I ricercatori di cybersecurity hanno individuato un nuovo malware chiamato GoSerpent utilizzato in attacchi mirati contro enti governativi e diplomatici nel Sudest asiatico a partire dalla fine del 2025. La campagna punta a ottenere accesso di lungo periodo e a svolgere attivita di spionaggio informatico attraverso raccolta di file sensibili e furto di credenziali, con una strategia a piu fasi che combina backdoor, strumenti di proxy e moduli di esfiltrazione dati.

Nel mese di aprile 2026 un incidente di sicurezza ha colpito DigiCert, uno dei principali fornitori di certificati di firma del codice. Le analisi tecniche collegano l’attacco a un cluster di attività chiamato CylindricalCanine, considerato un sottogruppo di GoldenEyeDog, un gruppo di cybercrime cinese attivo da anni e noto per campagne mirate e distribuzione di malware tramite esche credibili.

Due giovani hacker legati al gruppo Scattered Spider sono stati condannati nel Regno Unito a cinque anni e mezzo di carcere ciascuno per l’attacco informatico contro Transport for London, avvenuto tra fine agosto e inizio settembre 2024. Il caso è considerato tra i più rilevanti per portata e impatto economico, con perdite e costi di ripristino stimati in 29 milioni di sterline.

Una nuova minaccia informatica sta circolando in rete e prende il nome di TELEPUZ, un malware modulare che si diffonde tramite siti web compromessi che usano esche ClickFix. Questa tecnica di social engineering induce gli utenti a eseguire manualmente comandi malevoli, presentandoli come soluzioni a falsi errori del browser, aggiornamenti software o verifiche CAPTCHA.

Nel panorama della cybersecurity 2026 molte minacce nascono da qualcosa che sembra legittimo abbastanza da non far scattare l’allarme. Un repository familiare, un installer utile, una funzione di sincronizzazione comoda.

Nelle ore successive al Patch Tuesday di Microsoft di luglio 2026 è stata resa pubblica una nuova prova di concetto di zero day Windows chiamata LegacyHive. Il focus è una vulnerabilità di elevazione dei privilegi legata al servizio User Profile Service di Windows, noto anche come ProfSvc, un componente di sistema che gestisce profili utente e ambiente di accesso.

Il malware OkoBot sta prendendo di mira gli utenti di wallet hardware su Windows con una tecnica di phishing sulla seed phrase particolarmente insidiosa. Invece di mostrare una pagina fasulla nel browser o installare una copia clonata del software, OkoBot inietta direttamente un contenuto malevolo dentro le applicazioni originali di Ledger e Trezor, sfruttando il fatto che molti wallet desktop sono basati su Electron.

Una recente campagna di supply chain attack ha colpito il registro npm coinvolgendo pacchetti della namespace AsyncAPI e distribuendo un malware botnet multistadio. I pacchetti compromessi sono:

• asyncapi-generator-helpers 1.1.1
• asyncapi-generator-components 0.7.1
• asyncapi-generator 3.3.1
• asyncapi-specs 6.11.2 e 6.11.2-alpha.1

Il rischio è rilevante per chi sviluppa con Node.js e integra questi moduli in pipeline di build o in flussi di lavoro di sviluppo, perché il codice malevolo viene eseguito quando il modulo infetto viene caricato (ad esempio tramite require), non durante npm install.

Catena di infezione e distribuzione del payload

La catena di infezione inizia con un payload offuscato di primo stadio che scarica un secondo stadio cifrato da IPFS. In pratica i pacchetti contengono un impianto JavaScript nascosto, con un file sorgente iniettato che decodifica un downloader comune. Quando Node.js esegue require del modulo, viene avviato un processo in background che recupera e lancia il malware da IPFS.

Il secondo stadio include un loader JavaScript cifrato chiamato sync.js, scritto in percorsi specifici del sistema operativo e poi eseguito. Il download avviene tramite un gateway IPFS pubblico, rendendo più complessa la rimozione del contenuto e la tracciabilità dell’infrastruttura.

