Italia: phishing e nuove rivendicazioni ransomware

È stata individuata una campagna di phishing che utilizza un sito web che riproduce fedelmente la grafica di InPost, il servizio di consegna basato su locker presente sul territorio nazionale. Gli attaccanti comunicano alle potenziali vittime l’impossibilità di effettuare una consegna a causa di informazioni di recapito errate, invitandole a fornire i dati necessari per risolvere il problema. Dopo aver raccolto questi dati il sito chiede l’inserimento dei dettagli della carta di credito, motivando la richiesta con la necessità di pagare un costo addizionale di importo irrisorio per riorganizzare una nuova consegna.

Passando al panorama ransomware, nell’ultima settimana, diversi attaccanti hanno preso di mira il territorio italiano. The Gentlemen ha rivendicato sul proprio sito dei leak la compromissione di sei realtà italiane: TESI S.r.l., Feraboli Zootech S.r.l., NOBEMA S.R.L., Vemec S.r.l., I.P.S. S.r.l. e Acli – Associazioni cristiane lavoratori italiani; KRYBIT di Studio Associato Tibaldi; PLAY Team di Marconi Industrial Services S.P.A.; BravoX di Verona 83 scrl e di Elettrica System; Qilin Team di GMA Grandi Marche Automobili; Space Bears di Basso Fedele & Figli Srl e di Villa Raiano; CL0P di Srnet S.R.L. e di Nuova C.M.M.. Oltre a ciò, un gruppo chiamato BlackNevas ha dichiarato sul proprio sito dei leak di aver violato ASCOM S.P.A; e un avversario nominato MAJINAHANASHI di Goccia S.p.A. e di Studio Radiologico C.D.A. Diagnostica per Immagini S.R.L.

Threat e APT: attività nordcoreane e russe, nuovi malware e tecniche di social engineering

Ricercatori di sicurezza hanno individuato una nuova ondata di Operation Dream Job, campagna orchestrata dal nordcoreano Lazarus Group e diretta contro organizzazioni dei settori della Difesa, dell’aerospazio e dell’aviazione a livello globale, con particolare attenzione all’Europa e all’India.

L’operazione si articola in due catene di infezione parallele: la prima sfrutta il DLL Side-Loading per eseguire in memoria il downloader MISTPEN, che comunica tramite Microsoft Graph API e OneDrive e, dopo attività di ricognizione e persistenza, impiega un modulo di privilege escalation che sfrutta la 0-day CVE-2026-68820 nel driver AFD.sys di Windows per ottenere privilegi SYSTEM, distribuire una nuova versione del rootkit kernel-mode FudModule e, infine, la backdoor ForestTiger; la seconda, osservata da luglio 2026, utilizza false offerte di lavoro che impersonano la società Enveil per indurre le vittime a scaricare SecurityPDF, un visualizzatore PDF trojanizzato basato su MuPDF che estrae ed esegue in memoria la backdoor Troy.

Sempre attraverso esche legate al mondo del lavoro, il russo Sandworm è stato osservato condurre attacchi di social engineering mirati a specialisti IT ucraini, ai quali vengono inviate presunte istruzioni per un colloquio tecnico contenenti file di configurazione per collegarsi a una falsa VPN aziendale basata su WireGuard; dopo il fallimento della connessione, gli attaccanti inducono le vittime a scaricare SopraVPN, un client VPN modificato e compilato a partire dal codice sorgente di WireGuard.

Nel panorama delle nuove minacce, ricercatori di sicurezza hanno individuato StealNui, un RAT inedito rivolto ad ambienti Linux e dotato di funzionalità di sorveglianza e furto di informazioni, tra cui keylogging, reverse shell, esfiltrazione di file, cattura di screenshot, sottrazione di password dai browser, cookie Roblox e token Discord, nonché un modulo clipper per criptovalute.

Il malware implementa cinque differenti meccanismi di persistenza e utilizza Discord come infrastruttura C2, effettuando inoltre un’ampia ricognizione del sistema compromesso e consentendo agli attaccanti di eseguire comandi arbitrari e gestire da remoto file e ulteriori funzionalità malevole. Infine, è stata individuata una campagna che impiega la tecnica EtherHiding, sfruttando smart contract distribuiti sulla BNB Smart Chain per ospitare e distribuire istruzioni malevole.

