenti di sistema aiuta a individuare attività malevole in anticipo”.

Inoltre, prestare attenzione alle registrazioni e ai link condivisi su TikTok. Non cliccate su URL sospetti in commenti o biografie di profili sconosciuti. Se un link vi sembra breve o strano, usate uno strumento online per verificarne la destinazione prima di visitarlo. Per i genitori o educatori, controllare e limitare l’uso di TikTok su dispositivi condivisi e spiegare ai più giovani i rischi di installare software non verificato è una buona pratica. Infine, segnalate immediatamente alla piattaforma ogni video o account sospetto: TikTok dispone di funzioni di report e rimozione per contenuti fraudolenti o pericolosi.

In sintesi, la difesa si basa su consapevolezza dell’utente e su barriere tecniche. Continuare ad aggiornare le soluzioni di sicurezza, evitare link e comandi non richiesti, e mantenere alta la guardia sulle nuove tecnologie (es. contenuti IA) sono accorgimenti che riducono notevolmente il rischio di contrarre trojan o altri malware tramite video virali. Come avvertono gli analisti di sicurezza, rinforzare l’educazione alla sicurezza informatica e trattare con sospetto i video “miracolosi” su TikTok è cruciale per spegnere sul nascere queste campagne.

Fonti:

Bizgă A. (2022). Malicious Actors Exploit TikTok ‘Invisible Challenge’ to Steal Users’ Info. Bitdefender Labs.

Gatlan S. (2025). TikTok videos now push infostealer malware in ClickFix attacks. BleepingComputer.

Dela Cruz J. (2025). TikTok Videos Promise Pirated Apps, Deliver Vidar and StealC Infostealers Instead. Trend Micro Research.

Knop D. (2025). Social engineering campaign: TikTok videos with malware instructions. Heise Security.

Cook B., McLain B. (2024). Exploiting Social Media: TikTok Links Used to Hijack Microsoft Accounts. Cofense Blog.

https://www.ictsecuritymagazine.com/notizie/video-virali-tiktok/