Advisory di Threat Intelligence Italia

Cyber attack BRIEF

TLP:AMBER

StegoAd · estensioni browser malevole con steganografia

Campagna StegoAd: il gruppo, attivo almeno dal 2021, ha distribuito 119 estensioni malevole raggiungendo circa 2,6 milioni di utenti, soprattutto su Microsoft Edge e altri browser Chromium. Dal 2024, per 25 mesi, gli operatori hanno occultato il codice d'attacco dentro immagini e font tramite steganografia, eludendo i controlli tradizionali. Sui sistemi colpiti l'estensione consente esecuzione remota di comandi, furto di credenziali Google e token di sessione (accesso agli account anche con multi-factor authentication attiva, poiché il furto avviene dopo l'autenticazione legittima), acquisizione di credenziali amministrative WordPress ed esfiltrazione di cookie di sessione, con traffico in uscita mascherato attraverso Google Analytics. Fortgale ha avviato la verifica su tutta l'infrastruttura monitorata.

Cyber attack BRIEF

TLP:AMBER

FortiBleed · credenziali Fortinet esposte

Campagna FortiBleed: rischio concreto per le organizzazioni che espongono su Internet dispositivi Fortinet/FortiGate, in particolare servizi SSL-VPN o interfacce amministrative. Il threat actor ha condotto reconnaissance su larga scala per identificare le istanze Fortinet esposte; l'analisi dei file diffusi ha rilevato riscontri anche su asset e organizzazioni italiane, verosimilmente derivati da export di configurazione con credenziali, configurazioni SSL-VPN, policy firewall e indirizzamento interno. Credenziali SSL-VPN valide potrebbero consentire l'accesso iniziale alla rete interna e attività ostili quali movimento laterale, esfiltrazione dati o distribuzione malware. Verifiche in corso sull'infrastruttura monitorata.

Cyber attack ADVISORY

TLP:AMBER

Kali365 · phishing kit basato su OAuth Device Code Flow

Kali365: piattaforma Phishing-as-a-Service che abusa il flusso OAuth Device Code Flow di Microsoft, non un reverse proxy, per ottenere accesso persistente a Microsoft 365. Per 250 USD l'operatore invia email che impersonano servizi fidati (Adobe, DocuSign, SharePoint) con un codice e l'invito a visitare microsoft.com/devicelogin: la vittima completa l'autenticazione, MFA incluso, autorizzando di fatto un dispositivo controllato dall'attaccante. Il furto dei token di accesso e refresh avviene dopo l'autenticazione legittima, garantendo accesso persistente per settimane o mesi senza anomalie nei log di audit. Analisi Fortgale su 800 domini della campagna: 85,8% ospitati su Cloudflare Workers, TLD .de/.dev/.com oltre il 94% del campione. Le soluzioni MFA tradizionali (SMS, OTP, push) non sono efficaci contro questa classe di attacco: raccomandata la migrazione prioritaria a FIDO2/WebAuthn o Windows Hello for Business per gli utenti a rischio (C-level, Finance, HR, IT), insieme all'adozione di soluzioni ITDR per rilevare anomalie post-compromissione su token e movimento laterale. IoC già inseriti nel Fortgale Intelligence Feed. Approfondimento tecnico completo sul blog Fortgale.

Cyber attack ADVISORY

TLP:AMBER

GitHub · compromissione via estensioni VS Code

Compromissione che coinvolge estensioni VS Code malevole. GitHub non ha ancora rilasciato IoC né identificato pubblicamente le estensioni colpite. Raccomandato un inventario completo delle estensioni VS Code sui dispositivi aziendali e l'adozione del controllo enterprise nativo extensions.allowed (VS Code 1.96+), per autorizzare solo publisher ed estensioni approvati. Telemetria Fortgale sotto analisi.

Cyber attack BRIEF

TLP:AMBER

npm · attacco supply chain ecosistema @antv

Attacco soprannominato Mini Shai-Hulud contro l'ecosistema di pacchetti npm @antv e librerie correlate (es. echarts-for-react). Compromesso l'account di un maintainer, pubblicate versioni malevole con payload per il furto di credenziali: token GitHub, credenziali AWS, chiavi SSH, file kubeconfig e token SaaS, esfiltrati verso t.m-kosche[.]com. Coinvolte 639 versioni di 323 pacchetti. IoC inseriti nel Fortgale Intelligence Feed.

Cyber attack ADVISORY

TLP:GREEN

Campagna AI SEO Poisoning

Campagna di SEO Poisoning che sfrutta siti realizzati con intelligenza artificiale dove vengono pubblicizzati presunti tool di utilità basati su AI. Gli eseguibili scaricati compromettono il dispositivo con malware. Esempio di dominio malevolo: kitchen-canvas[.]com. Raccomandata cautela sui download da fonti non verificate e blocco dei domini segnalati.

