Threat: rilevati diversi attacchi supply chain

Il 13 maggio 2026 OpenAI ha pubblicato una dichiarazione ufficiale in cui conferma di essere stata colpita dall’attacco supply chain noto come Mini Shai-Hulud. L’azienda ha accertato che due dispositivi presenti nel proprio ambiente corporate sono stati compromessi. L’attività malevola rilevata si è limitata all’accesso non autorizzato e all’esfiltrazione di credenziali da un sottoinsieme di repository interni di source code. Tra le credenziali potenzialmente coinvolte figurano quelle relative ai certificati di firma utilizzati per i prodotti iOS, macOS e Windows. OpenAI ha precisato che nessun software malevolo è stato firmato con i propri certificati e che le password e le API key dei clienti non sono state compromesse.

Pochi giorni dopo, precisamente il 17 maggio 2026, è emersa una nuova campagna di attacchi supply chain su npm, attuata attraverso il caricamento di quattro pacchetti malevoli sulla piattaforma da parte di un singolo attaccante, uno dei quali rappresenta un clone diretto e privo di tecniche di offuscamento del malware Shai-Hulud.

Inoltre, il 19 maggio 2026, ricercatori di sicurezza hanno tracciato una nuova ondata di attacchi supply chain ancora parte della campagna Mini Shai-Hulud, che ha colpito centinaia di pacchetti, con particolare concentrazione nell’ecosistema @antv dedicato a data visualization, grafici, mapping e componenti React, oltre ad altri pacchetti ad alto utilizzo come echarts-for-react, timeago.js e size-sensor. Grafana Labs ha confermato un attacco mirato da parte di un soggetto non autorizzato che ha ottenuto un accesso ai suoi repository GitHub, scaricando il codice sorgente.

L’incidente trae origine da un attacco supply chain ai pacchetti npm di TanStack, nell’ambito della campagna Mini Shai-Hulud. L’indagine ha escluso qualsiasi compromissione dei sistemi di produzione o delle operazioni dei clienti, e della piattaforma Grafana Cloud. Non sono inoltre emerse evidenze di accesso a dati dei clienti o a informazioni personali. Sebbene Grafana Labs non abbia attribuito pubblicamente la violazione a un avversario specifico, il 15 maggio 2026 il gruppo ransomware Coinbase Cartel ha rivendicato l’attacco sul proprio sito dei leak.

Infine, GitHub ha avviato un’indagine su un accesso non autorizzato ai propri repository interni dopo che il gruppo TeamPCP ha dichiarato su un forum underground di aver ottenuto l’accesso a circa 4.000 repository privati contenenti il codice sorgente della piattaforma e informazioni relative a organizzazioni interne. L’attività avrebbe riguardato esclusivamente i repository interni di GitHub, senza evidenze di impatto su repository pubblici o ospitati dai clienti. L’azienda ha annunciato l’intenzione di fornire un resoconto più completo una volta ultimate le analisi interne.

APT: tracciate operazioni ucraine, bielorusse, russe e asiatiche

A partire da marzo 2026, ricercatori di sicurezza hanno tracciato una nuova campagna di spear phishing orchestrata dal gruppo bielorusso Ghostwriter, mirata principalmente a organizzazioni governative e militari in Ucraina e volta alla distribuzione di PicassoLoader nella variante JavaScript.

Inoltre, tra settembre 2025 e maggio 2026, ricercatori hanno rilevato un’operazione ancora attiva attribuita a Gamaredon Group contro istituzioni statali ucraine, che mira alla distribuzione di GammaDrop e GammaLoad. L’offensiva si articola in dozzine di ondate di attacchi di spear phishing che utilizzano e-mail con mittenti spoofati o inviati da account di posta elettronica governativi compromessi. Inoltre, è emersa una campagna orchestrata dal russo Turla Group, volta al rilascio della backdoor Kazuar contro organizzazioni governative e diplomatiche in Europa, Asia Centrale e Ucraina, con particolare interesse per ministeri degli esteri, ambasciate, uffici governativi e strutture legate alla Difesa.

