Il gruppo di minaccia GREYVIBE è stato collegato a una serie di cyber attacchi persistenti contro l’Ucraina e contro entità collegate al paese, osservati almeno da agosto 2025. Le analisi indicano un profilo russofono con operatività compatibile con il fuso orario russo e con obiettivi coerenti con interessi di intelligence nel contesto del conflitto russo-ucraino.

Nel corso di marzo e aprile 2026 il gruppo di minaccia sponsorizzato da uno stato noto come Kimsuky ha condotto nuove campagne di cyber attacchi contro organizzazioni militari e aziende in Corea del Sud, puntando su tecniche di social engineering sempre piu mirate. Al centro delle operazioni emerge una variante del malware HTTPSpy, distribuita tramite pagine web contraffatte che imitano strumenti di sicurezza e servizi di videoconferenza, con l obiettivo di ottenere persistenza e facilitare lo spionaggio informatico.

La minaccia informatica JINX-0164 sta prendendo di mira aziende del settore criptovalute con un obiettivo chiaro: il furto di asset digitali attraverso social engineering a tema recruiting e malware per macOS sviluppato su misura. Il gruppo risulta attivo almeno dalla metà del 2025 e agisce con motivazione economica, concentrandosi soprattutto su sviluppatori e ambienti di sviluppo, dove un singolo endpoint compromesso può diventare il punto di ingresso verso sistemi molto più critici.

Una vulnerabilità critica in FortiClient Endpoint Management Server (EMS) sta venendo sfruttata da attori malevoli per distribuire malware progettato per il furto di credenziali, approfittando di un canale considerato affidabile in molte aziende. Il problema riguarda la falla CVE 2026 35616 con punteggio CVSS 9.1: un bypass di autenticazione su API pre-autenticazione che può portare a escalation di privilegi.

Nel bollettino ThreatsDay emergono segnali chiari su come si sta evolvendo la cybersecurity nel 2026 tra infrastrutture malevole sempre piu estese, kit di phishing pronti all uso e attacchi di supply chain che sfruttano la fiducia negli aggiornamenti firmati. Una delle evidenze piu pesanti riguarda l individuazione di oltre 1.300 server di comando e controllo nel Medio Oriente distribuiti su decine di provider.

Nel 2026 due campagne di banking malware stanno aumentando il rischio di frodi finanziarie in Europa e America Latina, colpendo sia PC Windows sia smartphone Android. Da una parte troviamo Grandoreiro, un trojan bancario attivo dal 2016 e in costante evoluzione, dall’altra BTMOB, un RAT per Android venduto come malware as a service che rende più semplice lanciare attacchi anche a gruppi poco esperti.

La recente operazione di contrasto contro GlassWorm ha interrotto in modo coordinato i canali di comando e controllo utilizzati da questo malware, noto per alimentare attacchi alla supply chain software rivolti in modo specifico agli sviluppatori. Il punto critico è che gli ambienti di sviluppo rappresentano un moltiplicatore di impatto: basta compromettere una singola workstation con accesso a repository, pipeline CI/CD, piattaforme cloud e registri di pacchetti per propagare codice malevolo verso migliaia di utenti e organizzazioni a valle.

Una nuova campagna di cryptojacking sta sfruttando un vettore sempre piu comune nelle abitudini digitali: i chatbot basati su intelligenza artificiale. Invece di limitarsi ai classici risultati dei motori di ricerca, gli attaccanti riescono a far comparire domini malevoli direttamente nelle risposte generate dai sistemi LLM, presentandoli come fonti affidabili per scaricare software.

Nel 2026 una nuova campagna di cyber espionage attribuita a un gruppo iraniano ha mostrato un salto di qualità nelle tecniche di infezione e nella distribuzione del malware. Gli attaccanti hanno preso di mira organizzazioni e dipendenti dei settori difesa, aviazione, telecomunicazioni e software in Stati Uniti, Europa e Medio Oriente, sfruttando esche di phishing molto credibili legate a offerte di lavoro e inviti a riunioni online.

Una vulnerabilità ad alta gravità nel sistema di gestione dell’apprendimento KnowledgeDeliver LMS, molto diffuso in Giappone, è stata sfruttata come zero-day per compromettere server esposti su Internet e avviare una catena di infezione che porta al web shell Godzilla e infine a Cobalt Strike Beacon. Il problema di sicurezza è identificato come CVE 2026 5426 con punteggio CVSS 7.5 e riguarda ASP.NET e, in particolare, l’uso di chiavi machineKey hard-coded all’interno della configurazione standard fornita dal vendor.