Dropbox rivela la compromissione di 5.000 account nell'hack di agosto

Dropbox ha rivelato che circa 5.000 account sono stati compromessi ad agosto dopo che gli aggressori hanno abusato di un'integrazione di accesso legacy con Lenovo ID che non prevedeva l'autenticazione a due fattori (2FA), un passaggio di accesso aggiuntivo oltre alla password. L'azienda ha dichiarato a Reuters di aver identificato un accesso non autorizzato che ha interessato account collegati a un Lenovo ID privo di 2FA e di aver terminato tutte le sessioni autenticate tramite un Lenovo ID. Lenovo ha affermato che il problema riguardava un'integrazione legacy tra Lenovo ID e Dropbox che poteva essere utilizzata per autenticare in modo improprio alcuni account Dropbox. Questa è una delle numerose minacce trattate nell'ultimo bollettino settimanale ThreatsDay di The Hacker News, di cui riferiamo qui per i lettori di AEU Group.

Microsoft ha lanciato un avvertimento su una campagna di intrusione condotta da esseri umani che abusa della collaborazione esterna di Microsoft Teams per impersonare il personale IT o dell'help desk e indurre gli utenti a concedere una sessione remota interattiva. Una volta stabilito il controllo remoto tramite strumenti di remote monitoring and management (RMM), che sono programmi legittimi usati per il supporto IT, l'aggressore utilizza PowerShell per scaricare e installare silenziosamente un pacchetto MSI malevolo. Tale pacchetto prepara un runtime Node.js portatile e un implant JavaScript offuscato che fornisce esecuzione persistente di comandi e command and control (C2), un server che invia istruzioni alle macchine compromesse. Microsoft ha descritto il pattern come ad alto impatto perché offre a un operatore esterno accesso interattivo all'infrastruttura interna, inclusa la ricognizione contro Active Directory e il movimento verso i domain controller. Un'operazione correlata tracciata come Spring Ring da Palo Alto Networks Unit 42 ha utilizzato account esterni di Microsoft Teams per fingersi help desk IT per oltre 150 dipendenti in almeno 10 aziende tra gennaio e aprile 2026. In quella campagna, che Unit 42 chiama voice phishing (vishing), gli aggressori hanno tentato di costringere le vittime a eseguire strumenti RMM o malware personalizzati, e in una variante avanzata sono passati da una chiamata di vishing a un attacco di relay Microsoft NT LAN Manager (NTLM) mirato al domain controller di un'organizzazione. Sono state identificate fino a 26 identità distinte di aggressori dietro i tentativi di chat e chiamata.

Sophos ha pubblicato un nuovo rapporto sull'operazione ransomware The Gentlemen, tracciata internamente come Gold Sherwood, che ha rivendicato 683 vittime entro la fine di luglio 2026, incluse 169 vittime aggiunte solo a luglio. Il gruppo utilizza un playbook di affiliati ripetibile: accesso iniziale opportunistico, rapida escalation dei privilegi, meccanismi di accesso remoto legittimi, preparazione di strumenti in percorsi di sistema fidati, esfiltrazione mirata dei dati, evasione aggressiva delle difese, interruzione dei backup e distribuzione del ransomware. Gli affiliati usano utilità native di Windows, strumenti commerciali e open source, killer EDR basati su BYOVD (dove BYOVD significa bring your own vulnerable driver, una tecnica che carica un driver legittimo ma difettoso per disabilitare il software di sicurezza) e manomissione dei servizi di backup. La piattaforma di phishing-as-a-service (PhaaS) Outsider, gestita da un attore di minaccia noto come ChenLun, rimane resiliente dopo che le forze dell'ordine hanno abbattuto diversi domini. Group-IB ha identificato oltre 700 nuove pagine di phishing create con il kit entro un mese dopo che Google ha presentato una causa civile contro i suoi operatori, dimostrando che gli affiliati lo stanno ancora usando. Le campagne vengono distribuite via SMS, e il kit include una connessione WebSocket per il keylogging in tempo reale e la manipolazione delle sfide di autenticazione a più fattori. ZeroBEC ha dettagliato BlueKit, un servizio di phishing chiavi in mano che prende di mira i CEO di gruppi del settore finanziario con infrastruttura browser-in-the-middle ed esche di condivisione documenti. Il servizio utilizza ZeroBot per filtrare i bot, e dopo un flusso di furto di credenziali le vittime selezionate vengono spostate in un finto flusso di visualizzazione documenti che distribuisce un client ScreenConnect legittimo configurato per un'istanza cloud controllata dall'aggressore. L'accesso a BlueKit è pubblicizzato a 250 dollari per sette giorni, 480 dollari per 14 giorni e 940 dollari per 30 giorni, più alto di Tycoon 2FA, Greatness e Forg365 a circa 350, 289 e 400 dollari al mese.

