Il phishkit Wazza mostra come il phishing moderno non si limiti più a copiare una pagina di login, ma utilizzi una vera infrastruttura di consegna per filtrare le visite e rendere più difficile la rilevazione automatica. La campagna prende di mira settori ad alto valore come banche, enti governativi e aziende manifatturiere in Stati Uniti, Europa e Australia, sfruttando una catena di reindirizzamenti in più fasi che decide quando e a chi presentare il contenuto malevolo.

Una recente campagna di cyber attacchi contro organizzazioni finanziarie della Corea del Sud ha mostrato come gli strumenti di penetration testing basati su intelligenza artificiale possano essere riutilizzati per il furto di dati. Gli aggressori hanno impiegato ARTEX, un tool di AI pentesting di tipo agentic, insieme a modelli linguistici di grandi dimensioni per accelerare attivita tipiche di ricognizione, ricerca di vulnerabilita e automazione operativa, fino all esfiltrazione di informazioni.

Negli ultimi mesi il Giappone sta registrando un aumento marcato di data leak web che coinvolgono organizzazioni e servizi digitali di vario tipo. Le analisi degli incidenti indicano un filo conduttore chiaro: abuso delle API mobile e sfruttamento di vulnerabilità note in software esposti su Internet, con un impatto diretto sulla sicurezza dei dati personali.

Il kit di exploit iOS DarkSword continua a evolversi e una nuova variante chiamata P7 DarkSword mostra un salto di qualità nelle capacità di furto dati e nel controllo remoto dei dispositivi Apple. Questa versione riduce il footprint sul dispositivo, migliora la discrezione eliminando log di debug e introduce un modello di comunicazione C2 bidirezionale più efficiente, con richieste periodiche che permettono agli attaccanti di inviare comandi e ricevere dati in modo continuo.

Un recente avviso congiunto di più agenzie di sicurezza informatica descrive una campagna di cyber spionaggio attribuita a hacker collegati a una società cinese del settore cybersecurity. Gli attaccanti avrebbero sottratto email e dati sensibili a organizzazioni governative, forze dell’ordine, sanità e istituzioni religiose nel Sud Est asiatico, con attività osservate anche contro settori negli Stati Uniti e in altre aree come Africa e Nord America.

Quattro stati USA in più hanno avviato una causa contro TP-Link Systems, produttore di router con sede in California, portando a cinque il totale delle azioni legali dopo quella presentata in precedenza dal Texas. Florida, Iowa, Montana e Nebraska sostengono che l’azienda abbia fuorviato i consumatori su due aspetti chiave: la sicurezza dei router e il livello di separazione societaria dalla Cina.

Negli ultimi giorni sono stati osservati attacchi informatici che sfruttano vulnerabilità in AhsayCBS, una utility di backup usata in diversi ambienti aziendali. Gli aggressori stanno concatenando due falle per ottenere il controllo remoto dei sistemi esposti e avviare attività di post-exploitation come l’installazione di web shell e la distribuzione di miner XMRig per il cryptojacking.

Il Dipartimento di Stato degli Stati Uniti ha annunciato una ricompensa fino a 10 milioni di dollari per informazioni utili a identificare o localizzare Zhang Yu, cittadino cinese accusato negli USA per il suo presunto coinvolgimento negli attacchi del 2021 contro Microsoft Exchange Server, noti come campagna HAFNIUM. Secondo le autorità, Zhang risulta ancora latitante e non è stato arrestato, mentre le accuse non sono state ancora verificate in un processo.

Nel panorama della cybersecurity le notizie della settimana mostrano un paradosso sempre piu frequente: gli attaccanti commettono errori grossolani ma riescono comunque a ottenere risultati grazie a debolezze di base nei sistemi.

Un caso emblematico riguarda un affiliato ransomware che ha tradito il proprio gruppo trattenendo i profitti e pubblicando i dati rubati su un sito di leak indipendente. Questo episodio evidenzia come i modelli RaaS (ransomware as a service) siano vulnerabili anche a conflitti interni e come le vittime restino esposte a doppia estorsione e diffusione incontrollata delle informazioni.

Sul fronte malware e attacchi mirati, una campagna ha sfruttato un’esca distribuita via WhatsApp con un file eseguibile camuffato da documento finanziario. La catena di infezione e stata multi fase con tentativi di elevazione dei privilegi, tecniche di iniezione di processo e l’uso di driver firmati per disabilitare processi di sicurezza. Il risultato finale e un RAT (remote access trojan) capace di raccogliere dati di sistema, fornire accesso shell e manipolare componenti locali. Questo conferma quanto sia critico il controllo degli allegati e dei file ricevuti tramite canali di messaggistica.

La supply chain software resta uno dei vettori piu pericolosi. Sono stati individuati temi e estensioni per VS Code presentati come innocui ma collegati a comportamenti malevoli come downloader offuscati e loader che decifrano script. Anche pacchetti npm e gem Ruby sono stati compromessi per rubare credenziali, aprire reverse shell o diffondere worm in ambienti di sviluppo e CI. Per chi gestisce DevOps e sviluppo sicuro diventa essenziale verificare publisher, dipendenze e comportamenti in fase di installazione.

Il phishing continua a evolversi sfruttando servizi legittimi per aumentare credibilita e bypassare controlli. In una campagna sono stati abusati domini Power BI per ospitare contenuti che spingono al download di strumenti RMM. Un altro trend rilevante e il phishing che prende di mira sia le persone sia gli assistenti AI inserendo prompt injection nascosti nelle email per influenzare le azioni dell assistente.

Sul piano vulnerabilita operative emergono esempi classici ma devastanti: una falla di upload file usata per caricare web shell e rubare dati di pagamento e un bypass di autenticazione dovuto a cookie di sessione prevedibili e segreti hard coded. Infine nel settore sanitario molti dispositivi non risultano pronti alla post quantum cryptography aumentando il rischio di scenari harvest now decrypt later.

Il gruppo di minaccia UAC 0099, considerato allineato alla Russia, è stato collegato a un malware finora poco documentato chiamato ASHVEIN, un infostealer e RAT sviluppato in .NET e impiegato in campagne contro personale del governo ucraino. La nuova attribuzione colloca questo set di intrusioni in una traiettoria di cyber spionaggio in continua evoluzione, con un passaggio progressivo da strumenti basati su PowerShell e Go verso binari compilati in C# e .NET, spesso protetti e offuscati per ridurre la rilevabilità.