Italia: osservate diverse attività malevole

Ricercatori di sicurezza hanno individuato due siti di phishing che prendono di mira clienti Telepass. I dati inseriti dalle vittime vengono istantaneamente intercettati tramite WebSocket (WSS), garantendo il successo anche senza l’invio del form. Il pannello di controllo del kit, basato su Phoenix System, indica sviluppatori di origine cinese. È stata rilevata in Italia una campagna in corso di phishing che sfrutta il nome e i loghi di AgID e di SPID, finalizzata ad acquisire, dati personali e bancari degli utenti. In aggiunta, è stata tracciata un’operazione che sfrutta nome, loghi e grafiche della Polizia di Stato e di pagoPA per indurre le vittime a pagare una sanzione stradale fittizia e sottrarre dati di pagamento.

Nel dettaglio, il sito malevolo si presenta come un portale della Polizia Stradale per la consultazione di verbali e la comunicazione dei dati del conducente, ma utilizza loghi e colori riconducibili alla Polizia di Stato per rafforzare la credibilità. Oltre a ciò, è stata individuata una campagna che impiega il nome e il logo di ARERA (Autorità di Regolazione per Energia Reti e Ambiente) allo scopo di carpire dati personali e finanziari agli utenti.

In particolare, il pretesto utilizzato è un rimborso legato al bonus sociale idrico, una misura realmente esistente mirata a ridurre la spesa sostenuta per la fornitura idrica dei nuclei familiari in condizioni di disagio economico o fisico. Infine, ricercatori di sicurezza hanno osservato un’operazione di smishing a tema GLS, volta a carpire dati relativi alla carta di pagamento della potenziale vittima.

Nel dettaglio, l’SMS fraudolento informa di una presunta consegna rimasta in sospeso a causa della mancanza di alcuni dati necessari per portarla a buon fine. In conclusione, una notizia dal panorama ransomware. SAFEPAY ha rivendicato sul proprio sito dei leak la compromissione di New Point S.P.A., azienda italiana con sede a Signa (FI), leader nella vendita all’ingrosso di abbigliamento e articoli di merceria.

Threat e APT: ChainDrop, phishing e operazioni asiatiche

Il 4 agosto 2026 è stato scoperto ChainDrop, un attacco supply-chain su larga scala contro il registro npm. Gli attaccanti hanno compromesso l’account GitHub del maintainer di diversi popolari pacchetti di caching (tra cui keyv, flat-cache e cache-manager), pubblicando versioni malevole tramite i workflow GitHub Actions legittimi. I pacchetti compromessi eseguono automaticamente un payload durante l’installazione, che raccoglie credenziali e segreti da workstation di sviluppatori e ambienti CI/CD, inclusi token GitHub e npm, credenziali AWS, segreti Kubernetes, token HashiCorp Vault e altre informazioni sensibili. Il malware, una variante di Mini Shai-Hulud, è autopropagante: utilizza i token npm sottratti per compromettere e ripubblicare altri pacchetti, e i token GitHub per installare meccanismi di persistenza nei repository tramite configurazioni di Claude Code e Visual Studio Code.

Ricercatori di sicurezza hanno documentato diverse campagne che evidenziano l’evoluzione delle tecniche di accesso iniziale, persistenza e compromissione dei sistemi.

In particolare, sono state identificate due piattaforme Phishing-as-a-Service denominate TokenLover e YaksaLover, progettate per automatizzare operazioni di Business Email Compromise (BEC) ai danni di organizzazioni che utilizzano Microsoft 365. I toolkit abusano del flusso di autenticazione OAuth Device Code Flow per ottenere token di accesso validi senza sottrarre direttamente le credenziali, consentendo agli avversari di mantenere la persistenza anche dopo il cambio della password mediante la registrazione di nuove credenziali Windows Hello for Business.

TokenLover integra inoltre funzionalità basate su modelli linguistici per analizzare automaticamente le caselle di posta elettronica compromesse e ricostruire i flussi finanziari delle organizzazioni, facilitando frodi di Business E-mail Compromise.

Parallelamente, è stata osservata una campagna di cryptomining che prende di mira ambienti Linux con una versione modificata di XMRig, ottenendo inizialmente l’accesso attraverso relazioni di fiducia con terze parti e sfruttando successivamente meccanismi del framework PAM per mantenere la persistenza e rigenerarsi anche dopo la rimozione dell’account root.

Il malware opera interamente in memoria, altera i sistemi di logging e ottimizza automaticamente le risorse del sistema per massimizzare le attività di mining. Nello stesso periodo è stata individuata l’operazione multi-wave denominata SMOKE#SCREEN, che utilizza esche a tema Zoom, Adobe e documentazione aziendale per distribuire un agent ScreenConnect legittimamente firmato, consentendo agli attaccanti di ottenere accesso remoto persistente ai sistemi compromessi mediante catene di infezione che impiegano script offuscati, loader .NET e tecniche di evasione volte ad aggirare Microsoft Defender, SmartScreen e le soluzioni EDR.

