Offensive OT e violazioni informatiche, campagne APT e cyberspionaggio, framework AI e minacce inedite

Cyberattacchi e compromissioni: dai sistemi industriali alle piattaforme digitali

Tra il 1° e il 2 novembre 2026, una serie di attacchi informatici ha interessato i sistemi di refrigerazione di supermercati e attività commerciali in diversi Paesi europei, provocando alterazioni delle temperature, deterioramento di prodotti alimentari e disservizi. Gli episodi, successivi alle compromissioni registrate in Francia a ottobre, hanno coinvolto Belgio, Lussemburgo, Svezia, Estonia, Irlanda, Paesi Bassi, Italia, Portogallo, Regno Unito e Polonia, con possibili attacchi anche in Grecia. Le intrusioni hanno interessato sistemi di telecontrollo e dispositivi Danfoss, Copeland e Dixell XWEB, consentendo la modifica da remoto dei parametri di refrigerazione. In Italia, sono stati confermati attacchi contro supermercati Coop, Conad e Viro, oltre a sei celle frigorifere della società toscana SIAF; in Portogallo, sette punti vendita Intermarché sono stati coinvolti in un’offensiva potenzialmente riconducibile alla compromissione di un fornitore esterno. Il 4 novembre, i collettivi hacktivisti filorussi NoName057(16) e Z-Pentest hanno rivendicato gli attacchi nell’ambito di Operation Chronicle: Danfoss, sostenendo di aver manipolato i controllori senza impiegare malware. NoName057(16) ha inoltre rivendicato un DDoS contro il sito ufficiale di Danfoss e il possesso di credenziali di dipendenti e clienti. Copeland ha documentato diverse vulnerabilità nei controllori XWEB, tra cui CVE-2026-21718, CVE-2026-24663 e CVE-2026-25085, senza confermarne lo sfruttamento negli incidenti. Il 5 novembre, CISA, FBI e altri Dipartimenti statunitensi hanno pubblicato un’allerta congiunta sulle minacce alla refrigerazione industriale e alla catena del freddo a livello globale, mentre Commissione europea, ENISA ed Europol hanno intensificato il coordinamento investigativo. Sul fronte della manipolazione delle informazioni, tra il 1° e il 2 novembre le applicazioni di allerta pubblica in Ucraina e Russia sono state interessate da distinti cyberattacchi che hanno provocato la diffusione di falsi avvisi. In Ucraina, Air Alert ha trasmesso comunicazioni fraudolente su presunti pericoli radiologici e chimici, combattimenti a Kiev e l’arrivo di un missile Oreshnik, inducendo i gestori a sospendere temporaneamente il servizio. In Russia, un attacco al pannello amministrativo dell’applicazione del Ministero per le Situazioni di emergenza (MChS) ha consentito l’invio di un falso avviso a 33 soggetti federali. I sistemi generali di allerta sono rimasti operativi e non risultano collegamenti verificati tra gli episodi. Il 4 novembre, anche la testata giornalistica ucraina in lingua inglese The Kyiv Independent ha subito una compromissione del proprio CMS e di un servizio newsletter, utilizzati per pubblicare false notizie e inviare quattro e-mail fraudolente su presunti attacchi nucleari e attentati contro Volodymyr Zelensky. La redazione ritiene possibile una matrice russa in base al contenuto dei messaggi; inoltre, ha precisato che le informazioni bancarie di membri e donatori non erano a rischio.  Il 30 ottobre Chainalysis ha comunicato un’intrusione nei propri sistemi interni mediante tecniche offensive di tipo agentico. Le successive indagini hanno accertato l’esposizione di nominativi, username, hash delle password e token attivi degli utenti, oltre alla compromissione di alcune password tramite un attacco Man-in-the-Middle (MitM). Rilevati anche possibili accessi abusivi ad account KYT, la società ha sospeso precauzionalmente diversi servizi, avviando il 6 novembre il ripristino graduale di KYT e Address Screening. Non risultano evidenze di accesso ai dati delle indagini o alterazioni delle informazioni di attribuzione blockchain. Nel settore turistico, il fornitore austriaco di servizi turistici Feratel Media Technologies ha rilevato un accesso illecito ai dati di prenotazione attraverso credenziali Deskline di un partner d’integrazione, presumibilmente sottratte tramite un sistema di terze parti. Le informazioni acquisite sono state utilizzate per campagne di phishing via WhatsApp contro ospiti di strutture ricettive in Austria, con segnalazioni anche in Trentino, senza evidenze di sottrazione di dati delle carte di credito. Sempre nell’industria dei viaggi e del turismo, il fornitore spagnolo di sistemi per prenotazioni, biglietteria e check-in Amadeus IT Group ha confermato una vulnerabilità in un ambiente di visualizzazione delle prenotazioni, mentre diverse compagnie aeree, tra cui Japan Airlines, ANA, Cathay Pacific, Korean Air, Asiana Airlines e Singapore Airlines, hanno segnalato accessi non autorizzati a dati comprendenti nominativi, codici PNR, dettagli dei voli e, in alcuni casi, documenti di viaggio. Non è accertato che tutti gli accessi derivino dalla vulnerabilità individuata; Amadeus ha dichiarato di averla corretta, senza evidenze di esposizione di dati di pagamento.

