L’Italia nel mirino di diversi avversari, novità nel panorama APT, vulnerabilità sfruttate ITW

Italia: osservate diverse attività malevole

È stata rilevata in Italia una campagna di smishing che sfrutta il tema di una presunta mancata consegna a nome di Bartolini (oggi noto come BRT) per indurre le vittime a fornire dati personali e informazioni della carta di pagamento. In aggiunta, è stata individuata un’operazione di phishing che sfrutta il nome e il logo del Sistema Pubblico di Identità Digitale (SPID) al fine di persuadere le vittime a contattare telefonicamente i truffatori (vishing). Oltre a ciò, è stata tracciata e bloccata una campagna di phishing a tema Ministero della Salute con l’obiettivo di esfiltrare dati personali e finanziari agli utenti, riproponendo una modalità già riscontrata in precedenti operazioni analoghe. Infine, è stata osservata un’attività di phishing che sfrutta il nome di INPS al fine di esfiltrare dati personali e finanziari, utilizzando una modalità già riscontrata in precedenti operazioni che sfruttavano il nome di altri enti pubblici (Ministero della Salute e SEND). Passando al panorama ransomware, Qilin Team ha rivendicato sul proprio sito dei leak la compromissione di Retelit S.p.A., gruppo attivo nel settore telecomunicazioni e tecnologie dell’informazione e della comunicazione; LockBit Team di SIRSA S.p.A., attiva nella lavorazione delle materie plastiche; Payouts King di Casta Diva Group S.p.A. – Società Benefit, multinazionale quotata su Euronext Growth Milan attiva nel settore della comunicazione integrata, della produzione audiovisiva e dell’organizzazione di eventi (si tratta della vittima non specificata rivendicata a inizio luglio); e DragonForce Team di SITAV S.p.A. (Società Italiana Treni Alta Velocità), azienda di produzione, ammodernamento e manutenzione di locomotori elettrici, carrozze e treni.

APT: tracciate operazioni nordcoreane, russe, cinesi e indiane

Il 13 luglio 2026, ricercatori di sicurezza hanno identificato una campagna di spear phishing denominata Operation Capsule Vault, orchestrata dal nordcoreano ScarCruft e volta alla distribuzione di una variante di RokRAT, la cui denominazione deriva dalla struttura a contenitore del file PIF, che nasconde al suo interno sia il documento legittimo sia il payload malevolo, estraendoli in modo sequenziale durante l’esecuzione. Spostando l’attenzione sulla Russia, la National Security Agency (NSA), la Cybersecurity and Infrastructure Security Agency (CISA) e l’FBI, insieme ad altre 15 agenzie provenienti da Australia, Regno Unito, Canada, Nuova Zelanda, Estonia, Finlandia, Francia e Italia, hanno pubblicato un advisory congiunto che aggiorna le informazioni sulle attività del gruppo state-sponsored Energetic Bear, collegato al 16° Centro del Servizio Federale di Sicurezza russo (FSB), rivolte contro dispositivi di rete vulnerabili o configurati in modo non sicuro, integrando un precedente advisory dell’FBI del 2025 e fornendo ulteriori dettagli sulle tecniche osservate e sulle misure di mitigazione raccomandate. L’advisory evidenzia come una delle principali tecniche osservate consista nell’abuso del Simple Network Management Protocol (SNMP) e segnala l’impiego della funzionalità Cisco Smart Install e lo sfruttamento di vulnerabilità note nei dispositivi Cisco. Sempre riguardante Mosca, le autorità francesi hanno attribuito al gruppo state-sponsored Turla Group, anch’esso collegato al 16° Centro del Servizio Federale di Sicurezza russo (FSB), e nello specifico all’Unità 61240, una serie di operazioni di cyber spionaggio condotte contro interessi strategici nazionali. Contestualmente, il Centre de Coordination des Crises Cyber (C4) ha pubblicato un rapporto congiunto sulle attività osservate in Francia dal 2010. Infine, l’Unione europea ha pubblicato una dichiarazione ufficiale in cui, insieme ai suoi Stati membri, condanna le attività cyber malevole condotte dalla Russia attraverso un ecosistema informatico composito che include sia avversari statali che soggetti non statali, dai servizi di intelligence ai gruppi di criminali informatici, agli hacktivisti e alle aziende private. Il comunicato espone pubblicamente il 16° Centro dell’FSB come entità responsabile del controllo di diversi gruppi cyber, tra cui Turla Group. Il testo sottolinea la collaborazione con il Regno Unito e il rafforzamento del coordinamento con partner internazionali, inclusa la NATO, ribadendo l’importanza del rispetto del quadro delle Nazioni Unite sul comportamento responsabile degli Stati nello spazio cyber. Passando al Sud Asia, tra febbraio 2024 e aprile 2026, presunti avversari allineati con la Cina e l’India hanno condotto campagne di spionaggio indipendenti ma convergenti contro organizzazioni delle Forze dell’Ordine pakistane. La convergenza verso gli stessi sistemi evidenzia l’elevato valore di intelligence delle informazioni di sicurezza interna detenute dalle Forze dell’Ordine pakistane. Per i gruppi presumibilmente cinesi tali dati appaiono funzionali alla sicurezza dei propri cittadini in Pakistan, considerata la consistente presenza di cittadini cinesi nel Paese, principalmente legata al Corridoio Economico Cina-Pakistan (CPEC), progetto cardine della Belt and Road Initiative. Per quelli verosimilmente indiani, invece, risultano rilevanti nel contesto della rivalità regionale e della situazione nel Balochistan, in un quadro di accuse reciproche tra India e Pakistan di sostenere gruppi armati attivi nei rispettivi territori di interesse strategico. Sul fronte cinese, a quattro anni dalla sua prima scoperta e rivelazione nel 2022, nel maggio 2026 la backdoor Daxin – attribuita a un gruppo di spionaggio legato a Pechino – è stata individuata in esecuzione su un host compromesso di una filiale con sede a Taiwan di un’azienda manifatturiera multinazionale del settore high-tech, insieme a una backdoor inedita denominata Stupig. Entrambe le minacce presentano timestamp di compilazione risalenti all’inizio del 2013, ma l’host compromesso ha iniziato a inviare dati di telemetria solo a partire da maggio 2026. Sebbene non sia stato individuato alcun collegamento a livello di codice tra i due malware, diversi elementi suggeriscono che tutti e due siano stati sviluppati dallo stesso avversario. Il 7 luglio 2026, le autorità taiwanesi hanno accusato due dirigenti di un’azienda locale, Li Hualun e Chen Mengsen, di aver aiutato avversari legati al governo cinese a condurre una campagna di spionaggio informatico rivolta contro politici, accademici, giornalisti e gruppi della società civile. L’indagine, avviata nell’aprile 2025 dall’Ufficio Investigativo della città di Taipei, ha portato a perquisizioni presso la società coinvolta e altre sedi, nel corso di due distinte operazioni investigative condotte nel 2026, prima di emettere questa settimana ordinanze di rinvio a giudizio nei confronti dei due dirigenti per presunte violazioni della legge taiwanese sulla protezione dei dati personali e altri reati.

