Bollettino ThreatsDay: Avvisi di Spyware, Attacchi Mirai, Docker e Altro
Le storie sulla sicurezza informatica di questa settimana mostrano come velocemente il mondo online può diventare rischioso. Gli hacker stanno infiltrando malware nei download di film, nei componenti aggiuntivi dei browser e persino negli aggiornamenti software di cui le persone si fidano. I giganti tecnologici e i governi stanno correndo per tappare nuovi buchi mentre discutono su privacy e controllo. E i ricercatori continuano a scoprire quanto della nostra vita digitale è ancora completamente esposta.
Il nuovo Bollettino Threatsday riunisce tutto insieme: grandi hack, exploit silenziosi, arresti audaci e scoperte intelligenti che spiegano dove stanno andando le minacce informatiche in seguito.
È una rapida e schietta panoramica delle più grandi mosse di sicurezza della settimana prima che diventino i titoli di domani.
Il settore marittimo dell’IoT sotto assedio
Una nuova variante del botnet Mirai denominata Broadside sta sfruttando una vulnerabilità di gravità critica in TBK DVR (CVE-2024-3721) in attacchi che prendono di mira il settore della logistica marittima. A differenza delle varianti Mirai precedenti, Broadside impiega un protocollo C2 personalizzato, una firma univoca “Magic Header” e un modulo avanzato “Judge, Jury, and Executioner” per esclusività. Tecnicamente, diverge dal Mirai standard utilizzando i socket kernel Netlink per il monitoraggio dei processi guidato da eventi furtivo (sostituendo il sondaggio del file system rumoroso) e impiega il polimorfismo del payload per eludere le difese statiche. Nello specifico, tenta di mantenere il controllo esclusivo dell’host terminando altri processi che corrispondono a specifici modelli di percorso, non superano controlli interni o sono già stati classificati come ostili. Broadside va oltre gli attacchi di negazione del servizio, poiché tenta di raccogliere file di credenziali di sistema con l’obiettivo di stabilire un punto d’appoggio strategico nei dispositivi compromessi. Mirai è un botnet formidabile che ha generato diverse varianti da quando il suo codice sorgente è stato trapelato nel 2016.
Le falle dell’LLM persistono indefinitamente
Il Centro Nazionale di Sicurezza Informatica del Regno Unito ha affermato che le iniezioni di prompt – che si riferiscono a falle nelle applicazioni di intelligenza artificiale generativa (GenAI) che consentono loro di analizzare istruzioni maligne per generare contenuti altrimenti non possibili – “non saranno mai adeguatamente mitigate” e che è importante sensibilizzare sulla classe di vulnerabilità, nonché progettare sistemi che “limitano le azioni del sistema, piuttosto che semplicemente tentare di prevenire contenuti maligne raggiungere l’LLM.”
La repressione di VaaS arresta 193 persone
La Taskforce Operativa Europol (OTF) GRIMM ha arrestato 193 individui e smantellato reti criminali che hanno alimentato la crescita della violenza come servizio (VaaS). La task force è stata lanciata ad aprile 2025 per combattere la minaccia, che comporta il reclutamento di perpetratori giovani e inesperti per commettere atti violenti. “Questi individui vengono plagiati o costretti a commettere una serie di crimini violenti, da atti di intimidazione e tortura fino all’omicidio,” ha detto Europol. Molti dei criminali coinvolti negli schemi sono presumibilmente membri di The Com, un collettivo poco coeso composto principalmente da anglofoni coinvolti in attacchi informatici, scambi di SIM, estorsioni e violenza fisica.