L’infezione avviene tipicamente attraverso varianti di dropper che distribuiscono loader .NET o nativi, spesso con esecuzione in memoria del payload finale, il cui obiettivo principale risulta essere la raccolta di intelligence a supporto della politica estera e degli obiettivi militari della Russia. Dalla fine di settembre 2025 e almeno fino ad aprile 2026, ricercatori di sicurezza hanno osservato un’operazione attribuita con moderata confidenza al gruppo state-sponsored cinese Mustang Panda, che ha preso di mira entità nella regione Asia-Pacifico e Giappone (APJ) con una versione aggiornata (3.2.5.1) della backdoor FDMTP; con un caso documentato in un’organizzazione del settore finanziario in cui l’accesso è stato mantenuto per undici giorni consecutivi.

L’APT di Pechino ha utilizzato tecniche di impersonificazione di infrastrutture per la distribuzione di contenuti, simulando servizi noti associati a Yahoo e Apple. Da ultimo, è stata osservata una campagna denominata Operation Dragon Whistle orchestrata da un gruppo chiamato UNG0002 (alias Unknown Group 0002) proveniente con un alto livello di confidenza dal Sudest asiatico, mirata al settore dell’istruzione cinese e volta al caricamento riflessivo di Cobalt Strike sul sistema target.

Vulnerabilità: sfruttate ITW falle di Microsoft e Cisco

Microsoft ha assegnato il codice CVE-2026-45585 (CVSS 6.8) alla 0-day recentemente divulgata nota come YellowKey e ha rilasciato un advisory nel quale dichiara di essere a conoscenza di alcuni casi di sfruttamento di CVE-2026-42897 (CVSS 7.5), una vulnerabilità di tipo Cross-Site Scripting (XSS) che riguarda Exchange Outlook Web Access (OWA), tramite cui un attaccante potrebbe inviare un’e-mail appositamente creata a un utente ed eseguire JavaScript arbitrario nel contesto del browser.

La falla è stata aggiunta dalla CISA al suo catalogo KEV dopo aver riscontrato evidenze di uno sfruttamento attivo. Sempre la CISA, il 20 e il 21 maggio 2026 ha aggiunto al suo catalogo KEV anche le seguenti vulnerabilità: CVE-2008-4250 di Microsoft Windows, CVE-2009-1537 di Microsoft DirectX, CVE-2009-3459 di Adobe Acrobat e Reader, CVE-2010-0249 e CVE-2010-0806 di Microsoft Internet Explorer, CVE-2026-41091 e CVE-2026-45498 di Microsoft Defender, CVE-2025-34291 di Langflow, CVE-2026-34926 di Trend Micro Apex One (On-Premise). In particolare, CVE-2025-34291 era già stata segnalata come sfruttata ITW in una campagna del gruppo state-sponsored iraniano MuddyWater rivolta al Medio Oriente.

Le Agenzie dello US Federal Civilian Executive Branch (FCEB) sono state incaricate di correggere CVE-2008-4250, CVE-2009-1537, CVE-2009-3459, CVE-2010-0249, CVE-2010-0806, CVE-2026-41091 e CVE-2026-45498 entro il 3 giugno 2026; mentre CVE-2025-34291 e CVE-2026-34926 entro il 4 giugno 2026. Quanto a Cisco, ha rilasciato bollettini di sicurezza in cui avvisa di una falla sfruttata ITW, tracciata con codice CVE-2026-20182 (CVSS 10.0). Tale vulnerabilità, di tipo Authentication Bypass, potrebbe consentire a un avversario remoto non autenticato di aggirare l’autenticazione e ottenere privilegi amministrativi su un sistema interessato.

Cisco Talos ha dichiarato che l’attività di exploitation risulta finora di portata limitata e viene attribuita con elevata confidenza al cluster UAT-8616. In particolare, nelle operazioni successive alla compromissione osservate dopo lo sfruttamento della vulnerabilità, UAT-8616 ha tentato di aggiungere chiavi SSH autorizzate, modificare le configurazioni NETCONF e procedere all’escalation dei privilegi fino a root, servendosi di infrastrutture che presentano sovrapposizioni con reti ORB monitorate.

🌍 Weekly Threats è la newsletter settimanale del team di Threat Intelligence & Response di Telsy.

Attraverso il monitoraggio costante di minacce cyber ed eventi geopolitici, la nostra squadra fornisce ad aziende e PA informazioni utili per anticipare gli attacchi e comprenderne la portata, offrendo supporto affidabile in caso di incidente informatico.

Quello che leggi ogni settimana è solo una parte del nostro lavoro ➡️ scopri di più sui servizi di Cyber Threat Intelligence di Telsy.