Hardening ADVISORY

TLP:AMBER

PAN-OS · zero-day RCE sfruttato da attori state-sponsored

Zero-day (CVE-2026-0300) sfruttato attivamente nel servizio User-ID Authentication Portal (Captive Portal) di PAN-OS. Permette a un attaccante non autenticato l'esecuzione di codice (RCE) con privilegi root inviando pacchetti di rete malformati. Colpiti solo firewall PA-Series e VM-Series con Captive Portal configurato ed esposto a Internet/reti non fidate; Prisma Access, Cloud NGFW e Panorama non impattati. Update immediato alle versioni patchate e restrizione ACL sulle interfacce di management. IoC nei feed Fortgale.

Cyber attack ADVISORY

TLP:AMBER

Nuova campagna phishing · cattura hash NTLMv2

Campagna attiva in Italia ed Europa che sfrutta autenticazione forzata via protocolli legacy. Le mail trasmettono il Net-NTLMv2 hash a infrastruttura del threat actor anche senza interazione utente, basta la preview automatica del client email.

Hardening BRIEF

TLP:GREEN

Linux · escalation a root non autorizzata

PackageKit (versioni 1.0.2-1.3.4) contiene una vulnerabilità che permette a un utente locale non privilegiato di installare/rimuovere pacchetti senza autorizzazione, ottenendo accesso root completo. Update a 1.3.5 o patch distro.

Hardening ADVISORY

TLP:AMBER

Compromissione repository GitHub · Trivy

Tool open-source per vulnerability scanning in cloud/container/CI-CD compromesso via GitHub Actions. Indicazioni su pinning SHA, rotazione credenziali, monitoring connessioni outbound. IoC inclusi.

Hardening ADVISORY

TLP:AMBER

Interfacce Fortinet esposte sulla rete pubblica

Identificati tentativi falliti di accesso a interfacce di management Fortinet esposte direttamente su Internet. Nessun accesso non autorizzato rilevato, ma la superficie d'attacco è alta. Raccomandato isolamento via VPN/rete privata.

Cyber attack ADVISORY

TLP:AMBER

Notepad++ · compromissione da Lotus Blossom (CN)

Threat actor cinesi hanno sfruttato l'infrastruttura Notepad++ per attacchi mirati tra mag-dic 2025. Update a 8.9.1+, monitoraggio %AppData%\Bluetooth, review log WinGUp.exe. Telemetria Fortgale: nessun cliente compromesso.

Hardening BRIEF

TLP:GREEN

Microsoft Office · bypass funzioni sicurezza

CVSS 7.8, già in active exploitation. Validation insufficiente di input in security decision permette a un attaccante non autenticato di bypassare funzioni locali. Office 2016/2019/LTSC 2021/2024 e 365 Apps for Enterprise.

Cyber attack BRIEF

TLP:AMBER

PyPI · sympy-dev impersonifica SymPy

Package malevolo via typosquatting (~85M download/mese del legitimate). 4 versioni pubblicate gen 2026 contengono codice dentro routine polinomiali che scarica payload XMRig in-memory via memfd_create. >1000 download in 1 giorno.

Hardening BRIEF

TLP:GREEN

Net-NTLMv1 · pubblicazione rainbow tables

Pubblicate tabelle che facilitano enormemente l'attacco al protocollo. Recupero credenziali da hash con hardware consumer da 600 USD. Disabilitare ovunque, settare 'NTLMv2 only' via Group Policy, monitor Event ID 4624.

Hardening ADVISORY

TLP:AMBER

Azure AD · ROPC flow per bypass MFA

Resource Owner Password Credential flow permette di scambiare username+password direttamente per access token, bypassando MFA e Conditional Access. Pericoloso per Microsoft Graph/EWS/SharePoint API. Disabilitare via CA policy.

Cyber attack BRIEF

TLP:AMBER

NTLM exploited per attacchi attivi

Sfruttamento di tecniche di authentication coercion in ambienti enterprise con protocolli legacy ancora attivi. Raccomandazioni di hardening Active Directory e telemetria autenticazioni.

Hardening ADVISORY

TLP:GREEN

NTLMv1 · disabilitazione del protocollo

Guida operativa di Cyber Security e IT per disabilitare Net-NTLMv1 in Active Directory. Riduzione della barriera tecnica dopo pubblicazione delle rainbow tables Mandiant. Misure di enforcement + monitoring Event ID 4624.

Cyber attack ADVISORY

TLP:AMBER

Estensioni browser malevoli · accesso a sistemi e dati

Diverse campagne sfruttano estensioni Chrome/Edge/Firefox/Opera per accedere a sistemi e dati delle vittime. Audit estensioni installate, allow-list centralizzate via GPO/MDM, separazione browser business/personale.

Cyber attack ADVISORY

TLP:AMBER

Microsoft 365 · password spraying recon Italia

Campagne di reconnaissance attive contro tenant M365 italiani con tecniche di password spraying. Hardening tenant, blocco autenticazioni legacy, monitoring conditional access bypass.