Strumenti di hacking sequestrati in Polonia
Le forze dell’ordine polacche hanno arrestato tre cittadini ucraini per presunti tentativi di danneggiare i sistemi IT del paese utilizzando attrezzature di hacking specializzate dopo che il loro veicolo è stato fermato e ispezionato. Sono stati accusati di frode, frode informatica e acquisizione di attrezzature e software informatici adattati per commettere crimini, incluso il danneggiamento dei dati informatici di particolare importanza per la difesa del paese. “Gli ufficiali hanno cercato a fondo l’interno del veicolo. Hanno trovato articoli sospetti che potrebbero persino essere utilizzati per interferire con i sistemi IT strategici del paese, irrompere nelle reti IT e telecomunicazioni,” hanno detto le autorità. “Durante l’investigazione, gli ufficiali hanno sequestrato un rilevatore di dispositivi spia, attrezzature di hacking Flipper avanzate, antenne, laptop, un gran numero di schede SIM, router, hard drive portatili e fotocamere.” I tre uomini, di età compresa tra 39 e 43 anni, si sono identificati come scienziati informatici e “erano visibilmente nervosi,” ma non hanno fornito motivi per il quale stavano trasportando tali strumenti in primo luogo, e hanno finto di non comprendere quello che gli veniva detto, hanno detto i funzionari.
Giovane ladro di dati catturato
La Polizia Nazionale spagnola ha arrestato un sospetto hacker di 19 anni a Barcellona, per aver presumibilmente rubato e tentato di vendere 64 milioni di record ottenuti da violazioni presso nove società. L’imputato avrebbe utilizzato sei account online e cinque pseudonimi per pubblicizzare e vendere i database rubati. L’adolescente affronta accuse relative al coinvolgimento nel crimine informatico, accesso non autorizzato e divulgazione di dati privati e violazioni della privacy. “Il criminale informatico ha acceduto a nove diverse società dove ha ottenuto milioni di record personali privati che ha successivamente venduto online,” hanno affermato le autorità.
In uno sviluppo correlato, i funzionari di polizia ucraini hanno annunciato l’arresto di un criminale informatico di 22 anni che ha utilizzato un malware personalizzato da lui creato indipendentemente per hackerare automaticamente gli account utenti sui social network e altre piattaforme. Gli account compromessi sono stati quindi venduti nei forum degli hacker. La maggior parte delle vittime si trovava negli Stati Uniti e in vari paesi europei. Il residente di Bukovyn è anche accusato di amministrare una bot farm con più di 5.000 profili in vari social network al fine di implementare vari schemi ombra e transazioni.
Milioni persi tramite app bancarie false
La polizia russa ha detto che ha smantellato un’impresa criminale che ha rubato milioni dai clienti bancari del paese utilizzando malware costruito su NFCGate, uno strumento open-source legittimo sempre più sfruttato dai criminali informatici in tutto il mondo. A tal fine, tre sospetti sono stati arrestati per aver distribuito malware con capacità NFC tramite WhatsApp e Telegram, mascherandolo come software di banche legittime. Le vittime sono state prima avvicinate per telefono e persuase a installare un’app bancaria fraudolenta. Durante il processo di “autorizzazione” falso, è stato loro chiesto di tenere la loro carta bancaria sul retro del loro smartphone e inserire il loro PIN – un passaggio che ha consentito agli aggressori di raccogliere le credenziali della carta e prelevare fondi dagli sportelli automatici in tutto il paese senza il coinvolgimento del titolare della carta. Le perdite preliminari superano i 200 milioni di rubli (circa 2,6 milioni di dollari).
I botnet sfruttano la falla di React
La falla di sicurezza di React recentemente divulgata (React2Shell, alias CVE-2025-55182) è stata oggetto di ampio sfruttamento, incluso il targeting dei dispositivi della casa intelligente, secondo Bitdefender. Questi includono prese intelligenti, smartphone, dispositivi NAS, sistemi di sorveglianza, router, schede di sviluppo e smart TV. Questi attacchi sono stati trovati per distribuire i payload del botnet Mirai e RondoDox. Significative attività di sondaggio sono state rilevate da Polonia, Stati Uniti, Paesi Bassi, Irlanda, Francia, Hong Kong, Singapore, Cina e Panama. Questo indica “una partecipazione globale ampia allo sfruttamento opportunistico,” ha detto l’azienda. L’azienda di threat intelligence GreyNoise ha detto che ha osservato 362 indirizzi IP univoci in circa 80 paesi tentando lo sfruttamento a partire dall’8 dicembre 2025. “I payload osservati rientrano in gruppi distinti: minatori, botnet multi-piattaforma, attori VPN mascherati da OPSEC e cluster di sola ricognizione,” ha aggiunto.
