redmount.xyz

Il 10 agosto 2025 è stata resa pubblica la vulnerabilità CVE-2025-8088 di WinRAR, una falla di tipo directory traversal già sfruttata in attacchi mirati da RomCom, gruppo hacker legato alla Russia e noto per operazioni di cyber-spionaggio ed estorsione. Il problema risiede nella gestione dei percorsi all’interno di archivi compressi: un file RAR malevolo può includere riferimenti a directory specifiche del sistema, forzando WinRAR a estrarre file in percorsi diversi da quelli scelti dall’utente. In particolare, è possibile copiare eseguibili nelle cartelle di avvio automatico di Windows, come %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup o %ProgramData%\Microsoft\Windows\Start Menu\Programs\StartUp. Alla successiva accensione del PC, il malware viene avviato in automatico, ottenendo così persistenza sul sistema e potenzialmente consentendo il controllo remoto. Gli attacchi osservati sono stati condotti tramite campagne di spear-phishing: le vittime ricevevano email contenenti...

Da tempo ormai i gruppi ransomware evolvono le loro tattiche oltre al semplice cifraggio dei file, ma l’attacco del cosiddetto Akira ransomware rappresenta un salto di qualità in termini di elusione della difesa: il malware, infatti, abusa di un driver legittimo di Intel, quello usato da ThrottleStop (rwdrv.sys), per elevarsi a livello kernel e poi installare un secondo driver malevolo (hlpdrv.sys), che modifica la chiave di registro DisableAntiSpyware di Windows Defender tramite regedit.exe, disattivando ogni protezione senza alcun avviso. Ma cosa fa concretamente oltre a spegnere Defender? Questa azione è solo l’inizio di un attacco orchestrato: in diversi incidenti legati ad Akira, rilevati da GuidePoint Security a partire dal 15 luglio 2025, si evidenzia un vero e proprio percorso criminale. Innanzitutto, gli attaccanti ottengono l’accesso sfruttando potenzialmente vulnerabilità zero‑day in dispositivi SonicWall SSL‑VPN o metodologie di credential stuffing, brute force o phishing m...

Nel corso del conflitto informatico in corso tra Ucraina e attori antagonisti statali, il gruppo noto come UAC‑0099 è tornato alla ribalta con una campagna di cyber‑spionaggio aggiornata e ampliata che vede le sue vittime principali costituite da enti governativi ucraini, organizzazioni di difesa, media ed aziende collegate al complesso industriale della difesa, con attacchi mirati realizzati mediante email di phishing sofisticate che sorprendono l’utente attraverso l’uso di lenti accorgimenti come link abbreviati o archivi doppi (double‑zip) contenenti file HTA o shortcut LNK con estensioni camuffate per ingannare l’esecuzione. Secondo CERT‑UA, l’allerta rilasciata il 6 agosto 2025 descrive un’operazione in cui le email inviate da indirizzi tipo ukr.net reclamano una "convocazione in tribunale" e contengono un link abbreviato (tipicamente tramite Cuttly) che punta a un archivio estratto due volte contenente un file HTA; l’user apre il file HTA, che contiene un VBScript offus...

Negli ultimi anni, l'evoluzione delle minacce ransomware ha seguito una traiettoria prevedibile quanto allarmante: da attacchi opportunistici a colpi chirurgici, mirati, capaci di bloccare intere infrastrutture critiche in pochi minuti. A questa corsa all’armamento offensivo non è seguita un’adeguata accelerazione sul fronte della difesa in tempo reale, perché identificare un attacco ransomware nel momento esatto in cui si innesca, e fermarlo prima che abbia criptato anche solo un decimo dei dati, è ancora un’impresa per pochi. Il lavoro presentato nel paper "ranDecepter: Real-time Identification and Deterrence of Ransomware Attacks", pubblicato il 1° agosto 2025 su arXiv, propone un approccio tecnico concreto e, soprattutto, scalabile, per affrontare questo problema alla radice: riconoscere l’attacco mentre è in atto e rispondere con una deterrenza immediata, attiva, ma non distruttiva. La logica di ranDecepter si distanzia dai soliti sistemi di detection ex post, che no...