Una campagna di avvisi fiscali a tema governativo utilizza esche di accertamento fiscale a tema UAE e India per persuadere i destinatari ad aprire un'immagine disco malevola, secondo iZOOlogic. L'immagine disco contiene un eseguibile commerciale legittimo e validamente firmato insieme a una libreria di collegamento dinamico (DLL) malevola nascosta e non firmata, un tipo di file che i programmi caricano per eseguire codice. Questo rende il DLL sideloading il meccanismo centrale: il programma firmato fidato carica il file dell'aggressore. La DLL malevola funge da loader e stabilisce molteplici meccanismi di esecuzione e persistenza. Contiene tre payload cifrati: due decifrano in driver kernel legittimamente firmati da prodotti commerciali non correlati, e il terzo è uno script di persistenza. La catena di attacco apre la strada a un secondo stadio residente nel Registro che si connette a un server esterno tramite UDP. Separatamente, Intezer ha dettagliato un falso browser per la privacy scaricato da un sito contraffatto che trasforma i comandi remoti dell'aggressore in input simulati di mouse e tastiera, di fatto un attacco USB Rubber Ducky consegnato via internet. Il sito è stato raggiunto tramite un risultato di ricerca sponsorizzato dopo che la vittima ha digitato male un nome di dominio, e il download era un installer MSIX firmato attraverso l'infrastruttura di Microsoft stessa. Intezer ha affermato che l'attacco elude l'endpoint detection and response (EDR) e si attesta su zero-due rilevamenti su VirusTotal, e la campagna è stata ricondotta a un'operazione simile del gennaio 2016, il che significa che è attiva da almeno un decennio.

I ricercatori di cybersecurity hanno analizzato il backend di Prince of Persia, noto anche come Indy, un gruppo di hacker iraniano noto per distribuire le famiglie di malware Foudre e Tonnerre per profilare le vittime e raccogliere dati da obiettivi di alto valore. Kaveh Azarhoosh di Whisper Security ha detto a The Hacker News che il backend è auto-autoritativo, con ogni server di command and control attivo che gestisce anche i nameserver per i propri domini. I ricercatori hanno anche trovato una riserva dormiente di 58 domini registrati e delegati ai nameserver del gruppo ma attualmente non puntati a nessun server. Azarhoosh ha detto che sono preparati, non attivi: nel momento in cui uno qualsiasi ottiene un record di indirizzo, un nuovo server di comando è andato live ed è visibile prima che il server faccia qualsiasi cosa. In un altro rischio della supply chain, una scansione di 6.214 domini attivi appartenenti a appaltatori della difesa, Fortune 500 e grandi aziende tecnologiche ha scoperto file llms.txt o llms-full.txt posizionati alla radice dei loro siti web insieme a robots.txt. Una startup israeliana di stealth ha detto che questi file sono set di istruzioni curati per agenti AI: cosa leggere, quali API chiamare, quali pacchetti installare e quali domini fidarsi. Degli 8.265 file llms.txt e llms-full.txt emersi, 120 su siti diversi presentavano istruzioni di installazione che puntavano a nomi di pacchetti PyPI o npm e domini mai registrati. I ricercatori hanno selezionato un piccolo insieme di nomi di pacchetti di aziende che sicuramente conoscete e li hanno registrati su PyPI e npm, incorporando un beacon minimale che segnalava l'installazione alla loro infrastruttura controllata. Il primo callback è arrivato in meno di quattro minuti. Almeno un attacco attivo ha sfruttato questa errata configurazione: llms.txt del fornitore di autenticazione Clerk includeva un riferimento a un pacchetto npm chiamato clerk-next-fix-auth-protection invece del suo pacchetto con scope @clerk/eslint-plugin. Un attore di minaccia sconosciuto ha registrato un pacchetto pubblico con quel nome, e il pacchetto trasmetteva il nome utente dell'installer, il nome della macchina, la directory di lavoro e il timestamp a un server esterno. Clerk ha successivamente risolto il problema.

