Sempre piu spesso i CISOs cercano nuovi vendor di cybersecurity su YouTube invece di compilare moduli sui siti dei fornitori per scaricare white paper o report con contenuti bloccati. Il motivo e semplice e molto pratico: il tempo e scarso e la valutazione iniziale di una soluzione deve essere rapida, chiara e accessibile anche fuori dall orario di ufficio.

Il sequestro del dominio Virtualine da parte dell’FBI riaccende i riflettori sul fenomeno del bulletproof hosting, un modello di hosting pensato per resistere a segnalazioni di abuso e richieste di rimozione. Secondo le autorità statunitensi, il provider avrebbe facilitato attività criminali su larga scala, includendo la diffusione di immagini sessualmente esplicite di minori, la condivisione non consensuale di contenuti intimi e schemi di riciclaggio internazionale per occultare la provenienza dei fondi.

Un caso di cyber crime con effetti immediati sui mercati finanziari torna al centro dell’attenzione dopo la condanna a 42 mesi di carcere inflitta da un tribunale federale statunitense a un hacker siriano legato alla Syrian Electronic Army. La vicenda è nota soprattutto per il dirottamento dell’account Twitter di Associated Press avvenuto il 23 aprile 2013, quando venne pubblicato un falso messaggio che sosteneva il ferimento del presidente degli Stati Uniti in seguito a esplosioni alla Casa Bianca.

Nel terzo trimestre 2026 gli attacchi DDoS di rete stanno raggiungendo livelli record e i numeri aiutano a capire quanto il rischio sia diventato continuo. Un importante report di settore evidenzia che gli attori malevoli lanciano in media 8226 attacchi DDoS network layer ogni ora.

Un tentativo di attacco informatico ha preso di mira il server GitLab del progetto Alpine Linux sfruttando una vulnerabilità critica identificata come CVE 2026 97229 con punteggio CVSS 10.0. Il problema consente, in determinate condizioni, una remote code execution (RCE) su server GitLab attraverso una regular expression malevola inserita nella configurazione CI.

Nel panorama della cybersecurity di questa settimana emergono schemi ricorrenti che uniscono vulnerabilita critiche, furto di credenziali e abuso della fiducia in strumenti e servizi considerati affidabili. Un primo segnale riguarda le campagne di scansione e tentata exploitazione di falle note, come PHP2Shell, che continuano a generare richieste malevole su larga scala anche quando non ci sono ancora conferme pubbliche di compromissioni riuscite.

Una vulnerabilità critica nei sistemi Cisco Catalyst SD-WAN è stata sfruttata da attaccanti per installare un malware mirato al furto delle chiavi di cifratura, con impatti potenzialmente gravi sulla sicurezza del traffico tra sedi.

Il problema è identificato come CVE 2026 20127 con punteggio CVSS 10.0 e consente a un attaccante remoto non autenticato di bypassare i controlli di accesso e ottenere privilegi amministrativi sui componenti di controllo della rete SD-WAN. In pratica, la falla apre la strada alla compromissione di Controller, Manager e Validator, sia in ambienti on-premises sia in distribuzioni cloud gestite.

Malware osservato: KeyDrift

Il malware osservato, denominato KeyDrift, è progettato per raccogliere il materiale crittografico usato per proteggere le comunicazioni. Nello scambio chiavi tradizionale di Cisco, i router SD-WAN generano periodicamente una chiave AES per cifrare il traffico e la inviano al Controller, che la redistribuisce agli altri router. Un processo centrale chiamato vdaemon gestisce le connessioni di controllo cifrate che trasportano queste chiavi.

Dopo la compromissione del Controller, un componente del malware si aggancia a vdaemon e legge i messaggi di controllo dopo la decifratura, estraendo indirizzi IP dei router edge e un campo di 32 byte valutato come materiale di chiave AES-256.

Esfiltrazione e persistenza

I dati raccolti vengono cifrati con RSA e salvati su file, con la possibilità di invio tramite UDP verso un indirizzo configurato in un file di impostazioni che viene eliminato dopo la lettura.

La catena di esecuzione include modifiche a script runit usati per avviare servizi di sistema. In uno scenario tipico, lo script del servizio SSH avvia prima un loader che prepara gli identificativi di processo di vdaemon e poi un injector inserisce in memoria il modulo principale.

Funzionalità del modulo principale

Il modulo principale può comportarsi come backdoor in stile TinyShell per eseguire comandi e gestire file, oppure come relay per inoltrare istruzioni. Un dettaglio rilevante è che i comandi possono essere veicolati nel traffico di controllo SD-WAN, senza indirizzi di comando e controllo hardcoded nei campioni analizzati.

Mitigazioni e verifica di compromissione

Cisco ha rilasciato correzioni per diverse release e non esistono workaround completi. In attesa dell’upgrade, è possibile ridurre la superficie di attacco limitando l’accesso alle porte 22 e 830 a indirizzi IP noti, ma questa misura non rimuove eventuale malware già presente.

Per la verifica di compromissione è utile controllare i log di autenticazione alla ricerca di accessi sospetti e avviare procedure di incident response se emergono indicatori.

Negli ultimi giorni la sicurezza del commercio elettronico e delle applicazioni web è finita sotto pressione per due vulnerabilità critiche che risultano attivamente sfruttate. Le falle riguardano da un lato Adobe Commerce e Magento e dall’altro la libreria open source Google Brotli, ampiamente utilizzata per la decompressione dei contenuti.

Il gruppo di cyber spionaggio Volt Typhoon, collegato alla Cina, è stato associato a una rete di accesso nascosta chiamata Silent Train, usata per campagne di sfruttamento zero day e per ottenere accesso strategico a organizzazioni di alto valore. Silent Train si basa su catene a rotazione di dispositivi compromessi SOHO, IoT e infrastrutture enterprise, impiegando tecniche anti-forensi, operazioni compartimentate e pulizia post-operazione per ridurre rilevamento e attribuzione.

Nell’ultima settimana la sicurezza informatica è stata dominata da una valanga di vulnerabilità critiche di tipo RCE (remote code execution), capaci di permettere a un attaccante di eseguire codice da remoto senza autenticazione. Il tema ricorrente è stato quello dei bug con nome in stile “2Shell”, un segnale chiaro di quanto sia rapida la comparsa di nuove superfici di attacco su software diffusi e infrastrutture essenziali.