La settimana della cybersecurity conferma un trend ormai costante: la finestra tra divulgazione e sfruttamento delle vulnerabilita si sta accorciando e gli attacchi alla supply chain colpiscono strumenti usati ogni giorno nei flussi di sviluppo.

Un caso emblematico riguarda Trivy, uno scanner di vulnerabilita open source molto diffuso. Gli attaccanti hanno compromesso rilasci ufficiali e componenti per GitHub Actions inserendo malware capace di rubare credenziali. In ambienti CI CD questo significa una cosa sola: segreti esposti e pipeline trasformate in un vettore di propagazione.

Nel nuovo panorama della cybersecurity le minacce non arrivano sempre con segnali evidenti. La settimana analizzata nel ThreatsDay Bulletin mostra un insieme di tecniche silenziose ma efficaci che sfruttano fiducia implicita, abitudini degli utenti e infrastrutture difficili da bloccare in modo definitivo.

Nel panorama della cyber sicurezza la differenza tra un aggiornamento ordinario e un incidente grave si sta assottigliando. Ladozione di strumenti basati su intelligenza artificiale dispositivi connessi e automazione aumenta la superficie di attacco e rende piu facile trasformare una piccola svista in una compromissione completa.

Una nuova campagna di cyber spionaggio ha preso di mira enti governativi e organizzazioni legate alle politiche pubbliche negli Stati Uniti, sfruttando esche a tema geopolitico per distribuire una backdoor chiamata LOTUSLITE. Il vettore iniziale è un attacco di spear phishing che fa leva su contenuti collegati alle tensioni tra Stati Uniti e Venezuela, un contesto ideale per aumentare la credibilità delle email e spingere l’utente ad aprire allegati apparentemente rilevanti.

Le autorità ucraine e tedesche hanno identificato due cittadini ucraini sospettati di aver collaborato con Black Basta, un gruppo ransomware as a service collegato alla Russia e noto per attacchi informatici contro aziende in Nord America, Europa e Australia. L’indagine descrive un modello operativo tipico del ransomware moderno, dove ruoli diversi lavorano in modo coordinato per ottenere accesso iniziale, muoversi nella rete e infine cifrare i dati per chiedere un riscatto in criptovaluta.

Il malware GootLoader continua a evolversi e negli ultimi mesi è stato osservato mentre usa archivi ZIP malformati per eludere i controlli di sicurezza e ostacolare l’analisi automatizzata. Questo loader in JavaScript, noto anche come JScript, punta a consegnare payload secondari e in diversi scenari può aprire la strada a infezioni più gravi, inclusi ransomware.

Microsoft ha annunciato un intervento legale coordinato negli Stati Uniti e nel Regno Unito che ha portato al sequestro e alla disattivazione dell’infrastruttura di RedVDS, un servizio in abbonamento legato al cybercrime e utilizzato per frodi online. RedVDS veniva proposto come soluzione economica per ottenere computer virtuali “usa e getta”, rendendo le campagne criminali più convenienti, scalabili e difficili da tracciare.

Una campagna malware attiva sta sfruttando una tecnica nota come DLL side loading per aggirare i controlli di sicurezza e distribuire diversi tipi di malware su sistemi Windows. Il punto chiave è che gli attaccanti affiancano una DLL malevola chiamata libcares-2.dll a un eseguibile legittimo e firmato digitalmente, ahost.exe, in modo che il programma carichi la libreria sbagliata e avvii codice dannoso senza destare sospetti.

VoidLink è un nuovo malware per Linux progettato per ottenere accesso furtivo e di lunga durata in ambienti cloud e container. La sua forza principale è la modularità, grazie a un sistema di plugin che consente agli attaccanti di aggiungere o modificare funzionalità nel tempo, adattandosi a obiettivi diversi senza dover reinstallare l’intero impianto malevolo.

La sicurezza informatica questa settimana ha mostrato quanto i piccoli errori possano trasformarsi rapidamente in incidenti su larga scala. Strumenti progettati per automatizzare processi e ridurre i tempi di lavoro sono diventati punti di ingresso ideali quando mancano controlli di base, come la corretta validazione degli input e la limitazione dell’accesso pubblico.