Nel bollettino di cybersecurity della settimana emergono attacchi che non iniziano con tecniche spettacolari ma con azioni quotidiane e configurazioni lasciate aperte. La superficie di rischio si costruisce spesso su percorsi normali come un link cliccato in fretta, un pacchetto software considerato affidabile, un nome riutilizzato nel cloud o un servizio che continua a fidarsi di uno stato vecchio.

Gli assistenti di coding basati su intelligenza artificiale stanno diventando sempre più autonomi e per questo anche più appetibili per i cyber criminali. Una nuova tecnica di attacco chiamata HalluSquatting sfrutta un comportamento noto dei modelli linguistici, cioè la tendenza a inventare nomi plausibili di repository, plugin o skill quando non trovano un riferimento certo.

Il gruppo di minaccia informatica UAT 7810 collegato alla Cina sta ampliando una rete ORB (Operational Relay Box) compromettendo dispositivi di rete esposti su Internet. Questo tipo di infrastruttura funziona come un insieme di nodi intermedi che mascherano la provenienza del traffico e permettono ad altri attori di minaccia di lanciare attacchi contro obiettivi di alto valore con maggiore anonimato e resilienza.

Una nuova campagna di malware sta prendendo di mira i ricercatori di vulnerabilità sfruttando un comportamento comune nel settore cyber security: scaricare e provare rapidamente repository PoC (proof of concept) pubblicati su GitHub subito dopo la divulgazione di una CVE. Il trojan, chiamato ChocoPoC RAT, viene distribuito tramite falsi repository che promettono exploit funzionanti per falle molto discusse, ma che in realtà introducono una catena di dipendenze Python malevole.

Una nuova campagna di phishing mirata sta colpendo contribuenti indiani, consulenti fiscali e team finance aziendali sfruttando la stagione della dichiarazione dei redditi. Il vettore principale è una serie di email di spear phishing che imitano comunicazioni ufficiali del dipartimento delle imposte, con riferimenti normativi realistici e contenuti anche bilingue.

Un documento giudiziario reso pubblico negli Stati Uniti mostra come un identificatore persistente di Windows abbia aiutato gli investigatori a collegare un presunto membro di Scattered Spider a una violazione informatica contro un rivenditore di gioielli di lusso. Il punto chiave non è una vulnerabilità software, ma una catena di social engineering che parte dall’help desk IT e porta al controllo di account privilegiati, al furto di dati e a una richiesta di riscatto.

Una nuova campagna di attacchi informatici sta prendendo di mira i server di posta di università negli Stati Uniti e in Canada che utilizzano Roundcube webmail, con un focus particolare su dipartimenti di fisica e ingegneria. Gli attaccanti, sospettati di essere allineati alla Cina, sfruttano vulnerabilità già corrette ma ancora presenti in molte installazioni non aggiornate, trasformando la posta elettronica in un punto di ingresso privilegiato nelle reti accademiche.

Un gruppo di hacker collegato al Ministero dell’Intelligence e della Sicurezza iraniano ha utilizzato un nuovo framework di command and control chiamato Cavern (o Cav3rn) per colpire organizzazioni israeliane, con un focus particolare su fornitori IT e settore governativo. La campagna evidenzia un livello di maturità elevato, grazie a una piattaforma modulare basata su tecnologia .NET e progettata per adattarsi ai diversi profili di vittima, ridurre la visibilità forense e mantenere accesso persistente tramite moduli dedicati.

Un ente governativo degli Stati Uniti avrebbe pagato circa 1 milione di dollari a un gruppo chiamato Kairos per evitare la pubblicazione di file rubati in un caso di estorsione basata sul furto di dati. Il punto più rilevante per la cybersecurity è che non emergono segnali di ransomware nel senso classico del termine: non ci sarebbero stati sistemi cifrati, nessun decryptor promesso e nessuna richiesta legata allo sblocco delle macchine.

In questa settimana di cybersecurity il filo conduttore è stato la fiducia riposta troppo presto nel punto sbagliato. Oggetti comuni, repository apparentemente puliti, funzioni di reset password e permessi del browser sono diventati l’anello debole sfruttabile da attori malevoli.