Nel panorama della cybersecurity di questa settimana emerge un filo conduttore chiaro: molte compromissioni iniziano quando un elemento affidabile viene sfruttato esattamente entro i permessi che possiede. Un driver firmato, una applicazione legittima o un controllo incompleto su header HTTP possono diventare il punto di ingresso per una esecuzione di codice da remoto e per l elusione delle difese.
Abuso di driver firmati
Uno dei temi piu rilevanti riguarda l abuso di driver firmati. La ricerca mostra come un componente legittimo di Microsoft Defender possa essere riutilizzato come primitiva di operazioni kernel per aggirare soluzioni EDR, sfruttando una finestra temporale tra avvio del sistema e inizializzazione in user mode. Poiche il driver e firmato, i blocchi basati su firma risultano inefficaci e lo strumento malevolo puo imitare il comportamento del processo di remediation per ridurre la visibilita.
Malware e catene di infezione
Sul fronte malware, torna la tecnica del DLL sideloading: una campagna collegata a Grandoreiro sfrutta un software autentico per caricare librerie malevole, con funzioni anti analisi come rilevamento sandbox e virtual machine, blacklist di processi e profiling dell ambiente prima di contattare il server C2. In parallelo, catene di distribuzione basate su ClickFix e siti WordPress compromessi combinano ingegneria sociale, loader JavaScript offuscati e driver vulnerabili in stile BYOVD per elevare privilegi e terminare processi di sicurezza.
Vulnerabilita critiche
Tra le vulnerabilita critiche spicca una falla massima in Gogs con CVSS 10.0 che consente remote code execution tramite Git hooks. L accettazione di nomi organizzazione con sequenze di path traversal permette di scrivere repository in percorsi arbitrari e, con una struttura annidata, sovrascrivere configurazioni di hook fino alla RCE. Anche n8n presenta un rischio elevato: una prototype pollution nei nodi XML e GSuiteAdmin puo essere concatenata da utenti autenticati con permessi sui workflow fino alla esecuzione di comandi sul server.
Offuscamento dell infrastruttura C2
Interessante anche la creativita nel nascondere l infrastruttura C2: un backdoor Windows di soli 12 KB codifica il dominio del comando e controllo nel numero di spazi finali di un file desktop.ini, rendendo la configurazione quasi invisibile ai controlli automatici.
AI e ricerca di exploit
In parallelo, l accelerazione dell AI applicata alla ricerca di exploit abbassa ulteriormente la soglia di attacco, rendendo piu facile individuare e concatenare vulnerabilita in catene complete.