Hardening ADVISORY

TLP:GREEN

React/Next.js · RCE in Server Components

CVE-2025-55182, CVSS 10.0, denominata 'React2Shell'. Permette esecuzione di codice arbitrario remoto su server. Colpisce app React con RSC/Next.js Server Functions ('use server' directive). Patch immediata richiesta.

Cyber attack ADVISORY

TLP:AMBER

Code formatter online · esposizione credenziali

Threat actor sfruttano dati condivisi inavvertitamente su jsonformatter.org, codebeautify.org, ecc., credenziali, AWS keys, source code. Compromissioni osservate poche ore dopo la pubblicazione. Block proxy aziendale.

Breach ADVISORY

TLP:AMBER

F5 BREACH · impatti business e supply chain

F5 Networks ha annunciato (15 ott 2025) accesso non autorizzato di nation-state actor con esfiltrazione di porzioni source code BIG-IP, documentazione su vulnerabilità in remediation, dati di configurazione di clienti.

Hardening ADVISORY

TLP:RED

Microsoft Entra ID · accesso non rilevato (CVSS 10)

CVE-2025-55241 permetteva accesso a qualsiasi tenant M365 enterprise impersonificando qualunque utente, incluso Global Admin. Migrazione da Azure AD Graph (deprecato) a Microsoft Graph, review service principals/OAuth, PIM/JIT.

Cyber attack ADVISORY

TLP:AMBER

Salesforce · campagne mirate di furto dati

Campagne attive contro tenant Salesforce con obiettivo dati strategici. Misure: training vishing/social engineering, MFA phishing-resistant, principio least privilege, monitoring API e connected apps di terze parti.

Cyber attack ADVISORY

TLP:AMBER

Pacchetti NPM compromessi · alert per developer

18 pacchetti NPM popolari compromessi (chalk, debug, ansi-styles, color-convert, supports-color, ecc.). Verifica dipendenze interne, build/deployment log, blocco release sospette. Update a versioni sicure.

Cyber attack ADVISORY

TLP:RED

Banca Sella Sanremo · attacco ibrido KVM-over-IP

Tentativo di frode contro filiale Banca Sella nel weekend 23-24 ago 2025: componente fisica (porte sigillate per ritardare ingresso personale) + installazione di KVM-over-IP per controllo remoto di un PC aziendale. Bonifici fraudolenti tutti bloccati.

Cyber attack ADVISORY

TLP:AMBER

Malware Backdoor distribuito tramite fake PDF Editor

Campagna malevola che distribuisce backdoor tramite siti di download di finti PDF editor. C2 domain (5b7crp[.]com, 9mdp5f[.]com) inseriti nel Fortgale Intelligence Feed. Verifiche su sistemi monitorati in corso.

Cyber attack ADVISORY

TLP:AMBER

ClickFix · campagne distribuiscono Rhadamanthys Infostealer

Campagne ClickFix in attivo che inducono utenti a eseguire comandi PowerShell malevoli mascherati da verifica anti-bot. IoC: 45.221.64[.]224, pub-dce4815fde8f4b84a55fe31ab7cf28c3[.]r2[.]dev. Già nel Fortgale Intelligence Feed.

Hardening ADVISORY

TLP:GREEN

Scattered Spider · come cambia il rischio post arresti

Dopo lo smantellamento parziale del gruppo, altri threat actor adottano TTP simili. Hardening: separazione admin hypervisor (vCenter/ESXi) da AD, MFA multi-canale per password reset, monitoring AnyDesk/Teleport, log centralizzato vSphere su SIEM.

Cyber attack ADVISORY

TLP:AMBER

Phishing · finti OneDrive ai dirigenti italiani/europei

Email che simulano comunicazioni Microsoft con tema 'salary amendment' o 'pending payments' contro top-level executive. Redirect a finte pagine login Microsoft create con kit RaccoonO365, ruba credenziali e session cookie, bypassa MFA.

Cyber attack ADVISORY

TLP:AMBER

Attacchi mirati a CFO e dirigenti aziendali europei

Phishing mirato a CFO e dirigenti finanziari di aziende europee (banking/insurance/energy). Threat actor usano social engineering avanzato, impersonando società di consulenza prestigiose con offerte di lavoro executive esclusive.

Cyber attack ADVISORY

TLP:AMBER

SEO Poisoning · Lumma Stealer via domini fraudolenti

Campagna che distribuisce Lumma Stealer attraverso domini fraudolenti che mimano pagine di download di software legittimo. Variazioni nei nomi (es. prefissi 'v2-'). Block dei domini SEO Poisoning + C2 nel report Fortgale.

Hardening ADVISORY

TLP:GREEN

Scanning coordinato · Palo Alto GlobalProtect

Aumento di attività di scanning massivo contro PAN-OS GlobalProtect. Limitare accesso via VPN esterna/IP whitelisting, considerare ZTNA per non esporre portali critici a Internet, audit periodico della superficie esposta.

