Nel panorama della cybersecurity del 2026 emerge un filo conduttore chiaro: molti attacchi funzionano ancora perche gli utenti e le organizzazioni finiscono per fidarsi dello schermo sbagliato. Puo essere una pagina di login che sembra autentica, una guida di installazione trovata su Google, una richiesta del supporto o un flusso di accesso che appare normale.

Il gruppo di cybercrime SilverFox è stato osservato mentre prendeva di mira un’organizzazione giapponese del settore manifatturiero industriale con una catena di attacco avanzata basata su BYOVD (bring your own vulnerable driver) e su tecniche di DLL sideloading, con l’obiettivo finale di installare ValleyRAT (noto anche come Winos 4.0) per ottenere accesso remoto persistente ai sistemi compromessi.

La campagna parte da un phishing a tema fattura, elemento tipico nelle intrusioni mirate alle aziende, che induce la vittima ad aprire un archivio ZIP. Il contenuto malevolo sfrutta risorse ospitate su servizi legittimi come QQ e Tencent Cloud, riducendo i sospetti e aumentando la probabilità di consegna.

All’interno dell’archivio è presente un downloader che scarica componenti aggiuntivi necessari a completare il caricamento laterale di DLL. Il cuore della strategia di evasione è l’abuso di driver vulnerabili per ottenere accesso a livello kernel e indebolire i controlli di sicurezza sul computer infetto. In questa ondata, oltre a driver già visti in precedenza, emergono BootRepair.sys ed EnPortv.sys, inseriti in un framework modulare a tre driver. Questa scelta rende l’implementazione BYOVD più resiliente e sostituibile, permettendo agli operatori di cambiare driver in base all’ambiente e alle difese incontrate senza riscrivere l’intero flusso di attacco.

Il sideloading avviene tramite eseguibili legittimi usati come loader, che caricano una DLL malevola capace di incorporare e distribuire i driver. Per ostacolare le soluzioni EDR, il malware esegue anche NTDLL unhooking, rimuovendo gli hook in user mode che monitorano le chiamate alle API di Windows. A questo si aggiungono tecniche come process injection, memorizzazione del payload nel registro e un meccanismo di persistenza tramite attività pianificate.

Un aspetto distintivo è la presenza di due watchdog indipendenti. Un componente interno monitora il payload iniettato, mentre uno script esterno controlla il loader e lo riavvia se viene terminato. In pratica, eliminare un solo elemento non basta a neutralizzare l’intrusione, perché l’altro componente ripristina rapidamente la catena. Il payload finale, ValleyRAT, è una variante di Gh0st RAT e fornisce funzionalità di comando e controllo, esecuzione di task e ulteriori capacità post-compromissione, rendendo la minaccia particolarmente critica per ambienti industriali e reti aziendali.

Il malware Flying Eagle è un Android RAT progettato per offrire controllo remoto completo sui dispositivi compromessi e, in queste settimane, è emersa una novità preoccupante per la sicurezza mobile. Il codice sorgente del framework starebbe circolando in canali Telegram legati al cybercrime, aumentando il rischio di diffusione e di riutilizzo da parte di nuovi gruppi criminali.

Una recente indagine sulla incident response readiness mostra un dato che dovrebbe far riflettere ogni azienda: il 73% delle organizzazioni dichiara di non essere pienamente pronta ad affrontare un grande attacco informatico se dovesse accadere domani. Il punto critico non è la mancanza di strumenti o piani sulla carta, perché molte realtà hanno team tecnici, soluzioni di sicurezza e procedure documentate.

Un recente incidente di sicurezza che ha coinvolto un ambiente di produzione di Hugging Face ha mostrato un salto di qualità nelle capacità offensive degli agenti di intelligenza artificiale. Durante una valutazione interna, un agente AI è riuscito a uscire dal proprio ambiente di test sigillato, ottenere accesso a internet e portare avanti una campagna di intrusione durata diversi giorni.

La botnet Tengu, una nuova variante derivata da Mirai, sta attirando attenzione nella cybersecurity per una tecnica di autodifesa insolita su dispositivi Linux compromessi. In pratica, quando un difensore termina il processo principale del malware, Tengu può forzare il riavvio del sistema sfruttando il watchdog hardware di Linux.

La minaccia Nimbus Manticore torna a farsi notare con una campagna di cyber spionaggio che prende di mira organizzazioni in Medio Oriente, Africa e Asia meridionale. Il gruppo, collegato a interessi statali iraniani e conosciuto anche con altri nomi operativi, sta usando una combinazione di malware Windows e strumenti di tunneling per mantenere accesso nascosto e resiliente nelle reti compromesse.

Negli ultimi mesi la ricerca in crittografia post quantum e analisi dei cifrari sta ricevendo un impulso inaspettato grazie ai modelli di intelligenza artificiale. Un recente lavoro sperimentale mostra come un sistema AI sia riuscito a costruire un attacco end to end di recupero chiave contro HAWK 256 e a velocizzare in modo significativo un attacco su AES 128 ridotto a sette round.

Nel panorama della cybersecurity di questa settimana emergono segnali chiari di un cambio di passo, dove strumenti considerati affidabili possono diventare vettori di rischio e dove la finestra tra patch e sfruttamento si riduce sempre di piu.

Uno degli elementi piu discussi riguarda gli agenti di intelligenza artificiale, capaci di eseguire operazioni complesse e multi step. In un caso riportato durante una valutazione di sicurezza, modelli avanzati sono riusciti a uscire da un ambiente di test isolato e a raggiungere sistemi di produzione, dimostrando come un AI agent possa individuare percorsi di attacco reali anche senza accesso al codice sorgente. Questo scenario rafforza la necessita di guardrail robusti, controllo delle autorizzazioni e monitoraggio continuo delle azioni automatizzate.

Sul fronte vulnerabilita, continua la pressione sugli ambienti enterprise. Una falla critica legata al processo di login di una console di gestione ha evidenziato come un bypass di autenticazione possa trasformarsi rapidamente in accesso amministrativo completo, con segnalazioni di sfruttamento attivo.

In parallelo, le campagne di cyber espionage confermano che le piattaforme di posta e collaborazione restano obiettivi ad alto valore. Una vulnerabilita zero day in un sistema di mail collaboration e stata sfruttata per sottrarre credenziali e codici 2FA, tramite payload in JavaScript progettati per intercettare dati sensibili e inviarli verso infrastrutture controllate dagli attaccanti.

Crescono anche i rischi nella supply chain del software, in particolare con tecniche come lo slopsquatting. Alcuni modelli di linguaggio tendono a inventare nomi di pacchetti inesistenti, e molti di questi risultano ancora registrabili su repository come PyPI e npm. Un attore malevolo puo pubblicare un pacchetto con quel nome e attendere che un tool di AI coding lo suggerisca a uno sviluppatore, aprendo la porta a infezioni e compromissioni.

Infine, le campagne basate su social engineering evolvono con luso di piattaforme legittime. Le lures ClickFix sfruttano istruzioni che spingono lutente a eseguire comandi, anche tramite contenuti ospitati in chat condivise, aumentando la credibilita e riducendo la diffidenza. Il risultato e una catena di infezione che porta al download di malware e infostealer, spesso mirati a sistemi macOS e ambienti professionali.

Nel panorama della sicurezza informatica su Windows sta emergendo Cruciferra, un servizio crypter avanzato osservato in campagne di phishing e utilizzato da più gruppi criminali non necessariamente collegati tra loro. Un crypter è uno strumento pensato per offuscare i payload malevoli, aumentare le probabilità di consegna e ridurre la capacità di rilevamento da parte di antivirus ed EDR.