Malware Linux sfugge al rilevamento
I ricercatori di sicurezza informatica hanno scoperto un backdoor Linux precedentemente documentato denominato GhostPenguin. Un backdoor multi-thread scritto in C++, può raccogliere informazioni di sistema, incluso indirizzo IP, gateway, versione del sistema operativo, nome host e nome utente, e inviarle a un server di comando e controllo (C&C) durante una fase di registrazione. “Quindi riceve ed esegue comandi dal server C&C. I comandi supportati consentono al malware di fornire una shell remota tramite ‘/bin/sh’ e eseguire varie operazioni su file e directory, inclusa la creazione, eliminazione, ridenominazione, lettura e scrittura di file, modifica dei timestamp dei file e ricerca di file per estensione,” ha detto Trend Micro. “Tutte le comunicazioni C&C avvengono sulla porta UDP 53.”
La scoperta arriva mentre Elastic ha dettagliato una nuova tecnica di syscall hooking denominata FlipSwitch che è stata ideata in seguito a cambiamenti fondamentali introdotti al kernel Linux 6.9 per consentire al malware di nascondere la sua presenza nei host infetti. “Le tecniche tradizionali di rootkit si basavano sulla manipolazione diretta della tabella di syscall, ma i kernel moderni si sono spostati a un meccanismo di dispatch basato su istruzioni switch,” ha detto il ricercatore di sicurezza Remco Sprooten. “Invece di modificare la tabella di syscall, individua e corregge istruzioni di chiamata specifiche all’interno della funzione di dispatch del kernel. Questo approccio consente un hooking preciso e affidabile, e tutte le modifiche vengono completamente ripristinate quando il modulo viene scaricato.”
L’accordo di lavoro per il riciclaggio di criptovalute
Evan Tangeman, un residente della California di 22 anni, si è dichiarato colpevole di accuse di cospirazione RICO dopo essere stato accusato di acquistare case e riciclare 3,5 milioni di dollari per conto di una banda criminale che ha rubato criptovalute tramite schemi di ingegneria sociale. “L’impresa è iniziata non prima di ottobre 2023 e ha continuato almeno fino a maggio 2025. È cresciuta da amicizie sviluppate su piattaforme di gioco online e consisteva in individui con sede in California, Connecticut, New York, Florida e all’estero,” ha detto il Dipartimento di Giustizia (DoJ). “Tangeman era un riciclatore di denaro per il gruppo che includeva anche hacker di database, organizzatori, identificatori di obiettivi, chiamanti e ladri residenziali che prendono di mira portafogli di valute virtuali hardware.” I membri del gruppo sono stati precedentemente accusati di aver rubato più di 263 milioni di dollari in criptovalute da una vittima a Washington, D.C.
Gli avvisi di spyware vanno globali
Apple e Google hanno inviato una nuova tornata di notifiche di spyware agli utenti in quasi 80 paesi, secondo un rapporto di Reuters. Non ci sono attualmente dettagli su quale tipo di spyware le vittime siano state prese di mira. Nessuna delle due società ha fornito informazioni sul numero di utenti presi di mira o su chi pensassero fosse dietro i tentativi di sorveglianza.
L’UE approva il modello pubblicitario di Meta
La Commissione europea ha dato il suo via libera a una proposta di Meta di dare agli utenti di Instagram e Facebook la possibilità di condividere meno dati personali e vedere meno annunci personalizzati. La nuova opzione entrerà in vigore a gennaio 2026. “Meta darà agli utenti la scelta effettiva tra consentire la condivisione di tutti i loro dati e vedere pubblicità completamente personalizzata, e optare per la condivisione di meno dati personali per un’esperienza con pubblicità meno personalizzata personalizzata,” ha detto la Commissione. La mossa arriva dopo che il gigante dei social media è stato multato di 200 milioni di euro ad aprile 2025 (poi 227 milioni di dollari) per aver violato la legge sui mercati digitali del blocco (DMA) sulla scelta binaria che dà agli utenti dell’UE di pagare per accedere a versioni prive di annunci delle piattaforme o accettare di essere tracciati in cambio di annunci mirati. In un post della scorsa settimana, l’organizzazione no-profit austriaca None of Your Business (noyb) ha pubblicato un sondaggio che ha detto “quando c’è un’opzione ‘pay’, ‘consent’ e ‘advertising, ma no tracking’, […] 7 persone su 10 scelgono allora l’opzione ‘advertising, ma no tracking’.”
