I ricercatori di cybersecurity hanno individuato Avalon, un framework malware modulare finora non documentato, distribuito tramite una catena di phishing a più fasi progettata per aggirare i controlli di sicurezza tradizionali. Il punto di ingresso è una email che simula un documento legale e indirizza la vittima verso un archivio protetto da password ospitato su Proton Drive.

La sicurezza informatica di questa settimana mette in evidenza un tema ricorrente: le falle più pericolose spesso non sono grandi rotture improvvise, ma piccoli punti deboli in permessi, controlli e flussi considerati normali. Browser, bot, sandbox, sistemi di intelligenza artificiale e processi email possono apparire affidabili fino a quando qualcuno non individua una piccola apertura e la trasforma in un varco operativo.

Un nuovo attore di minaccia chiamato Armored Likho è stato collegato a una serie di attacchi informatici contro agenzie governative e aziende del settore elettrico in Russia, Brasile e Kazakistan. La campagna combina obiettivi di cyber spionaggio con attività orientate al furto di dati e credenziali, mostrando un livello di maturità tecnica in crescita e una forte capacità di adattare gli strumenti al profilo della vittima.

Un diciannovenne sospettato di far parte del gruppo di cybercriminali Scattered Spider è stato estradato dalla Finlandia per affrontare negli Stati Uniti accuse legate a cospirazione, intrusione informatica e frode. Il giovane, cittadino con doppia nazionalità statunitense ed estone, è comparso davanti a un tribunale federale a Chicago e il giudice ha disposto la custodia cautelare.

Nel panorama della cybersecurity di questa settimana emerge un messaggio chiaro: una singola configurazione sbagliata, un accesso dimenticato o una patch rimandata possono aprire la porta ad attacchi concreti e ripetibili. Tra i temi più rilevanti spiccano vulnerabilità nel Linux kernel, tecniche di evasione pensate per ingannare strumenti di analisi basati su intelligenza artificiale e campagne criminali che puntano al furto di credenziali su larga scala.

Nel 2025 il gruppo APT russo Gamaredon ha intensificato gli attacchi informatici contro l’Ucraina, ampliando in modo significativo il proprio arsenale malware e sfruttando servizi cloud legittimi per nascondere infrastrutture e canali di esfiltrazione. Le campagne osservate includono decine di operazioni di spear phishing mirate soprattutto a istituzioni governative e militari ucraine, con l’obiettivo di sottrarre informazioni sensibili utili in un contesto di conflitto.

Il gruppo di cyber spionaggio Mustang Panda, collegato alla Cina, è stato osservato mentre conduce due campagne mirate contro obiettivi in India, con un focus su reti governative e settore idroelettrico. L’elemento più rilevante è l’uso di Zoho WorkDrive come canale di comando e controllo, una scelta che rende il traffico malevolo simile a normali attività cloud e quindi più difficile da distinguere nei log e nei sistemi di monitoraggio.

Una nuova ondata di attacchi alla supply chain software sta colpendo gli sviluppatori tramite pacchetti npm compromessi e abuso di GitHub Actions, con un’espansione che tocca anche l’ecosistema Go. La campagna è associata al malware Miasma, una variante collegata a una famiglia già nota per puntare alle credenziali di maintainer e per sfruttare i flussi di lavoro considerati affidabili nelle pipeline CI/CD.

La CISA ha inserito nel catalogo KEV una vulnerabilita critica di remote code execution che colpisce PTC Windchill PDMlink e PTC FlexPLM, soluzioni enterprise usate per la gestione dei dati di prodotto e del ciclo di vita del prodotto. L inserimento nel Known Exploited Vulnerabilities catalog e un segnale chiaro di sfruttamento attivo e di rischio elevato per le organizzazioni che espongono questi servizi in rete.

Cerberus è un security gateway local-first pensato per proteggere l’uso di AI coding agents che eseguono azioni sul computer in modo autonomo. Strumenti come Claude Code, Codex, Cursor e Cline possono lanciare comandi di shell, modificare file e fare chiamate di rete a velocità macchina, spesso senza supervisione continua.