APT: nuove operazioni condotte nell’area euroasiatica e mediorientale

Almeno da luglio 2025, il gruppo state-sponsored russo Void Blizzard (alias Laundry Bear, CL-STA-1114 e TA488) ha preso di mira organizzazioni governative e commerciali occidentali che utilizzano Zimbra Collaboration Suite (ZCS), sfruttando CVE-2025-66376, una Stored Cross-Site Scripting nella Classic UI impiegata come 0-day e corretta nel novembre 2025.

L’exploit, denominato Ulej e osservato anche come ZimReaper, è di tipo half-click e consente l’esecuzione automatica di codice JavaScript alla visualizzazione del messaggio malevolo, senza richiedere l’apertura di allegati o collegamenti. I settori presi di mira includono quello industriale della difesa (DIB), governativo (federale e locale), dell’istruzione, energetico, delle Forze dell’Ordine, mediatico, delle organizzazioni non governative, tecnologico, dei trasporti e finanziario, con un targeting prioritario dell’Ucraina prima dell’espansione verso i Paesi NATO, nonché organizzazioni nei Paesi della Comunità degli Stati Indipendenti e in Africa.

Restando a Mosca, TA458 ha proseguito l’Operation RoundPress (precedentemente collegata a Sofacy, volta al rilascio di SpyPress, prendendo di mira piattaforme webmail mediante exploit XSS di tipo half-click. L’attività ha interessato principalmente enti governativi ucraini e installazioni militari e governative dell’Europa orientale, oltre occasionalmente ad aziende dei settori chimico, delle telecomunicazioni e tecnologico, ed è stata associata allo sfruttamento di vulnerabilità 0-day e n-day in SOGo, Kerio, Zimbra, mDaemon e Roundcube, tra cui CVE-2026-8496, CVE-2025-27915, CVE-2025-3929, CVE-2023-43770 e CVE-2024-42009.

Sul fronte asiatico, ricercatori di sicurezza hanno tracciato un avversario presumibilmente legato a Pechino che ha impiegato l’agent AI open-source Hermes in modalità YOLO non supervisionata durante un’intrusione nella rete del Ministero delle Finanze della Thailandia, che ha previsto il rilascio di un implant Go inedito multipiattaforma chiamato Hades.

I dati recuperati da un server esposto a Hong Kong hanno rivelato la presenza di exploit, web shell, tunnel HTTP, credenziali hardcoded, payload compilati e log dell’agent, che è stato utilizzato per enumerare host, analizzare filesystem, valutare opportunità di escalation dei privilegi e individuare documenti e registri interni.

In aggiunta, ricercatori di sicurezza hanno collegato, con media confidenza, le violazioni dei pacchetti npm typo-crypto, debug, chalk e axios al gruppo state-sponsored nordcoreano Lazarus Group. L’attribuzione si basa su indicatori C2 e TTP condivise.

L’analisi conferma che l’APT di Pyongyang sta affinando tecniche di compromissione della supply chain open-source con un orizzonte temporale pluriennale e con crescente sofisticazione operativa.  Infine, nel luglio 2026 è stata individuata una campagna attribuita a un avversario legato all’Asia orientale e rivolta contro enti governativi del Medio Oriente, basata su una catena di attacco multistadio che distribuisce i malware inediti TELESHIM, MIXEDKEY e BINDCLOAK.

Vulnerabilità: sfruttate ITW diverse falle e corrette nuove 0-day

Nel corso di giugno 2026 sono state identificate diverse intrusioni nelle quali CVE-2026-0257 (CVSS 7.8), di tipo Authentication Bypass nel portale e nel gateway GlobalProtect di Palo Alto Networks PAN-OS, è stata sfruttata come vettore di accesso iniziale per la distribuzione del ransomware Qilin. In alcuni casi, gli avversari hanno inoltre esfiltrato dati verso servizi di cloud storage prima di distribuire la minaccia. Dopo aver riscontrato evidenze di sfruttamento attivo, il 27 luglio 2026 la CISA ha aggiunto al proprio catalogo KEV CVE-2026-16812 di Arista Networks e CVE-2025-68686 di Fortinet.

La prima è una OS Command Injection che potrebbe consentire a un attaccante remoto di accedere a funzionalità interne con privilegi elevati e compromettere l’host VCO; la seconda, classificata come Exposure of Sensitive Information to an Unauthorized Actor, potrebbe permettere a un avversario remoto non autenticato di eludere la correzione introdotta per mitigare un meccanismo di persistenza basato su collegamenti simbolici osservato in precedenti scenari di post-sfruttamento.

La CISA ha richiesto alle Agenzie dello US Federal Civilian Executive Branch (FCEB) di correggerle rispettivamente entro il 30 luglio e il 10 agosto 2026. Inoltre, Cisco ha corretto CVE-2026-20316 (CVSS 5.3), una vulnerabilità 0-day di tipo Use of Hard-coded Password nell’interfaccia web di Secure Firewall Management Center (FMC), sfruttata ITW almeno dal luglio 2026.

La presenza di credenziali statiche per un account con privilegi limitati potrebbe consentire a un avversario remoto non autenticato di accedere ai dispositivi vulnerabili e consultare dati sensibili. Il 29 luglio 2026 la CISA ha inserito la falla nel catalogo KEV, richiedendo alle Agenzie FCEB di applicare le correzioni entro il 1° agosto 2026.