Cyber attack ADVISORY

TLP:AMBER

China Chopper · gruppo Weaver Ant (CN) e tunneling avanzato

Campagna sofisticata attribuita al gruppo cinese 'Weaver Ant' che usa la web shell China Chopper. Limitare privilegi service account, ACL traffic web→interno, EDR/XDR per detection web shell, hardening WAF con regole per HTTP request anomali.

Hardening BRIEF

TLP:GREEN

Apache Tomcat · CVE-2025-24813 sfruttata attivamente

Vulnerabilità in Apache Tomcat sfruttata attivamente nel mese di marzo 2025. Patch immediata richiesta su tutte le installazioni Tomcat esposte, monitoraggio request anomale via WAF.

Cyber attack ADVISORY

TLP:AMBER

Medusa Ransomware · gruppo criminale in forte ascesa

RaaS attivo dal 2021, oltre 300 organizzazioni colpite (sanità, istruzione, legale, manifatturiero). Doppia estorsione, phishing + sfruttamento vulnerabilità, lateral movement con strumenti legittimi. Casi Italia: marittimo, manifatturiero, consulenza.

Cyber attack ADVISORY

TLP:AMBER

Password Spraying contro account Microsoft 365

Campagna di brute force tipo password spraying contro tenant Office 365 italiani. Hardening conditional access, blocco autenticazioni legacy, monitoring account lockout patterns.

Cyber attack ADVISORY

TLP:AMBER

Device Code Phishing · Storm-2372, APT29 e UTA0304/0307

Attacchi sofisticati di gruppi russi (Storm-2372, CozyLarch/APT29) contro governi, ONG e aziende. Tecnica 'Device Code Authentication phishing' che inganna le vittime sfruttando flussi di autenticazione legittimi, difficile rilevamento.

Breach ADVISORY

TLP:RED

SAP retail Italia compromesso · vendita nel darkweb

Sistema SAP di un'importante azienda retail italiana compromesso. Threat actor mette in vendita su Black Market accesso al sistema con oltre 1M record clienti (nomi, email, telefoni, indirizzi, payment details).

Hardening ADVISORY

TLP:GREEN

Relazione annuale sicurezza informazione 2025

Panorama geopolitico e tensioni multiple hanno influenzato significativamente lo spazio cyber. Threat actor sfruttano cyberspace per obiettivi strategici grazie a neutralità territoriale, anonimato spaziale e capacità di occultamento.

Breach ADVISORY

TLP:RED

15.000 FortiGate · credenziali pubblicate online

Pubblicati su darkweb dati di oltre 15.000 dispositivi FortiGate (configurazioni, IP, credenziali VPN, chiavi private, regole firewall) di ottobre 2022, sfruttando CVE-2022-40684. Dati di numerose infrastrutture italiane. Attribuzione: gruppo 'Belsen'.

Cyber attack ADVISORY

TLP:AMBER

35 estensioni Chrome compromesse via OAuth phishing

Phishing contro developer Chrome Web Store ha compromesso almeno 35 estensioni (~2.6M utenti). Catena malevola OAuth tramite finta 'Privacy Policy Extension', bypass MFA. Codice malevolo (worker.js, content.js) per furto Facebook Business accounts.

Cyber attack ADVISORY

TLP:AMBER

Vidar · PEC italiane compromesse + offuscamento avanzato

Nuova campagna Vidar (gen 2025): caselle PEC italiane compromesse, Domain Generation Algorithm + path randomizzati, offuscamento JavaScript con XOR, rotazione IP/domini ogni 2-3 minuti. Difficile detection automatico.

Cyber attack ADVISORY

TLP:AMBER

Tycoon 2FA · Phishing-as-a-Service contro 2FA

Piattaforma PhaaS sofisticata progettata per bypass 2FA. Template Outlook customizzabili, automazione, infrastruttura modulare con redirect/obfuscation. Subdomain dinamici, AES + Base64 per nascondere payload. Fortgale ha pubblicato firma di threat hunting.

Cyber attack BRIEF

TLP:AMBER

LummApp · OBS sfruttato per infostealing avanzato

Variante LummApp che abusa OBS Studio per attività di infostealing. Tecniche di mascheramento per evitare detection. IoC nei feed Fortgale.

Cyber attack ADVISORY

TLP:AMBER

Fake CAPTCHA · campagna malvertising per Lumma

Campagna massiva di malvertising via fake CAPTCHA pages: 1M ad impressions/giorno da 3000+ siti publisher. Abusa Monetag (PropellerAds) e BeMob per cloaking. Inganna utenti a eseguire PowerShell sotto pretesto di verifica anti-bot.

Cyber attack ADVISORY

TLP:AMBER

Vidar · campagna PEC dicembre 2024

Vidar colpisce ancora il 17 dic 2024 via PEC italiane compromesse. Email come solleciti di pagamento, link che scarica Fattura.js. 133 domini di secondo livello con percorsi randomizzati. Cambio tempistica: martedì mattina invece del weekend.

