Italia: rilevate offensive di molteplici matrici
Nel corso dell’ultima settimana, il collettivo hacktivista filorusso NoName057(16) ha rinnovato il suo interesse per l’Italia, presa di mira in relazione al sostegno militare fornito all’Ucraina e, in particolare, alle recenti dichiarazioni congiunte dei ministri della Difesa italiano e polacco sulla volontà di rafforzare ulteriormente il supporto a Kiev. Inoltre, il collettivo ha fatto riferimento a un’udienza nell’ambito di un procedimento giudiziario in corso dal 2021 che coinvolge esponenti di Forza Nuova; citando la lentezza del sistema giudiziario italiano e sostenendo che il procedimento, deliberatamente ignorato dai media, sarebbe caratterizzato da pregiudizi.
Gli attacchi sono contrassegnati dagli hashtag #FuckEastwood, #TimeOfRetribution e #OpItaly. Tra le vittime colpite: Comune di Reggio Emilia; Comune di Bari; Exprivia; Ellysse S.r.l.; NUSO Italia S.r.l. (precedentemente Mida Solutions S.r.l.); N&C S.p.A.; DGS S.p.A.; Allnet.Italia S.p.A.; ISED S.p.A.; GPI S.p.A.; Consiglio di Presidenza della Giustizia Tributaria; Servizio Contratti Pubblici; Ministero della Difesa – Portale Concorsi; Marina Militare Italiana; Aeronautica Militare Italiana; Sistema Galileo (ISED S.p.A.); Intersistemi Italia S.p.A.; We-COM S.r.l.; Comune di Emarèse; Tarros S.p.A.; Comune di Charvensod; Comune di Cogne; Comune di Courmayeur; Netgroup S.p.A.; Terminal Container Ravenna S.p.A.
Tra il 7 e il 9 ottobre, anche il collettivo BD Anonymous ha rivendicato offensive DDoS ai danni di portali italiani. Nel dettaglio, il gruppo ha colpito Exprivia S.p.A come ritorsione contro la posizione attribuita al Governo italiano, accusato di non voler riconoscere la Palestina come Stato; oltre a un presunto portale del Ministero degli Affari Esteri e della Cooperazione Internazionale (MAECI) e il sito dell’Ufficio parlamentare di bilancio (UPB), in segno di ritorsione contro le autorità italiane, accusate di non aver fornito risposte soddisfacenti sulle restrizioni all’uso di niqab e burqa nelle scuole e sulle relative sanzioni fino a 1.000 euro, ritenute dall’avversario lesive della libertà di culto e dei diritti delle comunità musulmane.
Ai precedenti hacktivisti, si aggiunge anche Tunisian Maskers Cyber Force con offensive DDoS ai danni dei seguenti 17 portali italiani: Ministero della Cultura; Ministero dell’Università e della Ricerca; Istituto Superiore per la Protezione e la Ricerca Ambientale (ISPRA); Biological Magnetic Resonance Bank (BMRB) – CERM, Università degli Studi di Firenze; FreeDenberg; I.VAR. Industry S.r.l.; Intermonte SIM S.p.A.; Terna S.p.A.; ESG Services S.r.l.; Banca di Credito Cooperativo Bergamasca e Orobica S.C.; Società Italiana di Politica dei Trasporti (SIPoTra); Zoosafari Fasano; Bibanca S.p.A.; Slope S.r.l.; Turboden S.p.A.; Premiata S.r.l.; Università Politecnica delle Marche.
Per quanto riguarda le operazioni di phishing, sono state tracciate due campagne: la prima, via WhatsApp e già nota come “truffa della ballerina”, sfrutta falsi concorsi online per compromettere gli account degli utenti; la seconda, invece, sfrutta nome e logo dell’Agenzia delle Entrate-Riscossione (AdeR) e dell’Agenzia per l’Italia Digitale (AgID) per rubare credenziali. Sempre in campo cybercrime, è stata osservata un’operazione nominata Canto Incognito, attiva almeno dall’aprile 2026, che colpisce tramite un malware chiamato PoeLLM servizi open-source esposti. La campagna è attribuita con moderata confidenza a un avversario di lingua italiana, sulla base di commenti in italiano nel malware e su GitHub, di netflow localizzati in Italia e di server di test e di amministrazione ospitati nel Paese.