Avviso di massa per le vittime di Lumma
Il Centro Nazionale di Sicurezza Informatica (NCSC) della Nuova Zelanda ha detto che sta notificando circa 26.000 utenti che sono stati infetti con Lumma Stealer, in quella che ha descritto come la prima sensibilizzazione pubblica su larga scala. “Il software dannoso è progettato per rubare informazioni sensibili, come indirizzi email e password, dai dispositivi tipicamente a scopo di frode o furto di identità,” ha detto. “L’uso di Lumma Stealer e di altri malware simili da parte di criminali informatici è un problema internazionale continuo.”
L’aggiornamento chiude la falla di dirottamento
Notepad++ ha rilasciato la versione 8.8.9 per correggere una falla critica nell’editor di testo e codice sorgente open-source per Windows. Questo bug, secondo il ricercatore di sicurezza Kevin Beaumont, veniva abusato da attori di minaccia in Cina per dirottare il traffico da WinGUp (l’aggiornatore di Notepad++), reindirizzarlo a server dannosi e quindi ingannare le persone nell’eseguire il download di malware. “Verifica il certificato e la firma nel programma di installazione dell’aggiornamento scaricato,” si legge nelle note di rilascio per la versione 8.8.9. “La revisione dei rapporti ha portato all’identificazione di una debolezza nel modo in cui l’aggiornatore convalida l’integrità e l’autenticità del file di aggiornamento scaricato,” hanno detto i manutentori di Notepad++. “Nel caso in cui un attaccante possa intercettare il traffico di rete tra il client aggiornatore e l’infrastruttura di aggiornamento di Notepad++, questa debolezza può essere sfruttata da un attaccante per spingere l’aggiornatore a scaricare ed eseguire un binario indesiderato (invece del binario di aggiornamento legittimo di Notepad++).”
Telegram stringe i controlli informatici
Un nuovo rapporto di Kaspersky che esamina più di 800 canali Telegram bloccati che esistevano tra il 2021 e il 2024 ha rivelato che “la durata mediana di un canale Telegram ombra è aumentata da cinque mesi nel 2021-2022 a nove mesi nel 2023-2024.” L’app di messaggistica sembra anche stare bloccando sempre più canali focalizzati sulla criminalità informatica dal ottobre 2024, spingendo gli attori di minaccia a migrare verso altre piattaforme.
Il Regno Unito prende di mira gli attori della guerra dell’informazione
Il Regno Unito ha imposto nuove sanzioni contro diverse organizzazioni russe e cinesi accusate di minare l’Occidente attraverso attacchi informatici e operazioni di influenza. Le azioni prendono di mira due entità cinesi, I-Soon e l’Integrity Technology Group (alias Flax Typhoon), nonché un canale Telegram Ryber e il suo co-proprietario Mikhail Zvinchuk, un’organizzazione chiamata Pravfond che si ritiene sia un fronte del GRU, e il Centro per l’Expertise Geopolitica, un think tank con sede a Mosca fondato da Aleksandr Dugin. “I-Soon e Integrity Tech sono esempi della minaccia posta dall’industria informatica in Cina, che include società di sicurezza informatica, broker di dati (che raccolgono e vendono dati personali) e ‘hacker a noleggio,'” ha detto il governo del Regno Unito. “Alcune di queste società forniscono servizi informatici ai servizi di intelligence cinesi.”
Milioni ancora usando Log4Shell
Una nuova analisi di Sonatype ha rivelato che circa il 13% di tutti i download di Log4j nel 2025 sono suscettibili a Log4Shell. “Nel 2025 solo, c’erano quasi 300 milioni di download totali di Log4j,” ha detto l’azienda di sicurezza della catena di approvvigionamento. “Di quelli, circa il 13% – approssimativamente 40 milioni di download – erano ancora versioni vulnerabili. Dato che alternative sicure sono disponibili da quasi quattro anni, ogni uno di quei download vulnerabili rappresenta un rischio che avrebbe potuto essere evitato.” Cina, Stati Uniti, India, Giappone, Brasile, Germania, Regno Unito, Canada, Corea del Sud e Francia hanno rappresentato una grande parte dei download vulnerabili.
