In questa settimana di cybersecurity il filo conduttore è stato la fiducia riposta troppo presto nel punto sbagliato. Oggetti comuni, repository apparentemente puliti, funzioni di reset password e permessi del browser sono diventati l’anello debole sfruttabile da attori malevoli.
Il risultato è un panorama dove attacchi e tecniche si nascondono dentro flussi ordinari e dove la superficie di rischio cresce anche senza exploit sofisticati.
Il caso più rilevante riguarda la disruption della rete di proxy residenziali NetNut, nota anche come Popa. Un’azione coordinata ha portato al blocco di account e servizi usati per comando e controllo e all’aggiornamento delle difese su dispositivi Android, con la disabilitazione di app che integravano SDK legati al network. La portata stimata è enorme, con almeno 2 milioni di dispositivi coinvolti a livello globale.
La logica è tipica delle botnet proxy: instradare traffico attraverso dispositivi domestici per mascherare attività malevole, rendendo più difficile attribuzione e blocco. Il dettaglio più preoccupante è la modalità di diffusione, tramite SDK inseriti in app e componenti per device comuni come smart TV e streaming box, talvolta già compromessi prima dell’acquisto o infettati tramite download inconsapevoli.
Parallelamente emergono minacce che colpiscono chi fa ricerca. Repository GitHub con proof of concept per nuove CVE possono includere dipendenze malevole che scaricano trojan completi, capaci di rubare password, cookie e dati di browser come Chrome, Edge e Firefox, oltre a eseguire comandi e raccogliere informazioni di sistema. Questo rende essenziale verificare dipendenze e catena di fornitura software prima di eseguire codice.
Sul fronte browser security, la ricerca mostra come funzioni legittime possano essere reinterpretate in chiave offensiva. Una tecnica di ransomware nel browser sfrutta l’accesso ai file tramite API di Chromium in scenari reali su più piattaforme. Anche senza evidenze di uso su larga scala, il segnale è chiaro: le funzionalità standard possono diventare vettori.
Infine l’identity security si irrigidisce. Le modifiche ai processi di self service password reset puntano a ridurre l’uso di contatti presenti in directory ma non registrati esplicitamente, per limitare abusi e scorciatoie che nel tempo diventano pericolose.