Nel bollettino ThreatsDay di questa settimana il filo conduttore è la fiducia “presa in prestito”. Molte minacce informatiche non si presentano come hacking sofisticato ma come strumenti utili, estensioni familiari, app di sicurezza o funzioni di rete considerate normali.
Proprio questa normalità rende più difficile accorgersi del rischio e aumenta la probabilità di installare o autorizzare qualcosa di pericoloso.
Supply chain software: pacchetto npm malevolo
Un caso riguarda la supply chain del software con un pacchetto npm malevolo che attiva un dropper durante il postinstall. Basta eseguire npm install per avviare una catena che su macOS usa AppleScript e osascript per distribuire un infostealer capace di carpire password, credenziali browser, chiavi SSH, dati AWS e Kubernetes, wallet crypto e contenuti del portachiavi. La persistenza viene mantenuta con un LaunchAgent che contatta periodicamente il server di comando e controllo.
AmbientI di sviluppo nel mirino: estensioni VS Code false
Anche gli ambienti di sviluppo sono nel mirino. Una estensione falsa su marketplace di VS Code ha imitato un plugin legittimo molto scaricato, inviando username e hostname verso un indirizzo IP tramite HTTP in chiaro e scaricando payload remoti modificabili nel tempo. Questo tipo di backdoor mascherata sfrutta la reputazione di nomi simili e la tendenza a installare estensioni senza una verifica approfondita.
Mobile: frode pubblicitaria e spyware camuffato
Sul fronte mobile emergono due trend:
- Frode pubblicitaria su Android: app AfterCall che, ottenuti permessi speciali come overlay, mostrano annunci subito dopo la fine di una chiamata e usano tecniche di evasione per rendere difficile la rimozione.
- Spyware travestito da app di pubblica sicurezza: distribuito tramite domini clone che imitano store e siti governativi, con una piattaforma a più stadi in grado di raccogliere SMS, codici OTP, contatti, screenshot e ottenere controllo remoto.
AI e sicurezza industriale: nuove superfici di attacco
Le minacce toccano anche l’intelligenza artificiale. Una tecnica di prompt injection nascosta in immagini PNG può ingannare agenti AI usati per revisioni o automazione, inducendoli a leggere file sensibili come .env e a esfiltrare segreti in modo indiretto. In parallelo, la sicurezza OT è sotto pressione con avvisi su attività mirate a PLC esposti su internet e rischi di manipolazione di HMI e SCADA.
Rete: DNS apparentemente normale, ma usato come canale C2
Infine, traffico DNS apparentemente normale può nascondere canali C2 tramite DNS tunneling, rendendo la telemetria di rete un punto chiave per il rilevamento.