Negli ultimi anni si è diffusa la voce secondo cui sarebbe possibile subire un furto semplicemente passando accanto a un malintenzionato dotato di POS portatile contactless. Il principio sembra semplice: un terminale NFC viene avvicinato alla tasca o alla borsa della vittima e, grazie alla tecnologia contactless, sottrae una somma di denaro senza bisogno di autorizzazioni visibili. Ma la realtà tecnica di questo scenario è più complessa, e merita un'analisi approfondita. Il protocollo EMV utilizzato dalle carte contactless integra meccanismi di sicurezza robusti basati su crittografia a chiave pubblica. Ogni transazione genera un cryptogram unico, firmato digitalmente, che rende l'operazione non riutilizzabile e impedisce efficacemente attacchi di replay. In modalità legittima, una transazione contactless prevede l’inserimento di un importo sul terminale, l’attivazione per un breve intervallo (tipicamente inferiore ai 30 secondi), e la comunicazione tra carta e POS a pochi cent...

Nel corso del 2025, gli SVG stanno rapidamente diventando uno dei formati più sfruttati per veicolare attacchi di phishing e malware in modo furtivo e sempre più sofisticato. Tradizionalmente percepiti come semplici immagini vettoriali, gli SVG — in quanto basati su XML — possono contenere script, redirect, codice JavaScript e collegamenti dinamici, sfruttando le stesse capacità che li rendono potenti strumenti di grafica. È proprio questa flessibilità a renderli oggi una vera e propria tela per l’attaccante. I gruppi criminali informatici hanno iniziato a includere allegati .svg nei messaggi email al fine di eludere i controlli antispam tradizionali. Il contenuto di questi file viene spesso offuscato usando encoding Base64 o rappresentazioni esadecimali, combinati con tecniche di evasione DOM come MutationObserver, setTimeout, eval e document.write. Alcuni SVG si presentano all’apparenza come semplici loghi o icone, ma una volta aperti nel browser — anche con un clic accidentale da we...

L'attacco che ha colpito Microsoft SharePoint nel luglio 2025 rappresenta uno degli episodi più rilevanti dell'anno nel panorama della sicurezza informatica. Come spesso accade, tutto è iniziato nel silenzio: nei primi giorni del mese, alcuni server SharePoint on-premises hanno cominciato a manifestare comportamenti anomali. Solo più tardi si è compreso che si trattava dell'inizio di una campagna di attacchi mirati che avrebbe coinvolto almeno tre gruppi di hacker collegati allo Stato cinese: Linen Typhoon, Violet Typhoon e Storm-2603. Microsoft ha pubblicato una prima comunicazione tecnica l'8 luglio, accompagnata da una patch per due vulnerabilità note, CVE-2025-49704 e CVE-2025-49706, inizialmente ritenute sufficienti. Tuttavia, già dal 7 luglio erano stati osservati exploit attivi contro versioni vulnerabili di SharePoint installate in locale, e nei giorni successivi è emerso che le patch non coprivano nuove varianti dell'attacco che sfruttavano ulteriori falle ...

 TikTok è tornata nel mirino delle autorità europee, e a questo punto non è più una notizia sorprendente, ma un tassello in un mosaico sempre più chiaro. L’Irlanda ha aperto una nuova indagine formale per chiarire se i dati degli utenti europei siano stati accessibili dalla Cina, nonostante le rassicurazioni ufficiali e i miliardi investiti nel cosiddetto Project Clover, l’infrastruttura di data center pensata per convincerci che tutto resti entro i confini europei. Quello che mi inquieta, più di tutto, è che non stiamo parlando di ipotesi, ma di fatti già ammessi: TikTok ha riconosciuto che l’accesso ai dati europei da parte di personale in Cina è effettivamente avvenuto. Eppure continuiamo a usare quell’app, continuiamo a scorrere video, a regalare dati, espressioni facciali, movimenti, abitudini. È una forma di rassegnazione dolce, mascherata da intrattenimento. Da persona che ha un minimo di rispetto per la coerenza tra ciò che si dichiara e ciò che si fa, trovo difficile rest...

