L’Italia nel mirino di diversi avversari, operazioni APT inedite, minacce emergenti e compromissioni supply chain

Italia: nuove rivendicazioni ransomware

Il collettivo hacktivista filorusso NoName057(16) è tornato a colpire portali italiani a seguito dello stanziamento di ulteriori dieci milioni di euro a favore dell’Ucraina per il ripristino delle sue infrastrutture energetiche. Nello specifico, nel corso dell’ultima settimana, il gruppo ha rivendicato offensive DDoS contro i seguenti target: Comune di Cavallino-Treporti; il Comune di Albignasego; la Provincia di Padova; di Treviso; di Verona; di Vicenza; il Comune di Arzignano e di Lonigo; la Città Metropolitana di Venezia; la Regione del Veneto; MutuiOnline S.p.A.; Segugio.it broker di assicurazioni S.r.l.; Segugio.it S.r.l.; QUIXA Assicurazioni S.p.A.; 24hassistance – B2C Innovation S.p.A.; Coverwise; Alilaguna S.p.A.; Ve.La. S.p.A. (Venezia Unica); Venezia Terminal Passeggeri S.p.A.; Autorità di Sistema Portuale dello Stretto; Autorità di Sistema Portuale del Mar Tirreno Centrale; Autorità di Sistema Portuale del Mare di Sicilia Occidentale; Autorità di Sistema Portuale del Mar Ligure Occidentale; Unione Sindacale di Base; CESTES – Centro Studi Trasformazioni Economico-Sociali; Assoporti; Autorità di Sistema Portuale del Mare Adriatico Meridionale; Banca Prealpi SanBiagio; Veneto Sviluppo S.p.A.; Agenzia delle Dogane e dei Monopoli.  Inoltre, tra il 25 e il 26 maggio 2026, l’avversario ha rivendicato presunte compromissioni ai danni di: un sistema di automazione industriale afferente il Bacino di laminazione Colombaretta, infrastruttura idraulica situata nel Comune di Montecchia di Crosara (Verona); di un sistema di videosorveglianza di una piccola centrale solare in Italia non specificata; di un sistema di controllo delle linee IMPACCO A e IMPACCO B di TECNO GROUP LAB S.r.l., azienda di Belpasso (CT) specializzata in linee automatizzate per la selezione e il confezionamento di frutta (principalmente agrumi) ; e di un sistema di videosorveglianza riconducibile a un punto vendita della catena italiana di supermercati MD S.p.A. Passando al panorama ransomware, The Gentlemen ha reclamato sul proprio sito dei leak la sua responsabilità dietro la violazione di Fonderia Corrà S.p.A., Nova di CasaSafer, Space Bears di BASE S.p.A., e Akira Team di GITIS S.R.L. Dall’inizio del 2026, il CSIRT Italia ha registrato un numero significativo di attacchi ransomware riconducibili a Qilin Team contro organizzazioni italiane, prevalentemente PMI ma anche importanti fornitori di servizi cloud. L’accesso iniziale avviene principalmente attraverso lo sfruttamento di vulnerabilità note su apparati perimetrali, oltre all’utilizzo di attacchi brute force o Initial Access Broker (IAB) su servizi VPN. Infine, è stata rilevata in Italia una campagna di phishing rivolta contro studenti e dipendenti dell’Università degli Studi di Bari Aldo Moro (UniBA), volta a esfiltrare le credenziali istituzionali

APT: rilevate diverse offensive

Ricercatori di sicurezza hanno descritto una campagna di spear phishing orchestrata dal nordcoreano Lazarus Group mirata al dispiegamento di RemotePE contro aziende operanti nel settore finanziario e delle criptovalute, inclusi operatori DeFi. Il malware supporta diverse funzionalità, tra cui la modifica della configurazione del C2, operazioni su file e cartelle con cancellazioni sicure mediante sovrascrittura multipla fino a sette volte, gestione dei processi, caricamento dinamico di plugin sotto forma di DLL e comandi di esecuzione, oltre a meccanismi di sleep e uscita controllata. Il gruppo state-sponsored cinese Calypso (alias Red Lamassu) ha condotto una campagna di spionaggio contro operatori di telecomunicazioni e fornitori di servizi internet internazionali, impiegando backdoor per Linux e Windows inedite rispettivamente denominate Showboat (alias kworker) e JFMBackdoor. Si ritiene che i due tool siano probabilmente condivisi tra più gruppi allineati con la Cina, ciascuno dei quali prende di mira regioni diverse e utilizza lo stesso ecosistema malware. Ricercatori di sicurezza hanno individuato una campagna volta all’esfiltrazione di dati – in alcuni casi con finalità distruttive – e orchestrata da un avversario denominato Ababil of Minab (noto anche come Babil of Minab) collegato con elevata confidenza al Ministero dell’Intelligence iraniano (MOIS), che impiega infrastrutture già associate al gruppo Black Shadow.  I target comprendono importanti enti statunitensi di trasporto pubblico come la Los Angeles County Metropolitan Transportation Authority (LA Metro) e la South Florida Regional Transportation Authority (Tri-Rail), oltre a società private quali Vyncs, operante nel settore del tracking GPS per veicoli, e UNIMAC, azienda saudita attiva nel settore delle infrastrutture. Sono state inoltre colpite organizzazioni in Israele, nel settore media e dell’istruzione superiore, e in Turchia, inclusa una compagnia di brokeraggio assicurativo.