Cyber attack ADVISORY

TLP:AMBER

Chinese APT · 'Operation Digital Eye' via VS Code Remote Tunnel

Cyberespionage cinese contro aziende europee (giu-lug 2024) sfruttando SQL injection per access iniziale, webshell PHPsert per persistence, abuso di Visual Studio Code Remote Tunnel + eseguibili Microsoft-signed + Azure per C2.

Hardening ADVISORY

TLP:AMBER

BootExecute · EDR Bypass tecnica osservata

Vulnerabilità logica Windows: applicazioni native eseguite prima dell'inizializzazione completa del SO permettono di rimuovere qualsiasi software EDR/Antivirus bypassando anti-tampering (T1562.001). Fortgale ha pubblicato regole di Threat Hunting specifiche.

Cyber attack ADVISORY

TLP:AMBER

WARMCOOKIE Backdoor · minaccia emergente

Backdoor WARMCOOKIE in espansione, IoC monitorati via Shodan (header hash, html hash specifici). Fortgale tracking attivo, indicatori inseriti nei feed.

Breach ADVISORY

TLP:RED

FortiGate compromessi · COATHANGER (CN) novembre 2024

Campagna di compromissione FortiGate segnalata da ACN. Malware COATHANGER instaura persistence via reverse shell BusyBox, sopravvive a reboot e firmware update. Sfrutta CVE-2022-42475. Attribuzione: threat actor cinesi.

Cyber attack BRIEF

TLP:AMBER

Agent Tesla · nuova campagna in Italia

Resurgence di AgentTesla con loader funzionale, AES encryption avanzata e memory-only execution. Email titolo: 'Vietnam Da Nang Buy Order &C248SH12'. IoC nei Fortgale Intelligence Feed.

Cyber attack BRIEF

TLP:AMBER

Lumma Stealer · espansione infrastruttura C2

Lumma Stealer espande l'infrastruttura con domini nuovi (TLD .shop) per esfiltrazione. Pattern dominio: prefisso 'lum' + random string. Tutti con stesso titolo russo (poesia di Esenin). Fortgale traccia decine di questi domini.

Breach ADVISORY

TLP:AMBER

Ransomware Argonauts · Zacros Corporation (JP)

Il 28 nov 2024 il gruppo ransomware 'Argonauts' annuncia compromissione di ZACROS (ex Fujimori Kogyo, JP). Esfiltrati 140GB+ di dati sensibili (utenti, password, business records, dati produzione, financial). Vendita attiva dei dati.

Cyber attack ADVISORY

TLP:AMBER

Phishing finanziario · Google Docs + Weebly

Campagna identificata fine ott 2024 contro telco e finanza. Google Docs per delivery del phishing link → fake login pages su Weebly. Sentry.io e Datadog per metriche. Lure AT&T tematizzate, banking US/CA. Fake MFA prompt.

Cyber attack ADVISORY

TLP:AMBER

APT-K-47 · Asyncshell-v4 in attacchi multi-paese

Mysterious Elephant (APT-K-47) usa CHM file per eseguire payload di Asyncshell (v4). Base64 variant per string hiding, C2 disguised, log ridotti. Targeting: Pakistan, Bangladesh, Turchia con decoy gov/religious.

Cyber attack ADVISORY

TLP:AMBER

JinxLoader → Astolfo Loader · evoluzione malware

JinxLoader (Go-based, distribuito via phishing) evoluto in Astolfo Loader (C++, performance migliorata, file più piccolo). MaaS, anti-analisi e geolocation check prima del C2. Diffusione su Hack Forums.

Cyber attack ADVISORY

TLP:AMBER

TAG-110 · minaccia russa in espansione in Europa

Threat actor russo TAG-110 estende la sua attività cyber contro target europei. Tracking Fortgale attivo.

Breach ADVISORY

TLP:AMBER

IncRansomGroup · PBS Aerospace (US)

Il 20 nov 2024 IncRansomware annuncia compromissione di PBS Aerospace (Atlanta, USA, turbine per UAV/drone, EASA-certified). Esfiltrazione dichiarata 2TB con CAD files, documenti interni. Gruppo INC Ransom attivo da ago 2023, ~200 vittime.

Cyber attack ADVISORY

TLP:AMBER

Phishing su GitHub Pages · credenziali via Telegram

Campagna identificata da CERT-AGID che sfrutta GitHub Pages per ospitare false pagine login (WeTransfer, cPanel). Credenziali rubate inviate via API Telegram a bot controllato dagli attaccanti. Spoofing visivo + abuse domain legittimo.

Cyber attack ADVISORY

TLP:RED

INPS · smishing per furto documenti d'identità

Campagna smishing che impersona INPS in Italia: SMS con link fraudolenti che richiedono aggiornamento dati personali pena sospensione benefici. Furto: documento d'identità (fronte/retro), selfie con documento. Tracking IoC nei feed Fortgale.