Nel mondo della sicurezza informatica siamo abituati a cercare le minacce nei luoghi più ovvi: allegati email, file eseguibili, script obfuscati nei siti web. Ma pochi si fermano a pensare che anche una semplice favicon – quella piccola icona che appare accanto al titolo di una scheda nel browser – possa diventare un cavallo di Troia perfettamente funzionante. Ed è proprio questo il cuore della ricerca pubblicata su arXiv da David Noever e Forrest McKee nel luglio 2025: dimostra come sia possibile sfruttare il canale alfa di un file .ico per nascondere codice JavaScript eseguibile, creando un vettore d’attacco invisibile all’occhio umano. La tecnica si basa su un uso creativo (e malevolo) della steganografia: invece di nascondere messaggi cifrati all’interno dei pixel visibili, i ricercatori nascondono il payload sfruttando il canale della trasparenza dell’immagine, ovvero quei valori alfa che regolano l’opacità di ogni pixel. Agendo sui bit meno significativi (LSB) di questi valori, r...

Negli ultimi mesi, il settore dei semiconduttori a Taiwan è stato oggetto di un’intensa attività di cyber‑spionaggio orchestrata da almeno tre gruppi di hacker presumibilmente legati allo stato cinese. Tra marzo e giugno 2025, campagne di spear‑phishing altamente mirate hanno preso di mira non soltanto le aziende coinvolte nella produzione, nel design e nei test di circuiti integrati e semiconduttori, ma anche l’intero ecosistema di fornitori di attrezzature, servizi correlati e persino analisti finanziari specializzati nel mercato dei chip taiwanesi. Questi attacchi hanno dimostrato un’elevata sofisticazione: gli aggressori hanno utilizzato profili contattando risorse umane o dipartimenti di recruiting fingendosi neo‑laureati alla ricerca di opportunità di lavoro. Nei messaggi venivano allegati presunti curriculum in formato PDF che, in realtà, nascondevano file LNK contenenti payload malware. Aprendo il documento, la vittima veniva condotta lungo una catena di attacco multipla che co...

L’Operazione ELICIUS, nota anche come smantellamento della gang “Diskstation”, è stata condotta dalla Polizia Postale di Milano con il supporto di Europol e la collaborazione delle forze di polizia rumene e francesi. L’indagine ha preso avvio dalle segnalazioni di aziende italiane e onlus vittime di attacchi ransomware mirati, in cui i criminali cifravano sistemi e dati e richiedevano riscatti in criptovalute. Gli hacker utilizzavano payload ransomware per cifrare file critici sui server aziendali, interrompendo ogni attività fino al pagamento richiesto. Dietro questi attacchi si celava un’infrastruttura avanzata: reti di comando e controllo distribuite, server in Romania (e migrati in alternativa su VPN/relay in Francia e altri paesi) e canali comunicativi criptati . Il gruppo impiegava tecniche OSINT per selezionare obiettivi vulnerabili, avviando campagne di phishing mirato e sfruttando falle note o credenziali rubate. Dopo l’accesso iniziale, installavano ransomware e strumenti di ...

La notizia è di quelle che accendono subito le discussioni: una corte federale d’appello statunitense ha stabilito che un gruppo di giornalisti salvadoregni potrà procedere legalmente contro NSO Group, l’azienda israeliana produttrice dello spyware Pegasus. L'accusa? Aver facilitato, con la sua tecnologia, violazioni della privacy e attività di sorveglianza ai loro danni. È un precedente importante, che apre la strada a possibili contenziosi internazionali tra individui (o gruppi) e le società che sviluppano strumenti di spionaggio per governi. Ed è anche, inevitabilmente, l’ennesima occasione per demonizzare chi lavora nel settore dello spyware e della cyber intelligence. Ma io, in tutta onestà, non riesco proprio a schierarmi con questo tipo di indignazione. Non riesco a vedere NSO Group come il “cattivo” della storia. Anzi. Non c’è niente di più comodo, oggi, che schierarsi contro lo spyware. È il nuovo nemico perfetto: invisibile, invasivo, difficile da capire, apparentemente f...

