Una nuova campagna di attacco sta prendendo di mira siti WordPress che utilizzano il plugin premium WooCommerce Wholesale Lead Capture, sfruttando una vulnerabilità critica identificata come CVE 2026 27540 con punteggio CVSS 9.8. Il plugin, diffuso in migliaia di installazioni attive, contiene un problema di caricamento arbitrario di file che consente a un aggressore non autenticato di caricare file malevoli sul server e arrivare fino alla remote code execution.

Silk Road 2.0 è una delle storie più emblematiche legate al dark web e al cybercrime. Nato nel novembre 2013, poche settimane dopo la chiusura del Silk Road originale da parte dell’FBI e l’arresto del suo fondatore, questo marketplace illegale ha cercato di raccogliere la stessa eredità puntando su anonimato, crittografia e pagamenti in criptovalute.

BambooToken è una nuova famiglia di malware multipiattaforma che sfrutta il protocollo MQTT come canale di comunicazione per il comando e controllo (C2) di sistemi Windows e Linux. MQTT è un protocollo leggero basato sul modello publish/subscribe, molto diffuso in ambito IoT, e proprio questa natura lo rende interessante per gli attaccanti che cercano traffico di rete meno sospetto e più facile da instradare.

Una nuova campagna di malware bancario in Brasile sta attirando l’attenzione per la sua capacità di dirottare Google Chrome e Microsoft Edge tramite estensioni malevole. Il toolkit, identificato come KREMLIN e associato a un attore monitorato con la sigla REF9334, risulta attivo almeno da maggio 2025.

Le agenzie di cybersicurezza di Stati Uniti, Regno Unito e Paesi Bassi hanno descritto una campagna di cyber spionaggio attribuita ai servizi di intelligence iraniani che utilizza un malware Windows controllato tramite Telegram. Il codice malevolo viene indicato con nomi diversi nei report tecnici, ma l’obiettivo è unico: colpire dissidenti, giornalisti, attivisti e persone considerate di interesse anche fuori dall’Iran.

Il trojan bancario Gigabud sta evolvendo con una tecnica che sfrutta una funzione legittima di Android per eludere i controlli di sicurezza delle app di home banking. In pratica il malware installa una seconda applicazione che crea un profilo di lavoro Android sul telefono infetto e poi inserisce al suo interno una app bancaria manomessa.

Nel panorama della cybersecurity di questa settimana emerge un filo conduttore chiaro: l’intelligenza artificiale sta accelerando sia gli attacchi sia la capacità di adattamento degli attori malevoli. Non si tratta più solo di usare un modello per scrivere codice o migliorare una email di phishing, ma di integrare agenti AI in più fasi della kill chain per automatizzare ricognizione, sviluppo di exploit e iterazioni rapide contro i controlli difensivi.

La CISA ha aggiornato il catalogo Known Exploited Vulnerabilities (KEV) includendo cinque vulnerabilità sfruttate attivamente che colpiscono JFrog Artifactory, ConnectWise ScreenConnect e MikroTik RouterOS. L’inserimento nel KEV è un segnale operativo importante per la sicurezza informatica, perché indica che gli attaccanti stanno già abusando di queste falle nel mondo reale e che la gestione delle patch deve diventare prioritaria per ridurre il rischio di compromissione.

Un nuovo progetto di cybersecurity sta attirando molta attenzione per la sua capacita di ridurre la rilevazione automatica da parte di telecamere di sorveglianza e sistemi di lettura targhe. L idea alla base e semplice ma potente dal punto di vista tecnico: generare pattern visivi tramite computer che, una volta applicati su vestiti o oggetti, interferiscono con gli algoritmi di visione artificiale usati per individuare persone e veicoli.

Le campagne di phishing evolvono rapidamente e negli ultimi mesi si è visto un salto di qualità che combina infrastrutture di invio email affidabili, ingegneria sociale e temi legati alle passkey per compromettere account Microsoft cloud e sottrarre dati.

In un primo scenario, gli attaccanti hanno inviato oltre un milione di messaggi fraudolenti in pochi giorni, impersonando dirigenti aziendali e puntando ai reparti amministrazione e pagamenti. Il pretesto era un presunto rinnovo annuale di abbonamento, corredato da fatture false e conversazioni email costruite ad arte per rendere credibile la richiesta di pagamento tramite bonifici ACH.

Per aumentare la probabilità di successo, i criminali hanno registrato domini simili a quelli legittimi e hanno sfruttato contenuti che imitano marchi noti. Un elemento chiave è la personalizzazione: nelle firme venivano inseriti nomi e indirizzi email di CEO, CFO o presidenti realmente associati alle aziende bersaglio, così da ridurre i sospetti. In alcuni casi, la produzione dei template e dei testi è stata accelerata con strumenti di intelligenza artificiale generativa, capaci di adattare tono e dettagli al destinatario.

La seconda campagna è ancora più insidiosa perché sfrutta il tema passkey e la pressione psicologica. Gli attaccanti contattano le vittime via telefono o messaggistica, spacciandosi per help desk IT, e chiedono un aggiornamento urgente di passkey, MFA o SSO per evitare blocchi di accesso. La vittima viene poi indirizzata a siti contraffatti che riproducono la pagina di login Microsoft, spesso tramite SMS sul dispositivo personale. Da lì, gli aggressori possono usare tecniche adversary in the middle oppure flussi di device code authentication per ottenere accesso, talvolta senza dover rubare direttamente password o cookie.

Dopo l’accesso iniziale, l’obiettivo diventa la persistenza: vengono aggiunti metodi di autenticazione controllati dagli attaccanti, come numeri di telefono, app di autenticazione o token OTP software, così da aggirare MFA e mantenere l’accesso. Seguono attività ad alto volume su Microsoft Graph, download da SharePoint e OneDrive, ed estrazione di posta tramite API REST. Questo abuso è difficile da rilevare se si osserva una singola chiamata API, perché serve correlare eventi e comportamenti lungo la sequenza di attacco.