Italia: offensive DDoS, ransomware e operazioni di smishing

Nella scorsa settimana il collettivo filorusso NoName057(16) ha rivolto nuovamente la propria attenzione all’Italia prendendo di mira diversi portali, tra cui: Comune di Bari, DGS S.p.A.; ALLNET.ITALIA S.p.A.; ISED S.p.A.; Intersistemi Italia S.p.A; We-Com S.r.l.; Comune di Emarèse; Netgroup S.p.A.; Terminal Container Ravenna S.p.A.; Comune di Reggio Emilia; Città Metropolitana di Cagliari; Sogedim S.p.A.; Arco Spedizioni S.p.A.; Lorenzini & C. S.r.l.; Gruppo Neri; Gruppo Azimut|Benetti; Confederazione Generale Italiana dei Trasporti e della Logistica (CONFETRA); Associazione Logistica dell’Intermodalità Sostenibile (ALIS); Interporto Padova S.p.A.

In supporto a NoName057(16) è intervenuto anche il gruppo filopalestinese Dark Storm Team che a sua volta ha rivendicato offensive DDoS ai danni di N&C S.p.A.; DGS S.p.A.; Allnet.Italia S.p.A.; Aeroporto Internazionale di Pisa; Aeroporto di Firenze; Aeroporto di Torino; Comune di Reggio Emilia; Comune di Bari; Exprivia S.p.A; Banca d’Italia; SuiteCom S.n.c.; Port Informer Augusta S.r.l.s.; Comune di Potenza; Regione Lazio; Regione Piemonte; Comune di Arzignano; Ministero della Difesa.

Il collettivo ha inoltre indicato tra i target l’Aeroporto di Palermo; tuttavia, il link fornito a supporto della rivendicazione rimanda al portale dell’Aeroporto di Torino. Alle operazioni DDoS si è unito il collettivo hacktivista di presunta matrice sud-asiatica/bengalese BD Anonymous, rivendicando attacchi contro i seguenti portali: Comune di Potenza; Comune di Bari; Autorità Nazionale UAMA (Ministero degli Affari Esteri e della Cooperazione Internazionale); Portale Stampa Nazionale (Ministero degli Affari Esteri e della Cooperazione Internazionale); e Regione Lazio.

Le azioni sarebbero state condotte come ritorsione contro la posizione attribuita al Governo italiano, accusato di non voler riconoscere la Palestina come Stato, pur mantenendo relazioni diplomatiche con Israele. Il gruppo ha inoltre dichiarato di voler contestare le ricostruzioni dei media italiani ed europei che avevano attribuito a NoName057(16) precedenti offensive contro portali del Ministero degli Affari Esteri e della Cooperazione Internazionale (MAECI).

Oltre a ciò, l’hacktivista Tunisian Maskers Cyber Force (alias Hider_Nex, Hider Nex), di origine tunisina e matrice filopalestinese e antisraeliana, ha rivendicato offensive DDoS ai danni di Agenzia Internazionale Stampa Estero (AISE); Centro Linguistico Italiano Dante Alighieri (CLIDA); Castelli International School; e St. Philip School. In aggiunta, il 15 ottobre 2026, un collettivo hacktivista chiamato Team1914_official (alias Team1914) ha rivendicato offensive DDoS contro il Dipartimento della Funzione Pubblica (Italia Open Gov) e il Ministero degli Affari Esteri e della Cooperazione Internazionale; mentre un gruppo hacktivista nominato CyberTroll Team ha rivendicato un DDoS ai danni del portale di Roma Capitale.

Passando al panorama ransomware, Space Bears ha rivendicato sul proprio sito dei leak la compromissione di Alma Center Servizi Medicali S.r.l.; Qilin Team di Melchioni S.p.A.; DeadLock di IDI Integratori Dietetici Italiani S.r.l. (Idipharma); MAJINAHANASHI di Tema Energy S.r.l., Albertin Alcide e Figli S.n.c, Hysytech S.r.l., C.D.A. Diagnostica per Immagini S.r.l. e di CFG Serramenti S.r.l.; e AuditTeam di un target italiano non specificato (Ze***ce), presumibilmente appartenente al settore dei trasporti. Infine, sono state tracciate due campagne di smishing a tema multe, una delle quali sfrutta nome, logo e grafiche dell’Automobile Club d’Italia (ACI) per indurre i destinatari al pagamento di una multa da 150 euro per violazione del codice della strada; e una seconda che impiega un finto dominio della Polizia di Stato.

APT: operazioni nordcoreane, iraniane e cinesi

Diverse campagne APT e relative azioni di contrasto hanno evidenziato l’attività di avversari state-sponsored nordcoreani, iraniani e cinesi. Sul fronte nordcoreano sono emerse tre linee distinte: a luglio Lazarus Group ha impiegato un provider Terraform trojanizzato per distribuire le backdoor FLATROOF (Rust) e ROOFDECK su sistemi Windows, Linux e macOS; ScarCruft ha condotto l’Operation GitPower contro esperti ucraini di diplomazia, sicurezza e ricostruzione post-invasione tramite malware basati su PowerShell e VBE per la raccolta e l’esfiltrazione di informazioni di sistema, con la maggior parte dei tentativi osservati risultati inefficaci; il 13 ottobre il DOJ e l’FBI hanno annunciato Operation Lonestar Roundup contro una rete di lavoratori IT nordcoreani che ottenevano incarichi remoti con false identità e trasferivano i compensi a Pyongyang, con due arresti, 14 incriminazioni, il sequestro di circa 187 dispositivi e perquisizioni in oltre 40 abitazioni in Texas.