APT e spionaggio: offensive internazionali e possibili attacchi spyware

A partire dal 17 ottobre 2026, il gruppo associato alla Cina VAPOR PANDA ha condotto una campagna globale di cyberspionaggio tramite ARTEX, framework offensivo basato su agenti AI. In 11 giorni sono state interessate oltre 200 organizzazioni in almeno 14 Paesi, con attività di post-compromissione confermate presso nove entità. I target comprendono ministeri degli Esteri, istituzioni governative, operatori di telecomunicazioni e organizzazioni statunitensi dei settori farmaceutico, semiconduttori, difesa, nucleare e finanziario. ARTEX, basato prevalentemente su DeepSeek, ha coordinato intrusioni attraverso vulnerabilità XXE, asserzioni SAML non firmate, web shell e credenziali sottratte, consentendo accessi privilegiati e movimenti laterali. Presso due ministeri in Medio Oriente e America Latina è stata inoltre distribuita la backdoor BLOODALCHEMY tramite DLL Side-Loading. Restando in Cina, dal 1° luglio il gruppo APT SlippyNunchucks ha condotto una campagna contro organizzazioni e individui di lingua cinese in Asia e Medio Oriente, sfruttando comunicazioni HTTP non protette di Sogou Input Method. Mediante DNS hijacking e DLL Side-Loading, l’avversario ha distribuito la backdoor modulare .NET FDMTP (DarkVigil), dotata di oltre 20 plugin per esecuzione di comandi e gestione dei payload. Il gruppo è ritenuto allineato agli interessi cinesi, senza evidenze sufficienti per associarlo a Mustang Panda. Sul fronte russo-ucraino, è stata evidenziata una crescente convergenza tra le operazioni bielorusse e gli interessi strategici di Mosca. In particolare, a maggio Ghostwriter ha condotto il primo attacco distruttivo documentato attribuito a un APT bielorusso contro un’azienda manifatturiera ucraina, utilizzando Chisel, UltraVNC e Cobalt Strike prima di distribuire un wiper VBScript tramite Group Policy. Da marzo, lo stesso gruppo aveva inoltre orchestrato campagne di spear phishing contro enti governativi ucraini, impersonando Ukrtelecom per distribuire PicassoLoader e beacon Cobalt Strike. Parallelamente, Gamaredon Group, Sofacy e Void Blizzard sono risultati tra gli avversari russi più attivi, mentre Lazarus Group ha ripreso l’Operation DreamJob contro tecnologie e supply chain dei sistemi aerei senza pilota ucraini, senza evidenze di coordinamento cyber diretto tra Mosca e Pyongyang. Sempre in Ucraina, un avversario ritenuto allineato agli interessi russi, denominato Gorbag e attivo almeno dal febbraio 2025, ha colpito enti giudiziari, forze dell’ordine, amministrazioni locali, organizzazioni della Difesa e un nodo logistico per gli aiuti militari stranieri. Dopo aver utilizzato documenti Excel malevoli e il tool PowerShell Prime ReverseShell, dall’inizio del 2026 il gruppo ha sfruttato CVE-2025-8088 di WinRAR per distribuire BeautyStealer, finalizzato alla sottrazione di credenziali, cookie, configurazioni OpenVPN, database KeePass e documenti sensibili, esfiltrati tramite Telegram o server FastAPI. Spostandoci in Asia meridionale, il gruppo state-sponsored indiano Bitter ha condotto una campagna di cyberspionaggio attraverso tre catene d’infezione basate su file LNK, immagini VHDX, archivi RAR e WebDAV, distribuendo un RAT custom chiamato PapRAT e, in una delle tre catene, il malware WmRAT. PapRAT consente esecuzione di comandi, gestione di file e acquisizione di screenshot; una versione più recente sviluppata in Rust introduce comunicazioni HTTPS e ulteriori funzionalità. Sempre in relazione al Pakistan, è stato individuato un toolkit di cyberspionaggio di 48 file esposto online, contenente reverse shell, strumenti di ricognizione, raccolta credenziali e movimento laterale. I riferimenti a PAEC, Chashma, KANUPP, SCADA, Modbus e OGDCL suggeriscono un interesse per infrastrutture nucleari, energetiche e industriali pakistane. Alcune correlazioni indicano un possibile collegamento con l’APT indiano Dropping Elephant, senza attribuzioni definitive né compromissioni confermate. Sul versante russo, a metà ottobre è stata individuata una campagna watering hole attribuita con confidenza moderata-alta ad APT29, associato all’intelligence estera russa (SVR), che ha sfruttato siti compromessi o contraffatti e il servizio ucraino Plerdy per distribuire exploit contro dispositivi iOS e Android non aggiornati. Dopo una fase di fingerprinting mediante UltimateFingerprinter, l’infrastruttura selezionava tre catene: Class A, che combinava CVE-2025-43529 e CVE-2024-27834 (inserita nel catalogo KEV della CISA il 4 novembre) per sottrarre cookie su iOS 16.7; Class B, basata sull’exploit kit DarkSword e cinque vulnerabilità (CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520) per acquisire messaggi, credenziali e altri dati da iOS 18.5; e Class C, che sfruttava CVE-2026-3910 e CVE-2025-27038 per distribuire AndroSnitch su Android. Tutte le falle erano già corrette. Focalizzandoci su Apple, Il 30 ottobre l’azienda di Cupertino ha inviato nuove notifiche relative a possibili attacchi con spyware mercenario a utenti in 99 Paesi. In Germania, tra i destinatari figurano membri del Bundestag e del Governo federale, inclusi Franziska Brantner e Andreas Bovenschulte; tra quelli internazionali compare il giornalista libanese Radwan Mortada, già preso di mira con lo spyware Pegasus dell’israeliana NSO Group. Infine, spostandoci in Corea del Nord, il 29 ottobre Binance ha subito un furto di circa 6,3 miliardi di dollari in criptovalute su dieci blockchain, attribuito ufficialmente dall’FBI al gruppo state-sponsored Lazarus Group il 31 ottobre. L’operazione, preparata da giugno attraverso installer alterati, falsi colloqui di lavoro e compromissioni di endpoint DevOps, ha sfruttato anche uno strumento AI interno per ottenere accesso all’infrastruttura dei wallet. L’attaccante ha compromesso i processi di firma e utilizzato deleghe EIP-7702 su Ethereum per proseguire i trasferimenti dopo la sospensione dei prelievi. Circa 2,85–3 miliardi di dollari risultavano congelati o sequestrati, mentre Binance ha dichiarato di aver ricostituito il 95% degli asset interessati mediante risorse aziendali e il fondo SAFU, avviando il ripristino progressivo dei servizi.