Negli ultimi giorni il collettivo TAG 140 – ritenuto un sottogruppo di SideCopy/Transparent Tribe, tradizionalmente associato a influenze pakistane – ha lanciato una nuova campagna di cyber‑spionaggio rivolta contro strutture critiche indiane, inclusi ministeri, difesa, ferrovie e infrastrutture energetiche, sfruttando un RAT evoluto denominato DRAT V2. L’attacco nasce da un inganno social engineering: i target vengono reindirizzati verso un portale fasullo che imita quello del Ministero della Difesa indiano. Un unico link “attivo” – contenente un comando malevolo – viene copiato sugli appunti del sistema vittima, con l’istruzione di incollarlo in un terminale. Questo provoca il download ed esecuzione di un file HTA tramite mshta.exe, che attiva un loader denominato BroaderAspect. Quest’ultimo crea persistenza, estrae un PDF di copertura e installa il payload principale, cioè DRAT V2. Rispetto alla versione .NET precedente, la nuova variante compilata in Delphi porta diverse novità: Un...

AEZA Group. Nome magari poco noto a chi non bazzica nel lato oscuro della rete, ma familiare a chi si occupa davvero di infrastrutture abusive. Gli Stati Uniti l’hanno inserito tra gli obiettivi di sanzioni per aver fornito servizi di hosting “bulletproof” a gruppi criminali e APT, molti dei quali legati alla Russia. Non è una novità. La Russia continua a coltivare un certo ecosistema tollerante, se non complice, nei confronti delle cyber-operazioni ibride: criminali che agiscono per profitto, ma in ambienti protetti, con la connivenza di provider che non chiedono nulla e non rispondono a nessuno. Un modello già visto: Ecatel nei primi anni 2000 permetteva DDoS, phishing e spam come se nulla fosse. Basta pagare. Stop. AEZA si inserisce nella stessa scia. L’OFAC (Office of Foreign Assets Control) ha collegato il gruppo a Kelvin Security, LockBit, e persino ad attività di ransomware-as-a-service. Non parliamo quindi solo di criminalità opportunistica, ma di operazioni strutturate, organi...

Chi segue le minacce informatiche da qualche anno sa bene che il mondo del ransomware non è solo una guerra di cifrature, esfiltrazioni e riscatti in criptovalute: è anche un palcoscenico, spesso ridicolo, in cui bande criminali tentano goffamente di costruirsi un’identità, un brand, una reputazione, come se stessimo parlando di startup di provincia con logo fatto su Canva e presentazione su Notion. La vicenda di Hunters International che si chiude con un “rebrand” altrettanto improvvisato in World_Leaks è, a mio avviso, uno di quegli episodi da incorniciare nella bacheca delle cyber-fuffe più imbarazzanti dell’anno. Tanto per mettere ordine nel teatrino: Hunters International nasce già con l’odore di patchwork riciclato, ereditando codice (e forse affiliati) dai fu-contadini digitali di Hive—ricorderete, se seguite la scena, che Hive fu smantellata dall’FBI e soci nel 2023 con un’operazione spettacolare, uno dei pochi momenti in cui il cybercrime ha davvero subito un colpo serio. Hunt...

C’è un nuovo tipo di malware che non cerca password o codici complicati. SparkKitty punta alle tue foto salvate nello smartphone, in particolare quelle che contengono seed phrase, cioè le parole segrete usate per recuperare i portafogli di criptovalute. Se queste parole finiscono in uno screenshot o in una foto scattata da te, SparkKitty può trovarle e inviarle ai criminali. Tutto comincia con un’app apparentemente innocua. Alcune versioni infette sono state perfino trovate su Google Play Store e App Store, come nel caso dell’app cinese “SOEX” su Android e “币coin” su iOS. Queste app, una volta installate, chiedono il permesso di accedere alla galleria o alle foto. Fino a qui sembra tutto normale: molte app fanno lo stesso. Ma SparkKitty, nascosto dentro queste app, inizia a caricare le tue immagini su un server controllato dagli hacker. Una volta caricate, le immagini vengono analizzate con tecniche di riconoscimento del testo (OCR). L’obiettivo è trovare screenshot o fotografie conten...

