NoName057(16) mira all’Italia, nuove offensive nel panorama cybercrime, le ultime da Mosca e Pyongyang

Italia: offensive DDoS ai danni di realtà italiane

Sulla scia della scorsa settimana, il collettivo hacktivista filorusso NoName057(16) ha rinnovato il suo interesse per l’Italia. L’avversario ha rivendicato attacchi DDoS contro i seguenti portali: Comune di Lonigo; Provincia di Vicenza; B2C Innovation S.p.A. (24hassistance); Coverwise; Alilaguna S.p.A.; Autorità di Sistema Portuale dello Stretto di Messina; Autorità di Sistema Portuale del Mar Tirreno Centrale; Autorità di Sistema Portuale del Mare di Sicilia Occidentale; Autorità di Sistema Portuale del Mar Ligure Occidentale; Unione Sindacale di Base (USB); Centro Studi Trasformazioni Economico-Sociali (CESTES); Autorità di Sistema Portuale del Mare Adriatico Meridionale; Veneto Sviluppo S.p.A.; Agenzia delle Dogane e dei Monopoli (ADM); Europa Verde; Comune di Potenza; Consiglio regionale della Valle d’Aosta; Regione Lazio; Comune di Giugliano in Campania; Tiscali Italia S.p.A.; HERABIT S.p.A.; Comune di Parma; Comune di Reggio Emilia; Unione Italiana Lavoratori Pubblica Amministrazione (UILPA); Regione Piemonte; Autorità di Sistema Portuale del Mare di Sardegna – Porto di Olbia e Golfo Aranci; Comune di Palermo; Assemblea Regionale Siciliana (ARS); Sinfomar; Ministero del Lavoro e delle Politiche Sociali; Autorità di Sistema Portuale del Mare Adriatico Orientale; A2A S.p.A.; Provincia di Padova; Comune di Arzignano; Sistema Pubblico di Identità Digitale (SPID); Directa SIM S.p.A.; CoopVoce; NTC Italia S.r.l.; Contship Italia Group; Terminal Napoli S.p.A.; Marnavi S.p.A. Il 4 giugno l’attaccante ha specificato che l’Italia è stata presa di mira in relazione al sostegno politico e alla cooperazione forniti all’Ucraina. In particolare, il gruppo ha richiamato le dichiarazioni del Vice Capo dell’Ufficio Presidenziale ucraino Serhiy Kyslytsya sul previsto completamento del “Drone Deal agreement” tra Italia e Ucraina e i suoi ringraziamenti rivolti all’Italia e alla Presidente del Consiglio Giorgia Meloni per il loro costante supporto a Kiev. Il 30 maggio, anche il collettivo Dark Storm Team ha rivendicato offensive DDoS ai danni di portali italiani, quali: MutuiOnline; Segugio.it broker di Assicurazioni S.r.l.; QUIXA Assicurazioni S.p.A.; Comune di Arzignano; Comune di Lonigo; Provincia di Vicenza; Regione del Veneto. Gli attacchi sono contrassegnati dagli hashtag #DARKSTORM #DARKSTORMTEAM #OpItaly e #NONAME057. La presenza dell’hashtag #NONAME057, unitamente all’utilizzo dell’hashtag #OpItaly, suggerisce che l’operazione sia stata condotta in segno di sostegno o allineamento alla campagna antitaliana promossa da NoName057(16).