Il Federal Bureau of Investigation statunitense sta indagando su un nuovo servizio di furto d'identità chiamato Nexus, che sostiene di avere scansioni digitali di oltre 153 milioni di patenti di guida di persone negli Stati Uniti e in Canada. Il giornalista di sicurezza indipendente Brian Krebs ha riferito che il servizio starebbe sottraendo immagini raccolte da un'azienda di verifica dell'identità ampiamente utilizzata chiamata IDScan.net. Nexus è stato lanciato sul dark web il 31 agosto 2026 e vanta anche più di 10 milioni di carte d'identità, più di tre milioni di documenti di viaggio o ID internazionali e almeno 579.000 cartelle mediche. Ogni record può essere sbloccato per 100 dollari. Poco dopo la pubblicazione dell'inchiesta, Nexus è andato offline, e IDScan.net sta indagando sull'incidente dalla sua parte. Microsoft ha annunciato che espanderà la protezione dell'integrità della memoria su tutti i dispositivi idonei a partire da ottobre 2026. Basata sulla Virtualization-based Security, l'integrità della memoria aiuta a proteggere parti critiche di Windows dalla manomissione e costituisce una base per funzionalità di sicurezza moderne come gli aggiornamenti hotpatch. Google ha dichiarato che sta espandendo l'iniziativa Android Ready SE per riunire fornitori di silicio, produttori di dispositivi, sviluppatori di wallet ed emittenti governativi al fine di scalare la sicurezza hardware certificata per l'identità digitale, una mossa mirata a credenziali digitali ad alta affidabilità e resistenti alla manomissione. Una coalizione di oltre 100 aziende tra cui Anthropic, Google, OpenAI, Microsoft, Perplexity e altre ha pubblicato una lettera aperta che invoca un'azione collettiva sulla cyber difesa, avvertendo che gli attacchi abilitati dall'AI diventeranno più diffusi e sofisticati man mano che i modelli migliorano, e che ospedali, impianti di trattamento delle acque e infrastrutture internet sono a rischio.

Un nuovo gruppo ransomware chiamato VantaCore ha preso di mira almeno sette aziende russe con un ceppo ransomware proprietario e ha chiesto milioni di dollari di riscatto. La società di sicurezza F6 ha valutato il gruppo come un rebranding di un noto gruppo filo-ucraino tracciato come Thor. Gli attacchi utilizzano anche VantaCoreLoader per distribuire il ransomware, VantaCoreRAT come backdoor per raccogliere informazioni di sistema ed eseguire comandi, e SnowKiller per terminare il software di sicurezza usando la tecnica BYOVD. In separate notizie delle forze dell'ordine, due cittadini nigeriani, Adebola Festus Adekunle, 26 anni, e Mudasiru Afeez Olawale, 24 anni, sono stati estradati negli Stati Uniti per affrontare il processo per sextortion a scopo di lucro ai danni di minori che ha causato morti nel Mississippi e nella Carolina del Nord. Entrambi rischiano pene massime di ergastolo.

Per i proprietari di siti web, molti di questi attacchi iniziano con un accesso compromesso o un plugin non aggiornato, motivo per cui mantenere il proprio ambiente di hosting aggiornato e monitorato è una difesa pratica. AEU Hosting offre hosting WordPress gestito e protetto end-to-end, così i proprietari di siti possono ridurre la probabilità di essere colti dal tipo di errata configurazione e software non aggiornato che queste campagne sfruttano.