L’Italia risulta così sia probabile base operativa, sia tra i Paesi target, insieme a Stati Uniti ed Europa occidentale. Oltre 3.400 server sono stati compromessi, con un picco di quasi 2.200 a metà giugno. Infine, passando al panorama ransomware, AuditTeam ha rivendicato sul proprio sito dei leak la compromissione di STEELCO S.p.A. e di PROMIND; SAFEPAY di HAL Service S.p.A.; DeadLock di Rino Greggio Argenterie S.p.A.; e NightSpire di Valvorobica Industriale S.p.A.
Threat e APT: operazioni inedite e possibile impiego di AI
Ricercatori di sicurezza hanno tracciato una campagna di cyberspionaggio orchestrata dall’hacktivista Belarusian Cyber-partisans volta al rilascio di una backdoor nominata Vasilek e mirata a un’organizzazione sanitaria russa non identificata, dotata di infrastruttura ramificata e di relazioni di fiducia bidirezionali con numerose strutture mediche figlie.
In parallelo, un avversario chiamato Mimbrob ha preso di mira l’industria aerospaziale russa, istituti di ricerca e aziende IT con gli strumenti FBULoader e RAT-Go, presumibilmente a scopo di spionaggio, anche tramite un’applicazione presentata come strumento per il monitoraggio di droni. Sul fronte cinese, il cluster UAT-11587, valutato con alta confidenza come riconducibile a Pechino, che ha colpito principalmente organizzazioni governative, della sicurezza nazionale e attive nell’ambito delle politiche pubbliche in Asia. L’attaccante, presumibilmente interessato alla raccolta di informazioni, ha distribuito la backdoor Windows Antino sfruttando come vettore iniziale e-mail di spear phishing e documenti esca altamente personalizzati. Nonostante sussistano sovrapposizioni e collegamenti con l’APT cinese Earth Alux (Jewelbug) e un’infrastruttura di distribuzione di UNC6384, si ritiene UAT-11587 una realtà a sé stante.
Il cluster CL-STA-1178, associato a un avversario ritenuto allineato agli interessi statali iraniani, ha condotto una campagna di cyberspionaggio denominata Blinder Tunnel, prendendo di mira un individuo con competenze nello sviluppo software, attivo nel settore delle infrastrutture critiche in Iraq. L’operazione si inserisce in un più ampio contesto di attività del cluster rivolte ai settori delle telecomunicazioni e dell’aviazione in Medio Oriente e si è avvalsa di un falso processo di selezione del personale per distribuire strumenti di accesso remoto malevoli.
Sul registry npm, una campagna chiamata MALFEX ha distribuito diversi payload malevoli, tra cui Overlord RAT e l’infostealer movinlike, attraverso pacchetti che, al 1° ottobre, avevano registrato complessivamente oltre 40.000 download. A settembre, il CERT-UA ha individuato oltre 100 siti web compromessi e utilizzati in una campagna attribuita al cluster UAC-0277, finalizzata alla distribuzione di LUNEXSTEALER attraverso false verifiche di sicurezza Cloudflare basate sulla tecnica ClickFix. In Corea del Sud, diverse organizzazioni finanziarie, tra cui Shinhan Bank, KB Kookmin Bank e Hana Bank, sono state interessate da compromissioni che hanno comportato l’esposizione di dati.
Le indagini hanno evidenziato l’impiego del tool di penetration testing agentico ARTEX, sviluppato in Cina, da parte di un avversario non ancora identificato con certezza. Parallelamente, anche le organizzazioni religiose Yoido Full Gospel Church e Sarang Church sono state coinvolte in presunti attacchi informatici, con evidenze che suggeriscono il possibile utilizzo di strumenti di intelligenza artificiale, senza che sia stato accertato un collegamento con gli incidenti nel settore finanziario.
