Un recente avviso congiunto di più agenzie di sicurezza informatica descrive una campagna di cyber spionaggio attribuita a hacker collegati a una società cinese del settore cybersecurity. Gli attaccanti avrebbero sottratto email e dati sensibili a organizzazioni governative, forze dell’ordine, sanità e istituzioni religiose nel Sud Est asiatico, con attività osservate anche contro settori negli Stati Uniti e in altre aree come Africa e Nord America.

Quattro stati USA in più hanno avviato una causa contro TP-Link Systems, produttore di router con sede in California, portando a cinque il totale delle azioni legali dopo quella presentata in precedenza dal Texas. Florida, Iowa, Montana e Nebraska sostengono che l’azienda abbia fuorviato i consumatori su due aspetti chiave: la sicurezza dei router e il livello di separazione societaria dalla Cina.

Negli ultimi giorni sono stati osservati attacchi informatici che sfruttano vulnerabilità in AhsayCBS, una utility di backup usata in diversi ambienti aziendali. Gli aggressori stanno concatenando due falle per ottenere il controllo remoto dei sistemi esposti e avviare attività di post-exploitation come l’installazione di web shell e la distribuzione di miner XMRig per il cryptojacking.

Il Dipartimento di Stato degli Stati Uniti ha annunciato una ricompensa fino a 10 milioni di dollari per informazioni utili a identificare o localizzare Zhang Yu, cittadino cinese accusato negli USA per il suo presunto coinvolgimento negli attacchi del 2021 contro Microsoft Exchange Server, noti come campagna HAFNIUM. Secondo le autorità, Zhang risulta ancora latitante e non è stato arrestato, mentre le accuse non sono state ancora verificate in un processo.

Nel panorama della cybersecurity le notizie della settimana mostrano un paradosso sempre piu frequente: gli attaccanti commettono errori grossolani ma riescono comunque a ottenere risultati grazie a debolezze di base nei sistemi.

Un caso emblematico riguarda un affiliato ransomware che ha tradito il proprio gruppo trattenendo i profitti e pubblicando i dati rubati su un sito di leak indipendente. Questo episodio evidenzia come i modelli RaaS (ransomware as a service) siano vulnerabili anche a conflitti interni e come le vittime restino esposte a doppia estorsione e diffusione incontrollata delle informazioni.

Sul fronte malware e attacchi mirati, una campagna ha sfruttato un’esca distribuita via WhatsApp con un file eseguibile camuffato da documento finanziario. La catena di infezione e stata multi fase con tentativi di elevazione dei privilegi, tecniche di iniezione di processo e l’uso di driver firmati per disabilitare processi di sicurezza. Il risultato finale e un RAT (remote access trojan) capace di raccogliere dati di sistema, fornire accesso shell e manipolare componenti locali. Questo conferma quanto sia critico il controllo degli allegati e dei file ricevuti tramite canali di messaggistica.

La supply chain software resta uno dei vettori piu pericolosi. Sono stati individuati temi e estensioni per VS Code presentati come innocui ma collegati a comportamenti malevoli come downloader offuscati e loader che decifrano script. Anche pacchetti npm e gem Ruby sono stati compromessi per rubare credenziali, aprire reverse shell o diffondere worm in ambienti di sviluppo e CI. Per chi gestisce DevOps e sviluppo sicuro diventa essenziale verificare publisher, dipendenze e comportamenti in fase di installazione.

Il phishing continua a evolversi sfruttando servizi legittimi per aumentare credibilita e bypassare controlli. In una campagna sono stati abusati domini Power BI per ospitare contenuti che spingono al download di strumenti RMM. Un altro trend rilevante e il phishing che prende di mira sia le persone sia gli assistenti AI inserendo prompt injection nascosti nelle email per influenzare le azioni dell assistente.

Sul piano vulnerabilita operative emergono esempi classici ma devastanti: una falla di upload file usata per caricare web shell e rubare dati di pagamento e un bypass di autenticazione dovuto a cookie di sessione prevedibili e segreti hard coded. Infine nel settore sanitario molti dispositivi non risultano pronti alla post quantum cryptography aumentando il rischio di scenari harvest now decrypt later.

Il gruppo di minaccia UAC 0099, considerato allineato alla Russia, è stato collegato a un malware finora poco documentato chiamato ASHVEIN, un infostealer e RAT sviluppato in .NET e impiegato in campagne contro personale del governo ucraino. La nuova attribuzione colloca questo set di intrusioni in una traiettoria di cyber spionaggio in continua evoluzione, con un passaggio progressivo da strumenti basati su PowerShell e Go verso binari compilati in C# e .NET, spesso protetti e offuscati per ridurre la rilevabilità.

Oltre 100 siti web compromessi sono stati usati per distribuire LunexStealer, un malware di tipo infostealer che punta a rubare dati e credenziali. La campagna è stata individuata a settembre 2026 e si basa su una tecnica di social engineering particolarmente insidiosa per gli utenti Windows.

SonicWall ha rilasciato hotfix di sicurezza per quattro vulnerabilità che interessano gli appliance SMA1000, gateway usati per fornire accesso remoto a rete e applicazioni aziendali. Il problema più critico è una falla di tipo SSRF (Server-Side Request Forgery) con punteggio CVSS 10.0, sfruttabile prima dell’autenticazione.

Una nuova campagna di malware sta prendendo di mira infrastrutture AI e LLM esposte su internet con un obiettivo chiaro: sfruttare la potenza di calcolo dei server per il crypto mining e far crescere una botnet. La campagna è stata identificata come Canto Incognito e risulta attiva almeno da aprile 2026, con oltre 3400 server compromessi.

Una nuova variante degli attacchi ClickFix sta sfruttando siti web compromessi per indurre gli utenti a eseguire un payload malevolo già presente nel dispositivo, nascosto nella cache del browser. Invece di scaricare e lanciare un file da remoto, la pagina web prepara in anticipo uno script che viene salvato nella cache e camuffato come immagine PNG.