Il gruppo di minaccia noto come HoneyMyte, conosciuto anche come Mustang Panda, è stato osservato mentre distribuisce una versione aggiornata della backdoor CoolClient su sistemi Windows, introducendo una novità particolarmente critica per la sicurezza informatica: un rootkit in modalità kernel firmato digitalmente. Questa componente consente al malware di aumentare in modo significativo le capacità di stealth, nascondendo e proteggendo processi malevoli, file, oggetti di registro e perfino informazioni di rete legate al command and control.

Negli ultimi mesi sono state osservate campagne di cyber spionaggio che puntano a prendere il controllo di account personali sfruttando flussi di autenticazione legittimi. Il punto critico non è una vulnerabilità tecnica classica, ma l’abuso di funzioni reali come Google OAuth, i codici di verifica e il collegamento dispositivi di WhatsApp, combinati con phishing mirato e ingegneria sociale.

Il malware TWINLOOT è un framework di impianto Python modulare progettato per nascondere l’intera infrastruttura di comando e controllo dentro servizi Microsoft considerati affidabili. Questo approccio rende più difficile distinguere l’attività malevola dal traffico legittimo in ambienti Microsoft 365, aumentando il rischio per aziende che usano quotidianamente SharePoint Online e Microsoft Teams.

Una campagna di cybercrime denominata StopAndProtect sta sfruttando una rete di quasi 2000 siti WordPress compromessi come infrastruttura distribuita per diffondere malware, gestire il comando e controllo e archiviare dati rubati. Il punto di forza di questa operazione non è un singolo virus, ma un toolkit modulare che combina più componenti con obiettivi diversi, dal furto silenzioso di documenti fino al ransomware.

Una nuova campagna di attacchi informatici sta prendendo di mira i server PTC Windchill e FlexPLM, piattaforme di Product Lifecycle Management usate in molte aziende per gestire dati di ingegneria, progetti e documentazione tecnica. Il punto di ingresso è lo sfruttamento di una vulnerabilità critica identificata come CVE 2026 12569, legata a una validazione impropria degli input che consente esecuzione di codice remoto tramite richieste malevole.

Evooo1Bot è una nuova famiglia di botnet Linux che prende spunto dal codice sorgente di Mirai ma amplia in modo significativo le funzionalità, puntando soprattutto ai dispositivi esposti su Internet come router, firewall, telecamere IP e altri edge device. La minaccia sfrutta vulnerabilità note per ottenere l’esecuzione di codice da remoto o l’iniezione di comandi e trasformare rapidamente i sistemi compromessi in nodi utili per attacchi e anonimizzazione del traffico.

Nel panorama del ransomware sta emergendo una dinamica ancora più insidiosa: soggetti che si presentano come salvatori delle vittime ma che, in realtà, restano parte dell'ecosistema criminale. Un caso emblematico è quello di Ransom Busters, un presunto affiliato ransomware che contatta in modo proattivo le organizzazioni colpite inviando email mirate e chiedendo pagamenti tra 20000 e 60000 dollari.

Una campagna di attacchi informatici sta sfruttando una vulnerabilità critica di VMware vCenter Server identificata come CVE 2026 59310 con punteggio CVSS 9.8. Il problema è una directory traversal che può essere trasformata in esecuzione di codice arbitrario e permette agli aggressori di ottenere rapidamente controllo completo del sistema.

Una nuova campagna di cyber spionaggio sta prendendo di mira operatori di telecomunicazioni in Afghanistan e organizzazioni di infrastrutture critiche in Asia meridionale attraverso un backdoor finora sconosciuto chiamato PATCHCORD. La minaccia viene distribuita con esche mirate al settore, tra cui falsi installer VPN e strumenti di gestione telecom che imitano software legittimi.

Nel panorama della cybersecurity una singola notizia non racconta quasi mai tutta la storia. Gli attacchi piu efficaci sfruttano strumenti considerati affidabili, impostazioni deboli e percorsi di accesso legittimi.