Cybercrime e minacce ibride: KillSec, ShinyHunters, compromissioni e accuse di sabotaggio russo
Il 30 settembre 2026 l’operazione internazionale Operation KillSwitch, condotta dalle autorità tedesche con il supporto di Europol ed Eurojust, ha portato al sequestro dell’infrastruttura di KillSec, gruppo attivo dal 2024 e associato a circa 1.000 attacchi sospetti, di cui circa 500 ritenuti riusciti. L’operazione ha prodotto tre arresti provvisori, otto perquisizioni, la presa di controllo del sito di pubblicazione dei dati sottratti e di almeno 110 TB di dati esfiltrati; il presunto principale operatore sarebbe un soggetto di 16 anni e le autorità hanno rilevato anche l’uso di intelligenza artificiale per mantenere l’infrastruttura e individuare le vittime.
Nei giorni precedenti, in Giordania, è stato fermato un individuo indicato da fonti informate come Saif al-Din Khader, alias Rey, ritenuto un membro di rilievo di ShinyHunters e in passato collegato a Scattered LAPSUS$ Hunters; starebbe collaborando con l’FBI, ma l’agenzia non ha confermato né l’identità né la collaborazione. Il caso si intreccia con la rimozione, resa nota il 6 ottobre, di un contractor Accenture dall’incarico presso l’FBI dopo una violazione di Oracle PeopleSoft associata allo stesso gruppo, con esposizione di dati personali di migliaia di dipendenti, incluse informazioni professionali e di natura medica.
Sul fronte degli incidenti di sicurezza, il 4 ottobre Nikkei ha reso noti due accessi non autorizzati distinti: da un account Microsoft 365 compromesso sono partite circa 9.000 e-mail fraudolente il 30 settembre, mentre un account Google Workspace risultava compromesso dalla fine di luglio, con possibile esposizione di dati di 1.646 persone. In Danimarca, un accesso abusivo al registro CPR tramite un’azienda privata ha esposto nomi, indirizzi e numeri CPR di circa 8,8 milioni di persone registrate, con anomalia rilevata il 2 ottobre.
Il 6 ottobre ASOS ha confermato attività non autorizzate su piattaforme di terze parti usate per comunicare con i clienti, con possibile consultazione di dati di base; Xuanye Group ha rivendicato la compromissione di un ambiente Snowflake riconducibile ad ASOS e l’esfiltrazione di dati, senza conferme dell’azienda né evidenze verificabili. Il 5 ottobre Wikimedia ha inoltre attribuito ad agenti AI che ritiene operati da OpenAI modifiche non autorizzate, quasi tutte in aree di test, e un volume elevato di richieste automatizzate, senza evidenze di compromissione dei sistemi o dei dati.
Infine, il 7 ottobre un’analista del servizio di intelligence danese PET ha dichiarato che la Russia avrebbe avviato operazioni di sabotaggio contro aziende danesi che forniscono materiale all’Ucraina, con un aumento delle azioni dall’inizio dell’estate; l’ambasciata russa ha respinto le accuse.
Weekly Threats Report è l’aggiornamento settimanale di Telsy con le principali novità sugli attacchi cyber e sui threat actor a livello globale, realizzato dal nostro team di Threat Intelligence & Response.
Il team è composto da analisti e ricercatori di sicurezza con competenze tecniche e investigative e un’esperienza riconosciuta in ambito internazionale.
Attraverso il monitoraggio costante di minacce cibernetiche ed eventi geopolitici, produce e fornisce alle organizzazioni informazioni utili per anticipare gli attacchi e comprenderne la portata, potendo contare su un partner affidabile in caso di incidente informatico.
Scopri di più sulla nostra soluzione di Cyber Threat Intelligence
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
