Nel panorama della cybersecurity 2026 molte minacce nascono da qualcosa che sembra legittimo abbastanza da non far scattare l’allarme. Un repository familiare, un installer utile, una funzione di sincronizzazione comoda.

Nelle ore successive al Patch Tuesday di Microsoft di luglio 2026 è stata resa pubblica una nuova prova di concetto di zero day Windows chiamata LegacyHive. Il focus è una vulnerabilità di elevazione dei privilegi legata al servizio User Profile Service di Windows, noto anche come ProfSvc, un componente di sistema che gestisce profili utente e ambiente di accesso.

Il malware OkoBot sta prendendo di mira gli utenti di wallet hardware su Windows con una tecnica di phishing sulla seed phrase particolarmente insidiosa. Invece di mostrare una pagina fasulla nel browser o installare una copia clonata del software, OkoBot inietta direttamente un contenuto malevolo dentro le applicazioni originali di Ledger e Trezor, sfruttando il fatto che molti wallet desktop sono basati su Electron.

Una recente campagna di supply chain attack ha colpito il registro npm coinvolgendo pacchetti della namespace AsyncAPI e distribuendo un malware botnet multistadio. I pacchetti compromessi sono:

• asyncapi-generator-helpers 1.1.1
• asyncapi-generator-components 0.7.1
• asyncapi-generator 3.3.1
• asyncapi-specs 6.11.2 e 6.11.2-alpha.1

Il rischio è rilevante per chi sviluppa con Node.js e integra questi moduli in pipeline di build o in flussi di lavoro di sviluppo, perché il codice malevolo viene eseguito quando il modulo infetto viene caricato (ad esempio tramite require), non durante npm install.

Catena di infezione e distribuzione del payload

La catena di infezione inizia con un payload offuscato di primo stadio che scarica un secondo stadio cifrato da IPFS. In pratica i pacchetti contengono un impianto JavaScript nascosto, con un file sorgente iniettato che decodifica un downloader comune. Quando Node.js esegue require del modulo, viene avviato un processo in background che recupera e lancia il malware da IPFS.

Il secondo stadio include un loader JavaScript cifrato chiamato sync.js, scritto in percorsi specifici del sistema operativo e poi eseguito. Il download avviene tramite un gateway IPFS pubblico, rendendo più complessa la rimozione del contenuto e la tracciabilità dell’infrastruttura.

Framework C2 e capacità del malware

Il payload finale è associato a un framework di comando e controllo chiamato Miasma, progettato per operazioni modulari su larga scala. Supporta più canali C2 indipendenti, tra cui:

• HTTP
• Nostr relay
• IPFS
• BitTorrent DHT
• mesh P2P basata su libp2p GossipSub
• smart contract su Ethereum

Le funzionalità includono furto di credenziali, avvelenamento di strumenti AI, movimento laterale in LAN e propagazione tipo worm anche verso altri ecosistemi come PyPI e Cargo. Per la persistenza, il malware può creare:

• Linux: voci di avvio automatico su systemd e crontab
• macOS: launchd
• Windows: chiavi di registro

Compromissione CI/CD e implicazioni sulla provenance

Un elemento critico riguarda la compromissione della CI/CD. Gli attaccanti avrebbero ottenuto accesso in push ai repository e sfruttato workflow legittimi di GitHub Actions per pubblicare versioni malevole con attestazioni di provenienza valide tramite OIDC. Questo dimostra che la provenance SLSA conferma che un workflow autorizzato ha prodotto il pacchetto, ma non garantisce che i commit che hanno attivato il rilascio fossero legittimi.

Le versioni malevole sono state rimosse dal registro npm, ma è consigliato considerare potenzialmente compromessi gli endpoint che hanno importato o eseguito le versioni indicate, soprattutto in ambienti di build e CI.

Il Dipartimento del Tesoro degli Stati Uniti, tramite l’Office of Foreign Assets Control (OFAC), ha annunciato nuove sanzioni legate al ransomware, colpendo per la prima volta un servizio VPN e un venditore di strumenti utilizzati per nascondere malware.

