Nel panorama della cybersecurity 2026 molte minacce nascono da qualcosa che sembra legittimo abbastanza da non far scattare l’allarme. Un repository familiare, un installer utile, una funzione di sincronizzazione comoda.
Poi avviene il passaggio di consegne e il dispositivo inizia a comunicare con infrastrutture ostili, spesso più velocemente di quanto si riesca a ricostruire cosa è successo.
Pacchetti NuGet malevoli camuffati da tool .NET
Un caso emblematico riguarda pacchetti NuGet malevoli pubblicati come strumenti .NET da riga di comando che si presentano come game cheat, bot o pannelli. In realtà agiscono come downloader di primo stadio e scaricano un payload successivo in Python, con meccanismi di configurazione remota e funzioni di sorveglianza.
La catena include recupero di configurazioni, associazione all’hardware della vittima e comandi remoti che possono arrivare fino alla raccolta di screenshot. Questo tipo di malware sfrutta la fiducia riposta negli ecosistemi di sviluppo e nella ricerca rapida di tool pronti all’uso.
Installer trojanizzati e RAT in memoria
Un’altra tendenza è l’uso di installer trojanizzati per distribuire RAT e impianti in memoria, con tecniche che combinano script e strumenti di sistema per avviare stager e componenti di comando e controllo. Le campagne puntano a credenziali, wallet crypto e dati aziendali, e spesso preparano la strada ad azioni successive più distruttive.
Ransomware: cifratura della rete in meno di 24 ore
Sul fronte ransomware spiccano attacchi capaci di cifrare una rete in meno di 24 ore dopo la prima compromissione, passando da web shell su server esposti a ricognizione, disattivazione delle difese endpoint, furto di credenziali e distribuzione laterale con strumenti di amministrazione remota.
Privacy: abuso della sincronizzazione di Chrome
Anche la privacy è sotto pressione. La sincronizzazione di Chrome può essere abusata da stalker digitali: basta un breve accesso fisico allo smartphone per aggiungere un account controllato dall’aggressore e attivare la sync, ottenendo cronologia, tab, autofill e potenzialmente password salvate.
Lezione operativa: ridurre la fiducia “in blocco”
La lezione operativa non è diffidare di tutto, ma ridurre la fiducia concessa in blocco. Verificare repo e dipendenze, controllare installer e firme, limitare accessi fisici e account aggiunti, patchare vulnerabilità note e rinforzare configurazioni predefinite, perché spesso le vie di attacco più efficaci sono anche le più semplici.