Cybercrime: segnalate diverse campagne globali

Ricercatori di sicurezza hanno osservato un gruppo cinese chiamato TA4922 distribuire minacce inedite denominate Atlas RAT, RomulusLoader e SilentRunLoader in tutto il mondo. L’attività si è concentrata inizialmente sul Giappone per poi espandersi verso Taiwan, Corea, Singapore, India, Malesia e Indonesia; da marzo 2026 ha raggiunto anche Europa (Regno Unito, Germania, Italia) e Africa (Sud Africa). Le campagne sfruttano il phishing con esche altamente contestualizzate su temi di risorse umane, paghe, tasse, fatturazione e compliance, adattate alla lingua e alle normative dei Paesi target per ottenere dati aziendali e personali, credenziali e informazioni di sistema. Nel maggio 2026, è stata tracciata un’operazione attiva denominata Operation TaxShadow mirata a India e Giappone e volta alla distribuzione di un malware multi-stage eseguito interamente in memoria. L’avversario impersona autorità fiscali ufficiali, inducendo le vittime a scaricare un archivio ZIP malevolo che avvia la catena d’infezione. La campagna sembra finalizzata all’esfiltrazione di dati o alla preparazione per compromissioni successive, e la presenza di artefatti in lingua cinese nel codice suggerisce con moderata confidenza l’impiego di template di sviluppo di origine cinese, senza tuttavia collegamenti diretti a gruppi noti. Passando all’ambito supply chain, sono state identificate nuove offensive. A maggio 2026 è stato tracciato un attacco che ha interessato quattro pacchetti molto diffusi della community Laravel-Lang, distribuiti tramite Composer. La campagna Malware-Slop ha distribuito sul registry npm il nuovo pacchetto malevolo mouse5212-super-formatter, progettato per caricare file dalla directory /mnt/user-data, utilizzata da Claude di Anthropic per gestire upload e output in background. Infine, il 1° giugno 2026 è stata resa pubblica una compromissione della supply-chain che ha interessato molteplici pacchetti npm ufficiali pubblicati sotto il namespace @redhat-cloud-services, portando alla distribuzione di Miasma, un malware con capacità di furto di credenziali sensibili legate ad ambienti di sviluppo e infrastrutture cloud (GitHub Actions secrets, npm tokens, credenziali AWS/GCP/Azure, Vault, Kubernetes, SSH e file .env). Secondo quanto riportato da Red Hat, l’incidente ha avuto origine da un account GitHub di un dipendente compromesso, utilizzato per inserire commit non autorizzati nei repository dell’organizzazione RedHatInsights. Spostandoci in campo malware, l’insoftealer inedito EKZ è stato veicolato sfruttando CVE-2026-35616, una Improper Access Control in FortiClient Endpoint Management Server, in una campagna tracciata a maggio 2026. La minaccia può esfiltrare credenziali, cookie e dati di compilazione automatica da Chrome, Microsoft Edge e altri browser basati su Chromium, nonché dai browser basati su Firefox/Gecko.

APT: segnalate operazioni del russo GREYVIBE e del nordcoreano Lazarus Group

Ricercatori di sicurezza hanno osservato una campagna volta allo spionaggio, attiva almeno da agosto-settembre 2025, che sfrutta l’intelligenza artificiale (AI) per colpire entità ucraine, orchestrata da un avversario russo precedentemente non documentato denominato GREYVIBE. L’attaccante si concentra in modo mirato su istituzioni governative, aziende del settore energetico e personale militare e di intelligence, inclusi operatori impegnati in prima linea. Il tratto distintivo dell’intera operazione è l’impiego intensivo e sistematico di strumenti di intelligenza artificiale e modelli linguistici di grandi dimensioni in ogni fase dell’attacco. ChatGPT, Google Gemini e tool di generazione di immagini vengono sfruttati per redigere testi di phishing, creare immagini di siti falsi, sviluppare codice malware, loader e tecniche di offuscamento. Spostandoci in Corea del Nord, Lazarus Group ha preso di mira istituzioni finanziarie e infrastrutture blockchain con il malware COPPERHEDGE, un RAT con funzionalità complete che viene distribuito sfruttando la vulnerabilità React2Shell (CVE-2025-55182). Obiettivo presunto della campagna sono l’autofinanziamento, il furto di dati e la raccolta di intelligence.

Weekly Threats Report è l’aggiornamento settimanale di Telsy con le principali novità sugli attacchi cyber e sui threat actor a livello globale, realizzato dal nostro team di Threat Intelligence & Response.

Il team è composto da analisti e ricercatori di sicurezza con competenze tecniche e investigative e un’esperienza riconosciuta in ambito internazionale.

Attraverso il monitoraggio costante di minacce cibernetiche ed eventi geopolitici, produce e fornisce alle organizzazioni informazioni utili per anticipare gli attacchi e comprenderne la portata, potendo contare su un partner affidabile in caso di incidente informatico.

Scopri di più sulla nostra soluzione di Cyber Threat Intelligence