L’India pesa il tracciamento costante
Il governo indiano sta presumibilmente esaminando una proposta dell’industria delle telecomunicazioni per costringere le aziende di smartphone a abilitare il tracciamento della posizione satellitare sempre attivato per una migliore sorveglianza, senza opzione per gli utenti di disabilitarlo, ha rivelato Reuters. L’idea è ottenere posizioni precise quando vengono effettuate richieste legali alle aziende di telecomunicazioni durante le indagini, ha aggiunto l’agenzia di stampa. La mossa è stata contrastata da Apple, Google e Samsung. Amnesty International ha chiamato il piano “profondamente preoccupante.”
Il picco di scansioni di GlobalProtect
Un “picco concentrato” comprendente più di 7.000 indirizzi IP è stato osservato tentare di accedere ai portali GlobalProtect di Palo Alto Networks. L’attività, originaria dell’infrastruttura operata da 3xK GmbH, è stata osservata il 2 dicembre 2025. GreyNoise ha detto che l’ondata di dicembre condivide tre impronte digitali dei client identiche con un’ondata precedente osservata tra la fine di settembre e la metà di ottobre. L’azienda di threat intelligence ha detto che ha anche registrato un aumento della scansione rispetto agli endpoint API di SonicWall SonicOS un giorno dopo. Entrambe le ondate di attacco sono state attribuite allo stesso attore di minaccia.
OpenAI avverte l’uso improprio dell’IA
L’azienda di intelligenza artificiale OpenAI ha detto che c’è un’esigenza di rafforzare la resilienza poiché le capacità informatiche nei modelli di IA stanno avanzando rapidamente, ponendo rischi di uso duale. A tal fine, l’azienda ha detto che sta investendo in salvaguardie per garantire che queste capacità principalmente beneficino gli usi difensivi e limitino il loro uso per scopi dannosi. Ciò include: (1) Addestramento del modello per rifiutare o rispondere in modo sicuro a richieste dannose, (2) Mantenimento del monitoraggio in tutto il sistema tra i prodotti che utilizzano modelli di frontiera per rilevare attività informatiche maligne e (3) Red teaming end-to-end. “Mentre queste capacità avanzano, OpenAI sta investendo nel rafforzamento dei nostri modelli per le attività di sicurezza informatica difensiva e nella creazione di strumenti che consentono ai difensori di eseguire più facilmente flussi di lavoro come l’audit del codice e l’applicazione di patch alle vulnerabilità,” ha detto l’azienda. “Il nostro obiettivo è che i nostri modelli e prodotti portino vantaggi significativi per i difensori, che sono spesso in inferiorità numerica e con risorse insufficienti.”
Il malware Android finge di essere ransomware
Gli utenti Android spagnoli sono diventati il bersaglio di un nuovo malware chiamato DroidLock che si propaga tramite app dropper ospitate su siti Web di phishing. “Ha la capacità di bloccare gli schermi dei dispositivi con un overlay simile a ransomware e acquisire illegalmente le credenziali di blocco dell’app, portando al completo takeover del dispositivo compromesso,” ha detto Zimperium. “Utilizza schermate di aggiornamento del sistema ingannevoli per ingannare le vittime e può trasmettere e controllare da remoto i dispositivi tramite VNC. Il malware sfrutta anche i privilegi di amministratore del dispositivo per bloccare o cancellare i dati, acquisire l’immagine della vittima con la fotocamera anteriore e silenziare il dispositivo.” Nel complesso, supporta 15 comandi distinti. Sebbene il malware non abbia effettivamente la capacità di crittografare i file, visualizza un overlay spaventoso che indica alle vittime di contattare un indirizzo email Proton entro 24 ore o rischiare di far distruggere i loro file. Come altro malware Android del suo genere, sfrutta i servizi di accessibilità per effettuare le sue attività dannose, inclusa la modifica del PIN o della password dello schermo di blocco del dispositivo, bloccando efficacemente gli utenti. Fornisce anche overlay WebView tradizionali sopra le app target per acquisire le credenziali.