Cyber attack ADVISORY

TLP:AMBER

Vidar · diversificazione domini novembre 2024

Vidar usa 100+ domini distinti per ~1000 sottodomini per distribuire VBS files. PowerShell loader, attivazione URL ritardata (lunedì mattina). 11 IP C2 identificati con pivoting Fortgale.

Cyber attack ADVISORY

TLP:RED

BrazenBamboo (CN) · zero-day FortiClient via DEEPDATA

Threat actor cinese BrazenBamboo sfrutta zero-day in FortiClient Windows VPN tramite DEEPDATA per estrarre credenziali VPN dalla memoria del processo. Multi-platform: WeChat/Skype/Telegram/Signal, browser data, Outlook contacts.

Cyber attack ADVISORY

TLP:AMBER

Glove Stealer · bypass Chrome App-Bound Encryption

Infostealer .NET che bypassa App-Bound Encryption di Chrome via IElevator. Target: browser, crypto wallet, 2FA authenticator, password manager, email client. Distribuzione: phishing con HTML 'ClickFix'. C2: master.hdsjfkgsadoghdsiougds[.]space, master.volt-texs[.]online.

Cyber attack ADVISORY

TLP:AMBER

Fake Google Meet · ClickFix delivery infostealer

Threat actor usano fake Google Meet pages nella campagna ClickFix. Win → StealC + Rhadamanthys. Mac → Atomic stealer. Espansione a impersonate Facebook, Chrome, reCAPTCHA. Gruppi: Slavic Nation Empire, Scamquerteo. Migliaia di domini tracciati Fortgale.

Hardening ADVISORY

TLP:RED

Palo Alto · firewall management interface RCE

PAN-SA-2024-0015: vulnerabilità RCE non autenticata in interfacce di management Palo Alto NGFW esposte a Internet (CVSS 4.0: 9.3). Già exploitata in attacchi reali. Non colpisce Prisma Access/Cloud NGFW. Isolare interface da Internet.

Cyber attack ADVISORY

TLP:AMBER

SilkSpecter (CN) · phishing Black Friday e-commerce

Phishing cinese SilkSpecter contro e-commerce shopper Black Friday 2024 (US/EU). Abuso di Stripe API per transazioni reali con esfiltrazione CHD/SAD. Localizzazione dinamica via Google Translate. 4000+ domini, 89 IP. SaaS oemapps cinese.

Cyber attack ADVISORY

TLP:RED

CVE-2024-43451 · NTLM 0day per Spark RAT (UAC-0194)

Threat actor russo UAC-0194 sfrutta zero-day NTLM (CVSS 6.5) per furto NTLMv2 hash con interazione minima (right-click, drag). Phishing email da gov ucraino compromesso → ZIP con .url malevolo → Spark RAT (open-source, persistence). Patch Microsoft disponibile.

Cyber attack ADVISORY

TLP:AMBER

Charming Kitten (IR) · 'Dream Job' contro aerospace

TA455/Charming Kitten (APT35) lancia 'Dream Job' contro settori aerospace/defence con malware SnailResin via LinkedIn message + spear-phishing email. Lure: finte offerte di lavoro per ottenere accesso, esfiltrare dati e remote control.

Cyber attack ADVISORY

TLP:AMBER

DocuSign · phishing in Italia con HTML attachment

Phishing contro utenti italiani di DocuSign: email con allegato HTML che apre finta pagina login. JavaScript intercetta credenziali e le invia via API Telegram bot. Pattern semplice ma efficace, bypassa molti filtri email.

Cyber attack ADVISORY

TLP:AMBER

Formbook · campagna attiva contro utenti italiani

Email italiane con titoli 'Ultimo sollecito per il pagamento di fattura scaduta' e archivio 7Z con VBS che decodifica payload Base64 → loader .NET con TripleDES (mascherato come AES) → Formbook. Funzioni: keylog, clipboard, screenshot, credential.

Cyber attack ADVISORY

TLP:AMBER

Vidar · campagna PEC novembre 11 con VBS payload

Vidar continua a sfruttare PEC italiane compromesse, passa da JavaScript a VBS payload per evadere detection. URL aggiornati per estendere durata campagna. Adattamento continuo agli sistemi difensivi.

Cyber attack ADVISORY

TLP:AMBER

VEILDrive · sfruttamento servizi Microsoft per C2

Operazione (origine russa, ago 2024+) che usa Teams, SharePoint, Quick Assist e OneDrive come C2. Java .jar non offuscato bypassa EDR e VirusTotal. Microsoft Graph API per gestire ODC2 via file su OneDrive nominati per UUID device. US critical infrastructure.

Cyber attack ADVISORY

TLP:RED

ToxicPanda · banking trojan Android in Italia

Nuovo Android banking trojan (ott 2024) targeting Italia (>50%), Portogallo, Spagna + LATAM. RAT che sfrutta Android Accessibility per ODF, intercetta OTP, bypassa 2FA PSD2. C2: dksu.top, mixcom.one, freebasic.cn. Threat actor cinesi.