Cybercrime: nuove campagne malevole, impiego dell’AI e operazioni ransomware

Nel primo semestre 2026 è stata individuata una compromissione attribuita a NetamLoader, framework malevolo .NET inedito che ha colpito un sistema asiatico con una versione di Windows 10 riservata a enti governativi. La catena sfrutta componenti legittimi di Patch My PC per eseguire payload XAML tramite AppDomainManager injection, aggirare AMSI ed ETW e distribuire in memoria il modulo .NET 2 Plugin, dotato di capacità di ricognizione, comunicazione C2 ed esecuzione di ulteriori payload. Il vettore iniziale rimane sconosciuto, sebbene sia ipotizzata una compromissione della supply chain software. Sul fronte dell’intelligenza artificiale, ricercatori di sicurezza hanno documentato l’impiego del framework open-source CyberStrikeAI contro organizzazioni del settore educativo in Africa e America Latina. Lo strumento, basato su un orchestratore LLM, ha automatizzato ricognizione, escalation dei privilegi, movimento laterale ed esfiltrazione di dati, consentendo la compromissione completa di domini Active Directory anche mediante l’impiego di Mimikatz, DCSync e Golden Ticket. Sempre in ambito AI, il 4 novembre le autorità indiane I4C e CERT-In hanno segnalato un’escalation delle operazioni di un avversario nominato CRAFTY FALCON contro fintech, società finanziarie, piattaforme di prestito digitale ed exchange di criptovalute. L’avversario utilizza framework quali ARTEX, PentAGI, Cairn e CyberStrikeAI per automatizzare intrusioni attraverso API esposte, vulnerabilità applicative e credenziali sottratte, compromettendo sistemi di produzione e servizi di pagamento. Le operazioni comprendono il furto di credenziali API bancarie, transazioni preliminari da una rupia e trasferimenti fraudolenti verso conti prestanome, oltre ad attacchi ripetuti contro organizzazioni sottoposte a bonifiche incomplete. Parallelamente, sono stati tracciati attacchi di LLMJacking contro infrastrutture cloud di organizzazioni finanziarie, tecnologiche, retail e dei trasporti in diverse regioni, con addebiti fraudolenti superiori a 100.000 dollari in un giorno e fino a un milione per alcune vittime. Le intrusioni sfruttano credenziali e token esposti, endpoint LLM accessibili e vulnerabilità come CVE-2026-40217 di LiteLLM, monetizzando le risorse attraverso chiamate massive alle API e piattaforme LLM Mixers, tra cui Jet Night, associata a oltre 500.000 richieste in meno di otto ore. Un ulteriore impiego criminale dell’AI è stato osservato in VOLTA (VOLTA-AUTODOXER), infostealer Windows che sottrae credenziali, cookie, token, dati di pagamento e informazioni sui wallet di criptovalute, arricchendoli tramite sessioni autenticate su Gmail, Discord e servizi commerciali. Il malware impiega Claude Opus 4.6, Kimi K2 e Gemini 2.5 Flash attraverso OpenRouter per produrre dossier e classificare le vittime in base al potenziale economico, esfiltrando i risultati tramite Telegram. Sul fronte delle botnet, il 2 novembre Google ha annunciato un’operazione con la National Police Agency giapponese contro XCPE, backdoor preinstallata nel firmware di oltre 1,3 milioni di set-top box Android. Secondo Google, il produttore cinese Videostrong Technology avrebbe integrato deliberatamente il malware per monetizzare i dispositivi