Google stringe la convalida HTTPS
Google ha annunciato che il Chrome Root Program e il CA/Browser Forum hanno adottato misure per terminare 11 metodi legacy per la convalida del controllo del dominio, un processo critico per la sicurezza progettato per garantire che i certificati siano emessi solo all’operatore del dominio legittimo. “Ritirando queste pratiche obsolete, che si basano su segnali di verifica più deboli come posta fisica, telefonate o e-mail, stiamo chiudendo potenziali falle per gli attaccanti e spingendo l’ecosistema verso una sicurezza automatizzata e verificabile crittograficamente,” ha detto l’azienda. L’eliminazione graduale dovrebbe essere effettuata in fasi e completata entro marzo 2028.
Il torrente nasconde l’Agent Tesla
I ricercatori di sicurezza informatica hanno avvertito di una nuova campagna che utilizza un falso torrent per il film di Leonardo DiCaprio “One Battle After Another” come base di lancio per una catena di infezione complessa che rilascia il malware Agent Tesla. “Invece del file video previsto, gli utenti scaricano inconsciamente una compilazione di script PowerShell e archivi di immagini che si costruiscono in un agente di comando e controllo (C2) residente in memoria, noto anche come trojan (RAT – Remote Access Trojan) con il nome di Agent Tesla,” ha detto Bitdefender. “Questo tipo di malware è progettato con uno scopo unico: fornire agli aggressori accesso senza restrizioni al computer Windows della vittima.” L’attacco fa parte di una tendenza crescente di incorporare malware in file multimediali falsi. Precedentemente a maggio, un’esca per “Mission: Impossible – The Final Reckoning” è stata utilizzata per diffondere Lumma Stealer.
I segreti trapelati inondano Docker Hub
Un nuovo studio di Flare ha scoperto che più di 10.000 immagini di contenitori Docker Hub stanno esponendo credenziali a sistemi di produzione, database CI/CD o chiavi di modelli linguistici di grandi dimensioni (LLM). “Il 42% delle immagini esposte conteneva cinque o più segreti ciascuna, il che significa che un singolo contenitore potrebbe sbloccare un intero ambiente cloud, una pipeline CI/CD e un database,” ha detto l’azienda. “Le chiavi del modello LLM dell’IA erano le credenziali più frequentemente trapelate, con quasi 4.000 esposte, rivelando quanto velocemente l’adozione dell’IA ha superato i controlli di sicurezza.” L’esposizione rappresenta rischi gravi, poiché consente l’accesso completo a ambienti cloud, repository Git, sistemi CI/CD, integrazioni di pagamento e altri componenti dell’infrastruttura principale.
I trojan di VS Code mascherati come PNG
Ben 19 estensioni di Microsoft Visual Studio Code (VS Code) sono state identificate nel Marketplace ufficiale, con la maggior parte di esse che incorpora un file dannoso che si traveste da immagine PNG. La campagna, attiva dal febbraio 2025, è stata scoperta la scorsa settimana. “I file dannosi hanno abusato di un pacchetto npm legittimo [path-is-absolute] per evitare il rilevamento e hanno creato un archivio contenente binari dannosi che si fingevano un’immagine: un file con estensione PNG,” ha detto il ricercatore di ReversingLabs Petar Kirhmajer. “Per questa ultima campagna, l’attore della minaccia ha modificato aggiungendo alcuni file dannosi. Tuttavia, è importante notare che questi cambiamenti al pacchetto sono disponibili solo quando viene installato localmente tramite le 19 estensioni dannose, e non sono effettivamente parte del pacchetto ospitato su npm.” L’effetto netto è che il pacchetto armato viene utilizzato per lanciare l’attacco non appena una delle estensioni dannose viene utilizzata e VS Code viene avviato. Lo scopo principale del codice dannoso è decodificare quello che sembra essere un file PNG (“banner.png”), ma, in realtà, è un archivio contenente due binari che vengono eseguiti utilizzando il binario “cmstp.exe” living-off-the-land (LOLBin) per mezzo di un dropper JavaScript. “Uno di questi binari è responsabile della chiusura del LOLBin emulando una pressione dei tasti, mentre l’altro binario è un trojan Rust più complicato,” ha detto ReversingLabs. Le estensioni sono state da allora rimosse da Microsoft dal Marketplace.