Breach ADVISORY

TLP:RED

SIAED.it · data breach via ransomware (dopo RansomHub)

5 nov 2024 nuovo data breach annunciato su Telegram contro SIAED.it (BPR italiano). Già vittima di RansomHub (mag 2024) con 1.6TB esfiltrati. Possibili impatti su clienti SIAED nei settori finance/PA. Threat actor non affiliato a RansomHub.

Cyber attack ADVISORY

TLP:AMBER

BlackBasta · analisi infrastruttura Cobalt Strike

Analisi Fortgale su 12.000 configurazioni Cobalt Strike trackate, 52.000+ indicatori. 126 IP unici associati a BlackBasta. Resurgence fine settembre/inizio ottobre. Italia colpita (manifatturiero, finanza). Dominio Eastern Europe.

Breach ADVISORY

TLP:AMBER

Snowflake · arresto del presunto hacker 'Judische'

Alexander 'Connor' Moucka arrestato in Canada (30 ott 2024) per breach Snowflake. UNC5537 ha colpito 165+ org via credential reuse da infostealer (credenziali dal 2020). Vittime: AT&T, Santander, Ticketmaster. Estorsione + vendita su forum.

Breach ADVISORY

TLP:AMBER

RAWorld · ransomware contro Bullonerie Galvit (IT)

31 ott 2024 RAWorld colpisce Bullonerie Galvit (retail distribution, Italia). Multi-stage attack: server vulnerabili → loader PowerShell → privilege escalation via GPO → encryption + double extortion. Anti-detection via Safe Mode, lateral movement Impacket.

Hardening BRIEF

TLP:RED

FortiManager · CVE-2024-47575 sfruttata attivamente

Vulnerabilità critica nel prodotto Fortinet FortiManager attivamente sfruttata. Patch immediata richiesta su tutte le installazioni FortiManager.

Breach ADVISORY

TLP:AMBER

BlackSuit · ransomware contro Aerotecnic (ES)

23 ott 2024 BlackSuit annuncia compromissione di Aerotecnic (Siviglia, ES, aerospace, fornitore Airbus/Boeing/Aciturri/Aernnova/Embraer). Esfiltrazione dichiarata 800GB+ (utenti, business records, employee, dati produzione, financial).

Hardening BRIEF

TLP:RED

Veeam Backup & Replication · CVE-2024-40711

Vulnerabilità critica RCE non autenticata in Veeam VBR (build ≤12.1.2.172). Sfruttata via /trigger su porta 8000 per creare admin rogue, deploy Fog/Akira ransomware. Permette accesso completo a backup environment. Patched set 2024.

Breach ADVISORY

TLP:RED

Noovle (TIM) · evidenze di compromissione

Indagini sul caso Ministero della Giustizia rivelano due account Noovle (TIM Group) tra quelli compromessi dal threat actor. Possibile sfruttamento per lateral movement nelle infrastrutture aziendali collegate.

Hardening BRIEF

TLP:RED

Fortinet · CVE-2024-23113 ora exploitata (CVSS 9.8)

CISA aggiunge a KEV. Vulnerabilità Fortinet (FortiOS, FortiPAM, FortiProxy, FortiWeb) permette RCE non autenticato via richieste appositamente costruite. Patch immediata richiesta.

Breach ADVISORY

TLP:AMBER

Database 450k clienti banca italiana in vendita

Il 10 ott 2024 threat actor mette in vendita su forum darkweb database con 450.000 record di clienti di banca italiana non identificata: nomi, email, telefoni, indirizzi, importi investimento. Rischio phishing mirato, frodi, furto identità.

Cyber attack ADVISORY

TLP:AMBER

Maritime transport · campagne malware mirate

Settembre 2024: campagna mirata contro shipping/logistica marittima. Threat actor usano account email compromessi di società shipping legittime per iniettare contenuto malevolo in conversazioni email in corso. Difficile riconoscimento.

Cyber attack ADVISORY

TLP:AMBER

Aerospace · cyberespionage via WhatsApp + email

Campagna cyberespionage iraniana (Charming Kitten) contro settore aerospace europeo via WhatsApp + email mirate con offerte di lavoro fasulle (Dream Job pattern).

Cyber attack ADVISORY

TLP:AMBER

Insurance/Finance · 'Supercar' Phishing Kit per M365

Nuova infrastruttura phishing che prende di mira aziende italiane finance/insurance via Supercar Phishing Kit per Microsoft 365. Report originale Fortgale: blog.fortgale.com.

Cyber attack ADVISORY

TLP:AMBER

Aerospace/Satelliti europei · nuova minaccia mirata

Advisory di Intelligence per aziende europee del settore aerospace/satelliti sulla mitigazione di nuove minacce informatiche mirate.

Cyber attack ADVISORY

TLP:GREEN

CrowdStrike BSOD · domini sospetti post-incidente

Dopo l'incidente BSOD CrowdStrike, aumento significativo di domini nuovi registrati contenenti il termine 'CrowdStrike'. Rischi di phishing/impersonation. Block raccomandato per prevenire abuse del marchio.