Sul fronte APT, ricercatori hanno attribuito a un avversario nominato Larva-24009 una campagna di phishing rivolta a utenti in Corea e a livello globale che, attraverso file LNK malevoli, distribuisce QuasarRAT e UltraVNC per ottenere il controllo remoto dei sistemi e sottrarre credenziali, screenshot, informazioni di sistema e altri dati sensibili mediante strumenti NirSoft e un keylogger dedicato.

Infine, il cinese Void Arachne è stato osservato condurre un’operazione di SEO poisoning che prende di mira utenti cinesi mediante siti di download contraffatti, inducendo le vittime a installare il RAT Winos, distribuito attraverso il loader VCONSOLE2 e progettato per operare esclusivamente su sistemi configurati in lingua cinese, mantenendo la persistenza tramite task pianificati e comunicando con l’infrastruttura C2 attraverso connessioni TLS.

Cybercrime: data breach inediti e advisory congiunto sui falsi lavoratori IT nordcoreani

Il 28 luglio 2026 Unitel S.A., principale operatore di telecomunicazioni dell’Angola, ha reso noto di aver subito un attacco informatico che ha interessato la propria infrastruttura tecnologica, causando interruzioni ai servizi di voce, dati mobili e accesso a Internet su scala nazionale e impattando oltre 21 milioni di clienti. L’azienda ha avviato le attività di contenimento e ripristino, precisando che non risultano compromessi dati sensibili dei clienti; al momento non sono note le modalità dell’attacco, né risultano rivendicazioni o richieste di riscatto.

Nel Regno Unito, il Police National Legal Database (PNLD), banca dati giuridica utilizzata dalle forze di polizia e dagli organismi della giustizia penale, ha reso noto un incidente di sicurezza che ha comportato la compromissione di nomi e indirizzi e-mail di personale di polizia, operatori del sistema giudiziario, partner governativi e utenti del portale Ask the Police.

Il gruppo ExfilSquad ha rivendicato l’attacco dichiarando di aver sottratto circa 1,9 GB di dati contenenti complessivamente circa 135.000 record e minacciandone la pubblicazione. Lo stesso avversario ha rivendicato la compromissione di Analog Devices negli Stati Uniti, incidente che ha comportato l’accesso non autorizzato ai sistemi della società e l’esfiltrazione di alcuni file.

Tuttavia, il gruppo ha successivamente rimosso il riferimento all’azienda sul proprio sito dei leak. Sempre negli Stati Uniti, Amgen, una delle principali società di biotecnologia statunitense specializzata nello sviluppo e nella produzione di farmaci, ha comunicato di aver subito un incidente che ha interessato molteplici ambienti cloud gestiti da fornitori terzi, con conseguente esfiltrazione di dati aziendali e informazioni sanitarie protette (PHI) dei pazienti. Le verifiche sono ancora in corso per determinare l’eventuale compromissione di ulteriori dati, inclusi proprietà intellettuale e informazioni di ricerca e sviluppo, mentre l’azienda ha dichiarato che l’evento non ha avuto impatti significativi sulle attività operative. Passando alla Svizzera, l’Ufficio federale dell’informatica e della telecomunicazione (UFIT) ha rilevato un attacco ai propri server SharePoint, in seguito al quale sono stati compromessi i dati di accesso di circa 200 account.

L’ente ha immediatamente limitato l’accesso esterno alla piattaforma, reimpostato le password interessate e applicato le mitigazioni relative alle vulnerabilità SharePoint precedentemente corrette da Microsoft, ritenute il possibile vettore di compromissione. Infine, le autorità di Stati Uniti, Giappone, Repubblica di Corea, Australia, Canada, Francia, Germania, Italia, Paesi Bassi, Nuova Zelanda e Regno Unito hanno pubblicato un advisory congiunto riguardante i lavoratori IT nordcoreani che, mediante false identità, ottengono incarichi di lavoro remoto per finanziare i programmi nucleari e missilistici di Pyongyang.

Il documento pubblicato evidenzia come tali soggetti rappresentino anche una minaccia interna per le organizzazioni, risultando coinvolti in attività di esfiltrazione di dati, furto di criptovalute e sottrazione di informazioni sensibili, e fornisce raccomandazioni utili per individuarne le attività durante i processi di selezione e assunzione.

Weekly Threats è la newsletter settimanale del team di Threat Intelligence & Response di Telsy.

Attraverso il monitoraggio costante di minacce cyber ed eventi geopolitici, la nostra squadra fornisce ad aziende e PA informazioni utili per anticipare gli attacchi e comprenderne la portata, offrendo supporto affidabile in caso di incidente informatico.

Quello che leggi ogni settimana è solo una parte del nostro lavoro ➡️ scopri di più sui servizi di Cyber Threat Intelligence di Telsy.