Infine, ricercatori di sicurezza hanno osservato lo sfruttamento ITW di CVE-2026-16723 (CVSS 9.0), una 0-day critica nella libreria Java Fastjson che interessa le versioni dalla 1.2.68 alla 1.2.83, inclusa l’ultima release del ramo 1.x non più supportato. La falla, di tipo Deserialization of Untrusted Data e Improper Input Validation, può essere sfruttata da un avversario non autenticato mediante richieste JSON appositamente predisposte per aggirare i controlli associati alla disabilitazione di AutoType e ottenere l’esecuzione di codice arbitrario con i privilegi dell’applicazione interessata.

Le attività osservate hanno interessato prevalentemente organizzazioni negli Stati Uniti operanti nei settori finanziario, sanitario, informatico e retail, con una presenza residuale di target a Singapore e in Canada. La pubblicazione di exploit Proof-of-Concept (PoC) aumenta il rischio di ulteriori attività di sfruttamento.

Incidenti cyber di rilievo: data breach, attività estorsive e attacchi a infrastrutture critiche

Origin Energy Limited, azienda australiana attiva nella produzione, vendita e distribuzione di elettricità e gas naturale, ha confermato un incidente di sicurezza che ha comportato l’accesso non autorizzato e la divulgazione di dati relativi ad alcuni clienti. Secondo la società, gli elementi finanziari esposti risultano tuttavia incompleti e non sarebbero sufficienti per effettuare addebiti non autorizzati o compromettere gli account. U

n avversario identificatosi come John Doe ha rivendicato la violazione, affermando di essere in possesso di informazioni riconducibili a circa 2 milioni di clienti e minacciandone la pubblicazione. Spostando l’attenzione sull’India, il 27 luglio 2026 Bank of Baroda, istituto bancario statale, ha confermato un incidente derivante dalla compromissione dell’account e-mail di un dipendente, che ha consentito l’accesso non autorizzato ad alcuni dati. La comunicazione è giunta dopo la diffusione online di un dataset di oltre 700 GB attribuito alla banca, che conterrebbe documenti identificativi e relativi ai prestiti dei clienti, oltre a registri di audit interni.

In aggiunta, tra il 26 e il 27 luglio 2026, un attacco informatico coordinato ha interessato la tecnologia operativa di oltre 30 sistemi idrici comunitari del Minnesota, compromettendo i sistemi di controllo e automazione e rendendo in alcuni casi necessario il passaggio alla gestione manuale. Le municipalità di Braham, Plymouth, Maple Plain e South St. Paul hanno segnalato interruzioni temporanee dei pozzi, degli impianti di trattamento, delle torri idriche, delle stazioni di sollevamento e delle funzioni automatizzate della rete di distribuzione.

Non sono emerse evidenze di alterazioni della qualità dell’acqua, modifiche ai dosaggi chimici o danni fisici agli impianti. Le autorità non hanno attribuito formalmente l’operazione e non sono state rilevate richieste di riscatto; sebbene le modalità osservate presentino analogie con precedenti campagne contro infrastrutture idriche statunitensi attribuite all’ecosistema CyberAv3ngers, collegato al Comando Cyber-Elettronico del Corpo delle Guardie Rivoluzionarie Islamiche iraniane (IRGC-CEC), al momento non è stata stabilita alcuna connessione ufficiale. ShinyHunters ha rivendicato la compromissione di Ernst & Young (EY), sostenendo di aver ottenuto, attraverso un presunto attacco supply chain, credenziali valide per accedere agli ambienti Jira, GitHub e Azure dell’azienda. Il gruppo non ha specificato quali informazioni sarebbero state sottratte, minacciandone la pubblicazione in assenza di un contatto da parte di EY entro il 31 luglio 2026.

Lo stesso gruppo ha rivendicato anche la violazione di DentaQuest, una delle principali società statunitensi attive nella gestione di assicurazioni odontoiatriche e programmi pubblici per la salute orale, la quale ha reso noto di aver rilevato nel maggio 2026 un accesso non autorizzato a una porzione limitata della propria rete, circoscritto a una network file share.

ShinyHunters ha inoltre dichiarato di aver esfiltrato oltre 234 GB di dati, successivamente pubblicati sul proprio sito dei leak dopo il fallimento delle trattative per il pagamento del riscatto. Infine, Everest Team ha rivendicato la compromissione di Stadler Rail, produttore svizzero di veicoli ferroviari, sistemi di segnalamento e soluzioni per il trasporto su rotaia, che aveva precedentemente comunicato di aver ricevuto e rifiutato una richiesta di riscatto pari a 10 milioni di franchi svizzeri.

Weekly Threats è la newsletter settimanale del team di Threat Intelligence & Response di Telsy.

Attraverso il monitoraggio costante di minacce cyber ed eventi geopolitici, la nostra squadra fornisce ad aziende e PA informazioni utili per anticipare gli attacchi e comprenderne la portata, offrendo supporto affidabile in caso di incidente informatico.

Quello che leggi ogni settimana è solo una parte del nostro lavoro scopri di più sui servizi di Cyber Threat Intelligence di Telsy.