La campagna malware GlassWorm sta mostrando una nuova evoluzione che combina tecniche di supply chain attack con un framework multistadio pensato per il furto di dati e la distribuzione di un RAT (Remote Access Trojan). Il punto di forza di questa variante è l’uso di dead drop non convenzionali come la blockchain Solana e persino Google Calendar per nascondere e recuperare le informazioni di comando e controllo, rendendo più difficile il blocco delle infrastrutture malevole.

Il Dipartimento di Giustizia degli Stati Uniti ha annunciato una condanna a due anni di carcere nei confronti di un cittadino russo ritenuto coinvolto nella gestione di una botnet usata come piattaforma per attacchi ransomware contro aziende americane. Oltre alla pena detentiva è stata stabilita anche una multa di 100000 dollari.

La settimana della cybersecurity conferma un trend ormai costante: la finestra tra divulgazione e sfruttamento delle vulnerabilita si sta accorciando e gli attacchi alla supply chain colpiscono strumenti usati ogni giorno nei flussi di sviluppo.

Un caso emblematico riguarda Trivy, uno scanner di vulnerabilita open source molto diffuso. Gli attaccanti hanno compromesso rilasci ufficiali e componenti per GitHub Actions inserendo malware capace di rubare credenziali. In ambienti CI CD questo significa una cosa sola: segreti esposti e pipeline trasformate in un vettore di propagazione.

Nel nuovo panorama della cybersecurity le minacce non arrivano sempre con segnali evidenti. La settimana analizzata nel ThreatsDay Bulletin mostra un insieme di tecniche silenziose ma efficaci che sfruttano fiducia implicita, abitudini degli utenti e infrastrutture difficili da bloccare in modo definitivo.

Nel panorama della cyber sicurezza la differenza tra un aggiornamento ordinario e un incidente grave si sta assottigliando. Ladozione di strumenti basati su intelligenza artificiale dispositivi connessi e automazione aumenta la superficie di attacco e rende piu facile trasformare una piccola svista in una compromissione completa.

Una nuova campagna di cyber spionaggio ha preso di mira enti governativi e organizzazioni legate alle politiche pubbliche negli Stati Uniti, sfruttando esche a tema geopolitico per distribuire una backdoor chiamata LOTUSLITE. Il vettore iniziale è un attacco di spear phishing che fa leva su contenuti collegati alle tensioni tra Stati Uniti e Venezuela, un contesto ideale per aumentare la credibilità delle email e spingere l’utente ad aprire allegati apparentemente rilevanti.

Le autorità ucraine e tedesche hanno identificato due cittadini ucraini sospettati di aver collaborato con Black Basta, un gruppo ransomware as a service collegato alla Russia e noto per attacchi informatici contro aziende in Nord America, Europa e Australia. L’indagine descrive un modello operativo tipico del ransomware moderno, dove ruoli diversi lavorano in modo coordinato per ottenere accesso iniziale, muoversi nella rete e infine cifrare i dati per chiedere un riscatto in criptovaluta.

Il malware GootLoader continua a evolversi e negli ultimi mesi è stato osservato mentre usa archivi ZIP malformati per eludere i controlli di sicurezza e ostacolare l’analisi automatizzata. Questo loader in JavaScript, noto anche come JScript, punta a consegnare payload secondari e in diversi scenari può aprire la strada a infezioni più gravi, inclusi ransomware.

Microsoft ha annunciato un intervento legale coordinato negli Stati Uniti e nel Regno Unito che ha portato al sequestro e alla disattivazione dell’infrastruttura di RedVDS, un servizio in abbonamento legato al cybercrime e utilizzato per frodi online. RedVDS veniva proposto come soluzione economica per ottenere computer virtuali “usa e getta”, rendendo le campagne criminali più convenienti, scalabili e difficili da tracciare.

Una campagna malware attiva sta sfruttando una tecnica nota come DLL side loading per aggirare i controlli di sicurezza e distribuire diversi tipi di malware su sistemi Windows. Il punto chiave è che gli attaccanti affiancano una DLL malevola chiamata libcares-2.dll a un eseguibile legittimo e firmato digitalmente, ahost.exe, in modo che il programma carichi la libreria sbagliata e avvii codice dannoso senza destare sospetti.