Al centro del provvedimento c’è First VPN Service, noto anche come 1VPNS, accusato di aver fornito infrastruttura e anonimato a gruppi criminali impegnati in attacchi ransomware e in altre attività malevole contro obiettivi americani. Insieme al servizio è stato sanzionato anche il suo amministratore ucraino, ritenuto responsabile della gestione e dell’acquisto di risorse tecnologiche utilizzate per sostenere le operazioni.

Secondo le autorità, il servizio VPN sarebbe stato impiegato per mascherare l’origine degli attacchi, facilitare la distribuzione di malware e gestire i dati esfiltrati. Le vittime citate includono aziende statunitensi, società di servizi finanziari, ospedali e amministrazioni locali: un quadro che evidenzia come il ransomware continui a colpire settori critici con impatti economici e operativi rilevanti. Gli Stati Uniti hanno inoltre collegato l’uso di questi servizi a perdite complessive nell’ordine dei miliardi di dollari per imprese e fornitori di infrastrutture essenziali.

First VPN Service era già stato smantellato nel maggio 2026 durante un’operazione congiunta tra forze dell’ordine europee e nordamericane. Il servizio risultava attivo dal 2014 e si promuoveva con politiche di assenza di log e mancata collaborazione con le autorità, elementi spesso ricercati da attori ransomware per ridurre la tracciabilità. Le accuse includono anche l’uso di identità false per acquistare infrastruttura presso fornitori che altrimenti avrebbero potuto rifiutare il servizio a causa di segnalazioni di abuso.

Le sanzioni hanno riguardato anche un cittadino bielorusso indicato come venditore di cryptor, strumenti progettati per offuscare ransomware e altri malware facendoli apparire come programmi legittimi e riducendo la probabilità di rilevamento da parte di soluzioni di sicurezza. Questo dettaglio rafforza l’attenzione verso l’ecosistema che ruota intorno al cybercrime, dove servizi VPN, cryptor e infrastrutture a noleggio diventano componenti chiave per attacchi più efficaci.

Una recente analisi di sicurezza ha evidenziato un caso di intrusione in cui un attaccante ha utilizzato uno script PowerShell probabilmente generato con intelligenza artificiale per eseguire la mappatura di Active Directory. Dopo aver ottenuto accesso tramite Remote Desktop Protocol su un Windows Server joinato al dominio usando credenziali già compromesse, il threat actor ha predisposto strumenti e file nella cartella C:\ProgramData, avviando una fase di ricognizione particolarmente rumorosa e aggressiva.

Una recente campagna di malware su npm ha mostrato come un registro di pacchetti possa essere usato come hosting gratuito per distribuire un sito web dannoso. Sono stati individuati 148 pacchetti npm mascherati da proxy web per studenti, creati per aggirare i filtri scolastici e accedere a giochi o siti bloccati.

Questa settimana la sicurezza informatica mette in evidenza un problema ricorrente: la distanza tra patch disponibile e sfruttamento reale si sta riducendo e gli attaccanti approfittano di ogni ritardo. Tra gli eventi più rilevanti spicca l’allerta su ShareFile con la richiesta ai clienti di spegnere i server Windows che eseguono Storage Zone Controllers a causa di una minaccia esterna ritenuta credibile.

Una semplice configurazione errata di un server può trasformarsi in una miniera di informazioni per chi analizza le minacce. In un caso recente, un operatore di phishing contro Microsoft 365 ha lasciato esposto un web server Python su una porta pubblica con directory listing attivo, rendendo consultabili file e cartelle del sistema.

Negli ultimi mesi i malware per macOS si sono evoluti rapidamente e CrashStealer rappresenta un esempio chiaro di come i criminali informatici puntino a superare le difese native di Apple. Questo info stealer per macOS è progettato per rubare dati sensibili dai sistemi compromessi, con un approccio più sofisticato rispetto a molte famiglie simili basate su AppleScript o wrapper Objective-C.