ValleyRAT builder dissezionato
Check Point Research ha detto di essere stato in grado di invertire il reverse engineering del backdoor ValleyRAT (alias Winos o Winos4.0) e dei suoi plugin esaminando il builder trapelato pubblicamente e la sua struttura di sviluppo. “L’analisi rivela le competenze avanzate degli sviluppatori dietro ValleyRAT, dimostrando profonde conoscenze degli interni del kernel Windows e della modalità utente, e modelli di codifica coerenti che suggeriscono un piccolo team specializzato,” ha detto l’azienda di sicurezza informatica. “Il ‘Driver Plugin’ contiene un rootkit in modalità kernel incorporato che, in alcuni casi, mantiene firme valide e rimane caricabile sui sistemi Windows 11 completamente aggiornati, bypassando le funzioni di protezione integrate.” Nello specifico, il plugin facilita l’installazione furtiva del driver, l’iniezione di shellcode in modalità utente tramite APC e l’eliminazione forzata dei driver AV/EDR. Il rootkit è basato sul progetto open-source disponibile pubblicamente Hidden. Uno degli altri plugin è un modulo di accesso progettato per caricare componenti aggiuntivi da un server esterno. ValleyRAT è attribuito a un gruppo di criminalità informatica cinese noto come Silver Fox. Approssimativamente 6.000 campioni correlati a ValleyRAT sono stati rilevati in natura tra novembre 2024 e novembre 2025, oltre a 30 varianti distinte del builder di ValleyRAT e 12 varianti del driver rootkit.
Le guide della chat AI diffondono stealer
In una nuova campagna, gli attori della minaccia stanno abusando della possibilità di condividere chat su OpenAI ChatGPT e Grok per farle apparire nei risultati di ricerca, tramite malvertising o avvelenamento SEO (ottimizzazione dei motori di ricerca), per ingannare gli utenti nell’installare stealer come AMOS Stealer quando cercano “suono non funzionante su macOS,” “pulire lo spazio su disco su macOS” o ChatGPT Atlas su motori di ricerca come Google. Le sessioni di chat sono condivise con il pretesto di guide per la risoluzione dei problemi o l’installazione e includono istruzioni nello stile di ClickFix per avviare il terminale e incollare un comando per risolvere i problemi affrontati dall’utente. “Gli attaccanti stanno sistematicamente militarizzando più piattaforme di IA con l’avvelenamento SEO, e che non è isolato a una singola piattaforma, pagina o query di IA, assicurando che le vittime incontrino istruzioni avvelenate indipendentemente da quale strumento si fidano,” ha detto Huntress. “Invece, più conversazioni in stile IA vengono visualizzate organicamente attraverso termini di ricerca standard, ciascuna indirizzando le vittime verso lo stesso stealer macOS multi-stadio.”
Lo sviluppo arriva poiché piattaforme come itch.io e Patreon vengono utilizzate dagli attori della minaccia per distribuire Lumma Stealer. “Account itch.io appena creati inviano commenti di spam in diversi giochi legittimi, con messaggi di testo basati su modelli che mostrano link Patreon a presunti aggiornamenti di giochi,” ha detto G DATA. Questi link indirizzano agli archivi ZIP contenenti un eseguibile dannoso compilato con nexe ed esegue sei livelli di controlli anti-analisi prima di rilasciare il malware stealer.
La sicurezza informatica non è più solo una questione tecnologica: fa parte della vita quotidiana. Gli stessi strumenti che rendono il lavoro e la comunicazione più facili sono quelli che gli attaccanti ora utilizzano per scivolare all’interno senza essere notati. Ogni avviso, patch o cambiamento di politica si collega a una storia più grande su quanto sia fragile la fiducia digitale.
Poiché le minacce continuano a evolversi, restare consapevoli è l’unica vera difesa. Il Bollettino Threatsday esiste per questo motivo: per tagliare la confusione e mostrare cosa conta davvero nella sicurezza informatica in questo momento.
Fonte (https://thehackernews.com/2025/12/threatsday-bulletin-spyware-alerts.html)