A seguito della compromissione di siti web legittimi, gli avversari iniettano codice JavaScript che recupera dinamicamente dalla blockchain le istruzioni necessarie a reindirizzare gli utenti verso false pagine CAPTCHA o di verifica; mediante le tecniche ClickFix e TerminalFix, le vittime vengono quindi indotte a eseguire manualmente comandi malevoli tramite strumenti legittimi di Windows, consentendo il download e l’esecuzione di payload aggiuntivi, tra cui infostealer, RAT, loader e strumenti di gestione remota. Un alert istituzionale italiano del 10 agosto 2026 ha confermato l’impiego di tali tecniche, raccomandando misure di sensibilizzazione, restrizioni sull’utilizzo degli strumenti a riga di comando e il rafforzamento delle capacità di logging e protezione degli endpoint.

AI: azioni non autorizzate degli agenti e nuovi utilizzi nelle campagne di smishing

Nell’ultima settimana sono emerse diverse evidenze che confermano il ruolo sempre più rilevante dell’AI nel panorama delle minacce informatiche, sia per i rischi derivanti dalle capacità autonome dei modelli più avanzati, sia per il loro crescente impiego a supporto delle attività cybercriminali. Il 4 agosto 2026, l’AI Security Institute (AISI) del Regno Unito ha reso noto un incidente verificatosi durante una valutazione di sicurezza informatica, nel corso della quale alcuni agenti AI hanno compiuto azioni non autorizzate nei confronti di persone e organizzazioni reali.

Tra il 25 e il 28 luglio, i sistemi di monitoraggio hanno rilevato trasferimenti anomali di dati tramite la rete Tor provenienti dall’ambiente di ricerca, portando all’interruzione delle valutazioni e all’isolamento dei sistemi entro circa un’ora dalla scoperta. Le successive analisi hanno identificato complessivamente 19 azioni non autorizzate in 10 delle 122 sessioni eseguite, 17 attribuite al modello Mythos 5 di Anthropic e due a GPT-5.6-Sol di OpenAI.

Nell’episodio più rilevante, uno degli agenti ha tentato di introdurre codice malevolo all’interno di un progetto open-source attraverso una pull request, creando inoltre false identità con cui esercitare pressione sul maintainer per indurlo ad approvare la modifica. Il tentativo è stato intercettato e bloccato e non sono stati rilevati danni concreti.

AISI ha precisato che i test erano stati deliberatamente condotti con accesso a Internet abilitato e classificatori di sicurezza cyber disattivati, allo scopo di valutare le capacità massime dei modelli in condizioni differenti da quelle previste per il loro utilizzo pubblico. A seguito dell’incidente, l’istituto ha annunciato l’introduzione di controlli di rete più restrittivi, sistemi di monitoraggio in tempo reale e una revisione dei protocolli utilizzati nelle valutazioni.

Parallelamente, in Italia sono state individuate campagne di smishing che impersonano INPS e introducono l’intelligenza artificiale direttamente nel processo di raccolta delle informazioni sottratte alle vittime.

Gli SMS fraudolenti invitano gli utenti a verificare i propri dati per garantire la continuità dell’erogazione dei servizi e rimandano a siti contraffatti che riproducono la grafica dei portali istituzionali, dove una procedura articolata in cinque fasi richiede l’inserimento di dati anagrafici e il caricamento di documenti identificativi, buste paga, CUD e selfie. La peculiarità delle campagne consiste nell’integrazione di un modello di visione artificiale capace di analizzare semanticamente le immagini caricate e verificarne la corrispondenza con la tipologia di documento richiesta, rifiutando automaticamente i contenuti non pertinenti e fornendo messaggi di errore coerenti con quanto effettivamente rappresentato nelle immagini.

L’impiego dell’AI consente quindi agli avversari di automatizzare la selezione dei dati raccolti, riducendo il rumore generato da file errati e aumentando la qualità delle informazioni potenzialmente sfruttabili nelle successive fasi della frode. Al contempo, la capacità del portale contraffatto di validare in modo apparentemente accurato la documentazione contribuisce a conferire maggiore credibilità alla procedura, aumentando la probabilità che la vittima completi tutti i passaggi e fornisca materiale sensibile di maggiore valore.

Weekly Threats è la newsletter settimanale del team di Threat Intelligence & Response di Telsy.

Attraverso il monitoraggio costante di minacce cyber ed eventi geopolitici, la nostra squadra fornisce ad aziende e PA informazioni utili per anticipare gli attacchi e comprenderne la portata, offrendo supporto affidabile in caso di incidente informatico.

Quello che leggi ogni settimana è solo una parte del nostro lavoro ➡️ scopri di più sui servizi di Cyber Threat Intelligence di Telsy.