Framework C2 e capacità del malware

Il payload finale è associato a un framework di comando e controllo chiamato Miasma, progettato per operazioni modulari su larga scala. Supporta più canali C2 indipendenti, tra cui:

• HTTP
• Nostr relay
• IPFS
• BitTorrent DHT
• mesh P2P basata su libp2p GossipSub
• smart contract su Ethereum

Le funzionalità includono furto di credenziali, avvelenamento di strumenti AI, movimento laterale in LAN e propagazione tipo worm anche verso altri ecosistemi come PyPI e Cargo. Per la persistenza, il malware può creare:

• Linux: voci di avvio automatico su systemd e crontab
• macOS: launchd
• Windows: chiavi di registro

Compromissione CI/CD e implicazioni sulla provenance

Un elemento critico riguarda la compromissione della CI/CD. Gli attaccanti avrebbero ottenuto accesso in push ai repository e sfruttato workflow legittimi di GitHub Actions per pubblicare versioni malevole con attestazioni di provenienza valide tramite OIDC. Questo dimostra che la provenance SLSA conferma che un workflow autorizzato ha prodotto il pacchetto, ma non garantisce che i commit che hanno attivato il rilascio fossero legittimi.

Le versioni malevole sono state rimosse dal registro npm, ma è consigliato considerare potenzialmente compromessi gli endpoint che hanno importato o eseguito le versioni indicate, soprattutto in ambienti di build e CI.

Il Dipartimento del Tesoro degli Stati Uniti, tramite l’Office of Foreign Assets Control (OFAC), ha annunciato nuove sanzioni legate al ransomware, colpendo per la prima volta un servizio VPN e un venditore di strumenti utilizzati per nascondere malware.

Al centro del provvedimento c’è First VPN Service, noto anche come 1VPNS, accusato di aver fornito infrastruttura e anonimato a gruppi criminali impegnati in attacchi ransomware e in altre attività malevole contro obiettivi americani. Insieme al servizio è stato sanzionato anche il suo amministratore ucraino, ritenuto responsabile della gestione e dell’acquisto di risorse tecnologiche utilizzate per sostenere le operazioni.

Secondo le autorità, il servizio VPN sarebbe stato impiegato per mascherare l’origine degli attacchi, facilitare la distribuzione di malware e gestire i dati esfiltrati. Le vittime citate includono aziende statunitensi, società di servizi finanziari, ospedali e amministrazioni locali: un quadro che evidenzia come il ransomware continui a colpire settori critici con impatti economici e operativi rilevanti. Gli Stati Uniti hanno inoltre collegato l’uso di questi servizi a perdite complessive nell’ordine dei miliardi di dollari per imprese e fornitori di infrastrutture essenziali.

First VPN Service era già stato smantellato nel maggio 2026 durante un’operazione congiunta tra forze dell’ordine europee e nordamericane. Il servizio risultava attivo dal 2014 e si promuoveva con politiche di assenza di log e mancata collaborazione con le autorità, elementi spesso ricercati da attori ransomware per ridurre la tracciabilità. Le accuse includono anche l’uso di identità false per acquistare infrastruttura presso fornitori che altrimenti avrebbero potuto rifiutare il servizio a causa di segnalazioni di abuso.

Le sanzioni hanno riguardato anche un cittadino bielorusso indicato come venditore di cryptor, strumenti progettati per offuscare ransomware e altri malware facendoli apparire come programmi legittimi e riducendo la probabilità di rilevamento da parte di soluzioni di sicurezza. Questo dettaglio rafforza l’attenzione verso l’ecosistema che ruota intorno al cybercrime, dove servizi VPN, cryptor e infrastrutture a noleggio diventano componenti chiave per attacchi più efficaci.

Una recente analisi di sicurezza ha evidenziato un caso di intrusione in cui un attaccante ha utilizzato uno script PowerShell probabilmente generato con intelligenza artificiale per eseguire la mappatura di Active Directory. Dopo aver ottenuto accesso tramite Remote Desktop Protocol su un Windows Server joinato al dominio usando credenziali già compromesse, il threat actor ha predisposto strumenti e file nella cartella C:\ProgramData, avviando una fase di ricognizione particolarmente rumorosa e aggressiva.