Tradimento nel Ransomware-as-a-Service: affiliato fugge coi profitti e pubblica i leak, vittime nel caos

Nel panorama della cybersecurity le notizie della settimana mostrano un paradosso sempre piu frequente: gli attaccanti commettono errori grossolani ma riescono comunque a ottenere risultati grazie a debolezze di base nei sistemi.

Un caso emblematico riguarda un affiliato ransomware che ha tradito il proprio gruppo trattenendo i profitti e pubblicando i dati rubati su un sito di leak indipendente. Questo episodio evidenzia come i modelli RaaS (ransomware as a service) siano vulnerabili anche a conflitti interni e come le vittime restino esposte a doppia estorsione e diffusione incontrollata delle informazioni.

Sul fronte malware e attacchi mirati, una campagna ha sfruttato un’esca distribuita via WhatsApp con un file eseguibile camuffato da documento finanziario. La catena di infezione e stata multi fase con tentativi di elevazione dei privilegi, tecniche di iniezione di processo e l’uso di driver firmati per disabilitare processi di sicurezza. Il risultato finale e un RAT (remote access trojan) capace di raccogliere dati di sistema, fornire accesso shell e manipolare componenti locali. Questo conferma quanto sia critico il controllo degli allegati e dei file ricevuti tramite canali di messaggistica.

La supply chain software resta uno dei vettori piu pericolosi. Sono stati individuati temi e estensioni per VS Code presentati come innocui ma collegati a comportamenti malevoli come downloader offuscati e loader che decifrano script. Anche pacchetti npm e gem Ruby sono stati compromessi per rubare credenziali, aprire reverse shell o diffondere worm in ambienti di sviluppo e CI. Per chi gestisce DevOps e sviluppo sicuro diventa essenziale verificare publisher, dipendenze e comportamenti in fase di installazione.

Il phishing continua a evolversi sfruttando servizi legittimi per aumentare credibilita e bypassare controlli. In una campagna sono stati abusati domini Power BI per ospitare contenuti che spingono al download di strumenti RMM. Un altro trend rilevante e il phishing che prende di mira sia le persone sia gli assistenti AI inserendo prompt injection nascosti nelle email per influenzare le azioni dell assistente.

Sul piano vulnerabilita operative emergono esempi classici ma devastanti: una falla di upload file usata per caricare web shell e rubare dati di pagamento e un bypass di autenticazione dovuto a cookie di sessione prevedibili e segreti hard coded. Infine nel settore sanitario molti dispositivi non risultano pronti alla post quantum cryptography aumentando il rischio di scenari harvest now decrypt later.