Nel bollettino di cybersecurity della settimana emergono attacchi che non iniziano con tecniche spettacolari ma con azioni quotidiane e configurazioni lasciate aperte. La superficie di rischio si costruisce spesso su percorsi normali come un link cliccato in fretta, un pacchetto software considerato affidabile, un nome riutilizzato nel cloud o un servizio che continua a fidarsi di uno stato vecchio.
Cloud security e cloud bucket hijacking
In questo scenario si inserisce il tema centrale della cloud security con il cloud bucket hijacking, una tecnica che sfrutta il fatto che il nome di uno storage bucket è globale e unico. Se un bucket viene eliminato, un attaccante può ricrearlo con lo stesso nome nel proprio account e intercettare flussi di dati e log che continuano a essere inviati verso quella destinazione. Il risultato è un dirottamento silenzioso di informazioni sensibili, spesso senza segnali evidenti fino a quando non emergono impatti di compliance o incident response.
Social engineering, phishing e abuso di strumenti legittimi
Accanto al cloud bucket hijacking, la settimana evidenzia campagne di social engineering e phishing sempre più credibili. Una catena osservata combina email con esche come sondaggi aziendali e una finta assistenza IT via Microsoft Teams. Attraverso richieste di controllo remoto e l’installazione guidata di strumenti di accesso remoto legittimi, gli attaccanti ottengono persistenza e poi distribuiscono malware come EtherRAT tramite loader multi-stage. Questo conferma quanto la sicurezza degli endpoint dipenda anche da policy su strumenti RMM, gestione dei privilegi e formazione mirata.
Supply chain e sviluppo: pacchetti malevoli e typosquatting
Sul fronte supply chain e sviluppo, sono stati individuati pacchetti malevoli su npm e PyPI che imitano SDK di app di pagamento tramite typosquatting. L’obiettivo è rubare informazioni di sistema e segreti degli sviluppatori, esfiltrando i dati verso infrastrutture esterne. Le tecniche includono offuscamento e controlli anti-sandbox, segnale di operazioni orientate a monetizzazione e frodi.
Vulnerabilità critiche e catene di elevazione privilegi
Non mancano vulnerabilità critiche, come una directory traversal in software enterprise che consente accesso a file sensibili senza autenticazione, e una catena di Windows LPE legata a RPC spoofing e bypass di protezioni dell’interfaccia, utile per elevazione di privilegi. Nel complesso, il messaggio operativo è monitorare i percorsi normali, non solo i comportamenti strani: nomi quasi corretti, permessi eccessivi, traffico in uscita non vincolato e configurazioni che non vengono mai riviste.