In ambito iraniano, tra agosto e ottobre 2026, un avversario chiamato DarkBlinders, già associato alla campagna di cyberspionaggio Blinder Tunnel, ha proseguito le attività  contro un esponente israeliano del settore della sicurezza e un ambiente cloud governativo nel Kurdistan iracheno, mediante una backdoor di secondo stadio per l’esecuzione selettiva di comandi PowerShell, con continuità rispetto a precedenti operazioni (tema Peaky Blinders e repository GitHub distinti) e sovrapposizioni con UNC5795 e Dust Specter (oltre a possibili collegamenti con l’ecosistema OilRig).

Sul versante cinese, tra luglio e agosto, attaccanti presumibilmente legati a Pechino hanno compromesso per diversi giorni la rete di un’organizzazione regionale con sede a Suva (Figi), nell’ambito di una più ampia attività di targeting verso governi, organizzazioni multilaterali e reti di telecomunicazione nel Pacifico; l’8 ottobre il DOJ e l’FBI hanno sequestrato sette domini utilizzati da Flax Typhoon (operativo per Integrity Technology Group) per distribuire gli strumenti Microscan e FishHub, seconda disruption pubblica dell’infrastruttura del gruppo in due anni dopo l’intervento del 2024 su una botnet Mirai di oltre 200.000 dispositivi, accompagnata da un advisory congiunto di FBI, CISA, NSA e partner di Regno Unito, Australia, Canada, Giappone, Nuova Zelanda e Spagna.

Infine, completa il quadro una campagna di spear phishing di metà 2026 attribuita a UAT-11985, rivolta a organizzazioni di ricerca, istituti di relazioni internazionali ed enti di analisi geopolitica con sede a Taiwan, finalizzata al furto di credenziali Google e token di sessione mediante tecniche Adversary-in-the-Middle per potenziali account takeover.

ITW: falle di Ivanti, Cisco, Palo Alto Networks, Ahsay e Atlassian

Nella scorsa settimana sono state osservate diverse vulnerabilità sfruttate attivamente, con particolare rilievo per un’exploit chain su Ivanti Connect Secure e una 0-day critica che interessa Cisco Secure E-mail Gateway, oltre ad altre falle successivamente inserite nel catalogo KEV della CISA.

A partire almeno dal 3 ottobre 2026 l’avversario UTA0576 ha sfruttato tre 0-day concatenate contro appliance Ivanti Connect Secure aggiornate all’ultima versione disponibile, combinando un Authentication Bypass e una RCE nei componenti welcome[.]cgi e wu[.]cgi (entrambe associate a CVE-2026-104935) con una Privilege Escalation ancora priva di correzione nel servizio dsinvoked; dopo la compromissione l’attaccante ha condotto attività di ricognizione della rete interna, sottrazione di credenziali ed esfiltrazione di dati da Active Directory (con focus su password LAPS, chiavi di ripristino BitLocker e altri attributi sensibili).

Parallelamente, Cisco ha corretto CVE-2026-76519 (CVSS 9.8), una Relative Path Traversal nella funzionalità Advanced Malware Protection di Secure Email Gateway che consente a un attaccante remoto non autenticato di inviare un’e-mail con allegato malevolo, scrivere file arbitrari sul sistema ed eseguire comandi con privilegi root sulle appliance con File Reputation abilitato e Content Scanner Tools; il vendor ha confermato sfruttamenti attivi nell’ottobre 2026 e ha avviato attività di remediation sui clienti interessati.

Tra le ulteriori vulnerabilità con evidenze di sfruttamento ITW figurano: CVE-2026-0322 di PAN-OS (Code Injection nell’interfaccia di management che permette a un attaccante autenticato di ottenere RCE con privilegi root, con attività limitate osservate); le CVE-2026-105133 e CVE-2026-105134 di AhsayCBS, rispettivamente una Improper Authentication e una OS Command Injection concatenabili per ottenere una  RCE non autenticata, con tentativi di exploitation osservati dal 7 ottobre che hanno comportato ricognizione, installazione di web shell JSP e distribuzione del miner XMRig; e CVE-2026-21589 di Atlassian, una Arbitrary File Access su diversi prodotti Data Center che consente l’accesso non autenticato a file specifici se nome e percorso sono noti, con tentativi di sfruttamento entro circa due ore dalla pubblicazione di una PoC.

La CISA ha aggiunto tali vulnerabilità al catalogo KEV e ha incaricato le Agenzie dello US Federal Civilian Executive Branch di correggere CVE-2026-104935 entro il 16 ottobre 2026, CVE-2026-0322, CVE-2026-76519, CVE-2026-105133 e CVE-2026-105134 entro il 17 ottobre 2026, e CVE-2026-21589 entro il 18 ottobre 2026.

Weekly Threats Report è l’aggiornamento settimanale di Telsy con le principali novità sugli attacchi cyber e sui threat actor a livello globale, realizzato dal nostro team di Threat Intelligence & Response.

Il team è composto da analisti e ricercatori di sicurezza con competenze tecniche e investigative e un’esperienza riconosciuta in ambito internazionale.

Attraverso il monitoraggio costante di minacce cibernetiche ed eventi geopolitici, produce e fornisce alle organizzazioni informazioni utili per anticipare gli attacchi e comprenderne la portata, potendo contare su un partner affidabile in caso di incidente informatico.

Scopri di più sulla nostra soluzione di Cyber Threat Intelligence