Vulnerabilità: sfruttate ITW diverse falle e scoperta la nuova 0-day LegacyHive

Dopo aver riscontrato evidenze di uno sfruttamento attivo, la CISA ha aggiunto al suo catalogo delle vulnerabilità sfruttate ITW le seguenti: CVE-2008-4128 di Cisco IOS; CVE-2023-4346 di KNX Association KNX Protocol Connection Authorization Option 1; CVE-2026-46817 di Oracle E-Business Suite; CVE-2026-48939 di iCagenda; e CVE-2026-56291 di Balbooa Forms. Nel dettaglio, CVE-2026-48939 e CVE-2026-56291, entrambe di tipo Unrestricted Upload of File with Dangerous Type e con codice CVSS pari a 10.0, sono state sfruttate come 0-day nell’ambito di attacchi ITW contro siti Joomla; la prima in campagne automatizzate, mentre la seconda risultava già oggetto di attacchi al momento della sua identificazione. Sempre nel catalogo KEV della CISA, sono state aggiunte anche due 0-day sfruttate ITW corrette da SonicWall: CVE-2026-15409 (CVSS 10.0), una Server-Side Request Forgery (SSRF), e CVE-2026-15410 (CVSS 7.2), una Code Injection. Il PSIRT di SonicWall ha riferito di aver indagato su diversi casi che indicano lo sfruttamento attivo di tali falle. Come di consueto, martedì Microsoft ha rilasciato il Patch Tuesday per il mese di luglio che, questa volta, comprende 622 vulnerabilità. Di queste risultano sfruttate: CVE-2026-56155 (CVSS 7.8), una Insufficient Granularity of Access Control, e CVE-2026-56164 (CVSS 5.3), una Missing Authentication for Critical Function. In data 14 luglio 2026, la CISA ha aggiunto entrambe le falle al suo catalogo KEV, incaricando le Agenzie dello US Federal Civilian Executive Branch (FCEB) di correggere CVE-2026-56155 entro il 28 luglio 2026 e CVE-2026-56164 entro il 17 luglio 2026. Poche ore dopo il rilascio del Patch Tuesday, il ricercatore noto come Nightmare Eclipse ha pubblicato un exploit Proof-of-Concept (PoC) per una nuova vulnerabilità 0-day nel componente User Profile Service (profsvc) di Microsoft Windows denominata LegacyHive. Al momento non risulta assegnato alcun codice CVE e non è stata rilasciata alcuna patch da parte dell’azienda di Redmond. LegacyHive fornisce una primitiva utile in fase di post-compromissione, consentendo l’accesso a configurazioni e dati contenuti negli hive di altri utenti; in particolare, può facilitare operazioni di furto credenziali e persistenza, pur non costituendo un vettore autonomo di compromesso completo. Infine, l’Australian Cyber Security Centre (ACSC) ha rilasciato un advisory in cui segnala una campagna attiva di sfruttamento su larga scala che interessa varie vulnerabilità in sistemi di gestione dei contenuti (CMS) a livello globale in cui risultano già colpite numerose piccole e medie imprese.

Weekly Threats Report è l’aggiornamento settimanale di Telsy con le principali novità sugli attacchi cyber e sui threat actor a livello globale, realizzato dal nostro team di Threat Intelligence & Response.

Il team è composto da analisti e ricercatori di sicurezza con competenze tecniche e investigative e un’esperienza riconosciuta in ambito internazionale.

Attraverso il monitoraggio costante di minacce cibernetiche ed eventi geopolitici, produce e fornisce alle organizzazioni informazioni utili per anticipare gli attacchi e comprenderne la portata, potendo contare su un partner affidabile in caso di incidente informatico.

Scopri di più sulla nostra soluzione di Cyber Threat Intelligence