attraverso proxy residenziali, frodi pubblicitarie e distribuzione di ulteriori payload. L’intervento ha disattivato l’infrastruttura C2, con effetti attesi sull’accesso ad almeno altri 10 milioni di dispositivi compromessi da malware affiliati, senza rimuovere automaticamente le infezioni. Oltre a ciò, è stata individuata la campagna Fake Download che distribuisce installer Inno Setup trojanizzati, presentati come software piratati e utility, per installare WorldProxyPool, CharityEngine, BOINC e componenti adware, sfruttando connettività e capacità computazionale dei sistemi Windows. In ambito supply chain, il 29 ottobre versioni manipolate dell’estensione anthropic.claude-code, distribuite per circa undici ore sul marketplace di Cursor, hanno introdotto codice malevolo finalizzato alla raccolta di informazioni e all’installazione di una backdoor SSH persistente. Cursor ha rimosso i pacchetti compromessi, mentre i sistemi Anthropic e il marketplace Microsoft Visual Studio non risultano coinvolti. Nei primi nove mesi del 2026, un gruppo cybercriminale russofono chiamato VasyGrek ha condotto oltre 100 tentativi di attacco contro organizzazioni in Russia, Bielorussia e Kazakistan attraverso spear phishing, backdoor Golang, PureRAT, PowerLoader e il ransomware Pay2Key. Il 2 novembre il Ministero dell’Interno russo ha annunciato lo smantellamento dell’infrastruttura del gruppo, con sequestri e misure restrittive contro tre presunti componenti, senza conferme di un’interruzione definitiva delle attività. Infine, nel panorama ransomware, il 29 ottobre Synology ha confermato attacchi contro NAS con versioni obsolete di DiskStation Manager, associati da analisi tecniche a Cerber (C3RB3R). Il produttore ha richiamato vulnerabilità dell’advisory Synology-SA-24:20, tra cui CVE-2024-10441, mentre un’analisi distinta ha indicato CVE-2026-13639 e CVE-2026-13684, come vettori iniziali. Non risultano confermati esfiltrazioni di dati, numero delle vittime o identità degli avversari. Infine, nell’ottobre 2026, un’organizzazione statunitense è stata presa di mira dal ransomware ANUBIS attraverso l’impiego della nuova backdoor Lindnor, rilevata su due server Microsoft SQL Server. Gli attaccanti hanno distribuito almeno 13 strumenti per disabilitare le soluzioni di sicurezza e cinque driver vulnerabili sfruttabili mediante la tecnica Bring Your Own Vulnerable Driver (BYOVD), oltre a installare AnyDesk e predisporne l’utilizzo in modalità provvisoria. Il ransomware, dotato anche di funzionalità wiper, è stato bloccato prima dell’esecuzione, senza evidenze di cifratura o esfiltrazione dei dati.

Weekly Threats Report è l’aggiornamento settimanale di Telsy con le principali novità sugli attacchi cyber e sui threat actor a livello globale, realizzato dal nostro team di Threat Intelligence & Response.

Il team è composto da analisti e ricercatori di sicurezza con competenze tecniche e investigative e un’esperienza riconosciuta in ambito internazionale.

Attraverso il monitoraggio costante di minacce cibernetiche ed eventi geopolitici, produce e fornisce alle organizzazioni informazioni utili per anticipare gli attacchi e comprenderne la portata, potendo contare su un partner affidabile in caso di incidente informatico.

Scopri di più sulla nostra soluzione di Cyber Threat Intelligence