Essere calabrese, significa anche avere a cuore una battaglia che per altri è solo una notizia di cronaca: la lotta contro le mafie, contro i sistemi criminali che ancora oggi soffocano la nostra terra. Ecco perché la recente sentenza della Cassazione sulle intercettazioni digitali mi tocca in modo personale. La sentenza Il 16 maggio 2025, la Corte di Cassazione ha stabilito che la difesa ha diritto ad accedere ai file di log generati dai trojan usati nelle intercettazioni. In pratica, questi file indicano quando, dove e come è stato attivato il captatore informatico (trojan). La logica è chiara: se lo Stato usa strumenti così invasivi, è giusto che ci sia trasparenza e controllo legale. Ma da informatico e cittadino di questa terra martoriata, non posso non vedere il rischio serio che si sta aprendo. Ma chi protegge chi lavora nell’ombra? Dietro ogni trojan c'è un lavoro tecnico complesso. C'è un informatico forense, c'è un agente, a volte un infiltrato, spesso un giudice ...

Per lavoro mi occupo principalmente di ambienti basati su Windows Server, nella mia sfera personale, però, coltivo da sempre la curiosità per i sistemi operativi in generale: ho più computer, tra cui un MacBook Pro con chip Apple M1, e mi piace sperimentare sia con macOS che con Linux e Windows. Non ho un sistema “preferito” in assoluto, perché ognuno ha i suoi punti di forza e i suoi contesti ideali. Per l’uso server Linux è spesso imbattibile, mentre per l’esperienza desktop trovo validi sia macOS che Windows, ognuno a modo suo. Cerco solo di restare aperto e continuare a imparare. Proprio per questo mi ha colpito l’ultima campagna malevola scoperta da CloudSEK e riportata da The Hacker News: un nuovo attacco che sfrutta il famigerato Atomic macOS Stealer (AMOS). Chi pensa che macOS sia “invulnerabile” farebbe bene a leggere due volte. Il vettore d’attacco è geniale nella sua semplicità: un finto CAPTCHA, su siti che emulano portali reali (in questo caso un clone di Spectrum), induce...

Ho appena letto alcuni articoli riguardo a Crocodilus, un nuovo trojan bancario che sta colpendo dispositivi Android in diversi paesi, tra cui Spagna, Turchia, Polonia, Brasile e Stati Uniti. Questo malware è particolarmente pericoloso per chi utilizza app bancarie o possiede portafogli di criptovalute. Crocodilus si diffonde attraverso app fasulle che imitano applicazioni legittime, come aggiornamenti di browser o promozioni di casinò online. Una volta installato, richiede l'attivazione dei Servizi di Accessibilità, ottenendo così il controllo completo del dispositivo. Utilizza tecniche di overlay per sovrapporre schermate false a quelle delle app bancarie o dei portafogli crypto, inducendo l'utente a inserire le proprie credenziali, seed phrase o codici OTP. Inoltre, è in grado di registrare tutto ciò che appare sullo schermo, rendendo inefficaci anche le autenticazioni a due fattori. Una caratteristica inquietante è la sua capacità di aggiungere contatti falsi alla rub...

I bei tempi andati (fine anni ’90 - primi 2000) C’erano una volta i tempi in cui bastava linkare una shell, magari con telnet aperto o tramite exploit banale su sistemi Unix-like, per sentirsi il re del canale IRC. E Stacheldraht era il coltellino svizzero dei lamer organizzati. Cos’era Stacheldraht? Un DDoS toolkit nato intorno al 1999. Scritto in C, girava su Linux e Solaris. Combinava funzioni di Trinoo, TFN (Tribe Flood Network) e TFN2K. Aveva una struttura client-master-agent, con comunicazioni criptate (semplici XOR). Gli attacchi includevano: UDP flood, TCP SYN flood, ICMP flood, e smurf. Come funzionava: Lo “zombie” era un sistema compromesso (la famosa shell).  Il “master” controllava gli zombie e prendeva ordini da un client. Il controllo poteva avvenire via IRC oppure connessioni dirette. Più shell avevi, più banda avevi a disposizione per far male. Dal Telnet alle IoT, le evoluzioni moderne. Oggi chi sono gli eredi di Stacheldraht? Mirai e le sue mille varianti Creato n...