Hardening ADVISORY

TLP:RED

Microsoft Outlook · zero-click RCE CVE-2024-38021

Nuova vulnerabilità zero-click RCE in Microsoft Outlook. Sfruttabile senza interazione utente. Rischio severo: data breach, accesso non autorizzato, particolarmente critico per email da mittenti trusted.

I nostri Advisory di Threat Intelligence.

StegoAd · estensioni browser malevole con steganografia

FortiBleed · credenziali Fortinet esposte

Kali365 · phishing kit basato su OAuth Device Code Flow

GitHub · compromissione via estensioni VS Code

npm · attacco supply chain ecosistema @antv

Campagna AI SEO Poisoning

PAN-OS · zero-day RCE sfruttato da attori state-sponsored

Nuova campagna phishing · cattura hash NTLMv2

Linux · escalation a root non autorizzata

Compromissione repository GitHub · Trivy

Interfacce Fortinet esposte sulla rete pubblica

Notepad++ · compromissione da Lotus Blossom (CN)

Microsoft Office · bypass funzioni sicurezza

PyPI · sympy-dev impersonifica SymPy

Net-NTLMv1 · pubblicazione rainbow tables

Azure AD · ROPC flow per bypass MFA

NTLM exploited per attacchi attivi

NTLMv1 · disabilitazione del protocollo

Estensioni browser malevoli · accesso a sistemi e dati

Microsoft 365 · password spraying recon Italia

React/Next.js · RCE in Server Components

Code formatter online · esposizione credenziali

F5 BREACH · impatti business e supply chain

Microsoft Entra ID · accesso non rilevato (CVSS 10)

Salesforce · campagne mirate di furto dati

Pacchetti NPM compromessi · alert per developer

Banca Sella Sanremo · attacco ibrido KVM-over-IP

Malware Backdoor distribuito tramite fake PDF Editor

ClickFix · campagne distribuiscono Rhadamanthys Infostealer

Scattered Spider · come cambia il rischio post arresti

Phishing · finti OneDrive ai dirigenti italiani/europei

Attacchi mirati a CFO e dirigenti aziendali europei

SEO Poisoning · Lumma Stealer via domini fraudolenti

Scanning coordinato · Palo Alto GlobalProtect

China Chopper · gruppo Weaver Ant (CN) e tunneling avanzato

Apache Tomcat · CVE-2025-24813 sfruttata attivamente

Medusa Ransomware · gruppo criminale in forte ascesa

Password Spraying contro account Microsoft 365

Device Code Phishing · Storm-2372, APT29 e UTA0304/0307

SAP retail Italia compromesso · vendita nel darkweb

Relazione annuale sicurezza informazione 2025

15.000 FortiGate · credenziali pubblicate online

35 estensioni Chrome compromesse via OAuth phishing

Vidar · PEC italiane compromesse + offuscamento avanzato

Tycoon 2FA · Phishing-as-a-Service contro 2FA

LummApp · OBS sfruttato per infostealing avanzato

Fake CAPTCHA · campagna malvertising per Lumma

Vidar · campagna PEC dicembre 2024

Chinese APT · 'Operation Digital Eye' via VS Code Remote Tunnel

BootExecute · EDR Bypass tecnica osservata

WARMCOOKIE Backdoor · minaccia emergente

FortiGate compromessi · COATHANGER (CN) novembre 2024

Agent Tesla · nuova campagna in Italia

Lumma Stealer · espansione infrastruttura C2

Ransomware Argonauts · Zacros Corporation (JP)

Phishing finanziario · Google Docs + Weebly

APT-K-47 · Asyncshell-v4 in attacchi multi-paese

JinxLoader → Astolfo Loader · evoluzione malware

TAG-110 · minaccia russa in espansione in Europa

IncRansomGroup · PBS Aerospace (US)

Phishing su GitHub Pages · credenziali via Telegram

INPS · smishing per furto documenti d'identità

Vidar · diversificazione domini novembre 2024

BrazenBamboo (CN) · zero-day FortiClient via DEEPDATA

Glove Stealer · bypass Chrome App-Bound Encryption

Fake Google Meet · ClickFix delivery infostealer

Palo Alto · firewall management interface RCE

SilkSpecter (CN) · phishing Black Friday e-commerce

CVE-2024-43451 · NTLM 0day per Spark RAT (UAC-0194)

Charming Kitten (IR) · 'Dream Job' contro aerospace

DocuSign · phishing in Italia con HTML attachment

Formbook · campagna attiva contro utenti italiani

Vidar · campagna PEC novembre 11 con VBS payload

VEILDrive · sfruttamento servizi Microsoft per C2

ToxicPanda · banking trojan Android in Italia

SIAED.it · data breach via ransomware (dopo RansomHub)

BlackBasta · analisi infrastruttura Cobalt Strike

Snowflake · arresto del presunto hacker 'Judische'

RAWorld · ransomware contro Bullonerie Galvit (IT)