Cybercrime: nuove minacce e attacchi supply chain

Una campagna orchestrata dal gruppo cinese Webworm, ha preso di mira organizzazioni governative in Europa e istituzioni accademiche in Sudafrica distribuendo due backdoor inedite chiamate EchoCreep e GraphWorm. Nel dettaglio, EchoCreep utilizza Discord come canale C2, trasmettendo comandi cifrati con AES e codificati in Base64 all’interno di canali nominati in base all’indirizzo IP o all’hostname della vittima; e GraphWorm abusa delle Microsoft Graph API e del servizio OneDrive per gestire code di job, upload di file esfiltrati e ricezione di comandi, organizzando i dati in cartelle dedicate per ciascuna vittima. Spostandoci nel contesto degli attacchi supply chain, ne è stato identificato uno che ha coinvolto almeno otto pacchetti pubblicati su Packagist e oltre 700 repository pubblici su GitHub. Dalla prima rilevazione al riconoscimento dell’ampiezza della campagna sono trascorse circa 17 ore: una ricerca su GitHub per l’account parikhpreyash4 ha restituito centinaia di risultati in codice pubblico, includendo numerosi repository Node.js. Inoltre, è stata individuata un’operazione coordinata di attacchi supply chain cross-ecosystem denominata TrapDoor, che ha preso di mira npm, PyPI e Crates.io per distribuire infostealer. Tra le tecniche più avanzate impiegate figura l’iniezione di istruzioni nascoste tramite caratteri Unicode a larghezza zero all’interno di file di configurazione per tool di intelligenza artificiale come .cursorrules e CLAUDE.md. Restando in tema, la CISA ha aggiunto al suo catalogo delle vulnerabilità sfruttate ITW CVE-2026-45321 di TanStack, una falla non specificata che ha consentito la pubblicazione di release dannose del prodotto nel registro npm, al fine di diffondere malware in grado di sottrarre credenziali sotto un’identità attendibile; e CVE-2026-8398 di Daemon Tools Lite, una Embedded Malicious Code che comporta un impatto elevato sulla riservatezza, l’integrità e la disponibilità. Quest’ultima si riferisce a un attacco supply chain che ha compromesso gli installer ufficiali di DAEMON Tools Lite. Passando al versante ransomware, il gruppo di cybercriminali noto come Silent Ransom Group (SRG), conosciuto anche con i nomi Luna Moth, Chatty Spider e UNC3753, è stato osservato prendere di mira studi legali e organizzazioni nei settori assicurativo, finanziario e sanitario negli Stati Uniti. Le informazioni sottratte vengono poi utilizzate per avviare la fase di estorsione: SRG invia e-mail di riscatto minacciando di vendere o pubblicare i dati online sul proprio sito web. Infine, sono state individuate: una campagna di phishing attiva volta alla distribuzione di una variante dell’infostealer PureLogs, finalizzata alla raccolta e alla sottrazione di dati sensibili da sistemi Windows; e un’operazione contro utenti Android in America Latina volta alla distribuzione di un RAT denominato BTMOB RAT che, a differenza dei tradizionali banking trojan non si limita al furto di credenziali finanziarie ma consente una compromissione profonda e persistente del dispositivo infetto.

Weekly Threats Report è l’aggiornamento settimanale di Telsy con le principali novità sugli attacchi cyber e sui threat actor a livello globale, realizzato dal nostro team di Threat Intelligence & Response.

Il team è composto da analisti e ricercatori di sicurezza con competenze tecniche e investigative e un’esperienza riconosciuta in ambito internazionale.

Attraverso il monitoraggio costante di minacce cibernetiche ed eventi geopolitici, produce e fornisce alle organizzazioni informazioni utili per anticipare gli attacchi e comprenderne la portata, potendo contare su un partner affidabile in caso di incidente informatico.

Scopri di più sulla nostra soluzione di Cyber Threat Intelligence