Il botnet Dysphoria dirotta 296.000 dispositivi IoT per attacchi DDoS

Il botnet Dysphoria ha preso il controllo di quasi 296.000 dispositivi connessi a Internet, spesso chiamati dispositivi IoT, ha riferito questa settimana la Shadowserver Foundation. Lo scopo principale del botnet sembra essere quello di lanciare attacchi distributed denial-of-service, che inondano un obiettivo di traffico fino a metterlo offline. Shadowserver ha aggiunto che Dysphoria ha recentemente acquisito funzionalità di proxy residenziale, il che significa che i dispositivi infetti possono ritrasmettere traffico e rendere gli attacchi più difficili da tracciare.

In un incidente separato, la società di sicurezza ReliaQuest ha confermato che uno dei suoi dipendenti è stato coinvolto in un tentativo di estorsione fallito il 22 agosto 2026. Una persona si è finta membro del team di sicurezza, ha registrato un dominio simile e ha creato una falsa pagina di single sign-on dietro una content delivery network. L'attaccante ha poi chiamato diversi dipendenti ReliaQuest e ha convinto uno a inserire una password e approvare una notifica push di autenticazione a più fattori, il che ha permesso all'attaccante di accedere a una breve sessione di sola visualizzazione su una dashboard di identità. ReliaQuest ha dichiarato che nessuna applicazione, sistema o dato dei clienti è stato accessibile. L'azienda non ha attribuito l'attacco ma ha notato che il modus operandi corrisponde a ShinyHunters e gruppi simili, incluso un dominio usa e getta, una pagina di raccolta dietro una content delivery network e rapidi tentativi di registrare un nuovo autenticatore.

Siti web falsi che pubblicizzano software di produttività vengono utilizzati per distribuire malware camuffato da applicazioni funzionanti basate su Electron. I ricercatori hanno osservato programmi come Kitchen Canvas, Food or Meal Formula e DocConvertWizard che possono eseguire dinamicamente script iniettati e catturare il desktop attraverso le API di Electron. Cisco Talos ha anche documentato un framework di phishing guidato da un operatore chiamato JWR che imita pagine di checkout e login su importanti piattaforme di pagamento e shopping. Invece di limitarsi a registrare gli invii dei moduli, JWR mantiene aperto un WebSocket crittografato con AES-CTR in modo che un attaccante possa guidare in tempo reale la sessione di ogni vittima. Raccoglie dati di pagamento, documenti d'identità, numeri di previdenza sociale, immagini di passaporto e patente, credenziali di siti web e PayPal, codici di autenticazione a due fattori e impronte digitali complete dei dispositivi. Talos ha valutato JWR come una variante della piattaforma di phishing-as-a-service The Outsider.

iVerify ha divulgato Octagon, un bot fraudolento per Android su dispositivo venduto come malware-as-a-service dall'attore di lingua russa AndroidKitKat per 1.400 dollari al mese. Offre overlay di accessibilità, desktop remoto nascosto, intercettazione di SMS e password monouso, cattura del pattern di sblocco e lettura del saldo sullo schermo, e prende di mira portafogli crypto e app bancarie. Zscaler ThreatLabz ha dichiarato di aver scoperto a luglio 2026 una backdoor basata su Rust chiamata C2Looper, probabilmente utilizzata da un attore legato a ransomware e distribuita attraverso una catena di infezione ClickFix a più stadi. C2Looper supporta l'esecuzione remota di shell, la ricognizione e il deployment di malware aggiuntivo, e una variante utilizza GitHub per le comunicazioni di comando e controllo.

LevelBlue ha descritto un trojan di accesso remoto precedentemente non documentato chiamato CNCMachineRMS distribuito da BabaDeda Loader. L'infezione inizia con un'esca ClickFix che avvia un eseguibile IBM SPSS IDE legittimamente firmato, WinWrapIDE.exe, il cui motore di scripting viene abusato per caricare una DLL malevola. Quattro DLL esca vengono caricate attraverso normali importazioni di Windows, poi lo stadio finale nasconde il codice shell all'interno di una funzione benigna di formattazione della data. Il trojan fornisce a un operatore l'amministrazione remota, inclusi una shell interattiva, un file manager, la cattura dello schermo, una backdoor per account locali, sette meccanismi di persistenza e venti comandi per scaricare ulteriori payload. Zscaler ha anche trovato Abyssos, un trojan di accesso remoto modulare in C++ rilevato per la prima volta a giugno 2026 che utilizza un protocollo TCP personalizzato e supporta il furto di credenziali, l'esfiltrazione di file e l'accesso remoto tramite VNC.

Palo Alto Networks Unit 42 ha riferito che un loader di botnet in C++ chiamato Aeternum ha spostato la sua infrastruttura di comando interamente sulla blockchain Polygon. I dispositivi infetti leggono istruzioni crittografate e in chiaro dai contratti intelligenti interrogando endpoint pubblici di chiamata di procedura remota, il che rende molto più difficili le operazioni di takedown. Joe Security ha esaminato ToxNetV2, un botnet peer-to-peer per Linux AArch64 che ha integrato un modello linguistico di grandi dimensioni nel suo controller. Il controller utilizza NVIDIA NIM con il modello z-ai/glm-5.2 per trasformare la telemetria dell'host in possibili azioni, ma un operatore umano rimane il punto di approvazione finale per le azioni ad alto impatto. ToxNetV2 include anche controllo peer-to-peer crittografato, worker di scansione, auto-propagazione e 17 lanciatori di attacchi di rete.

Questa settimana sono emersi diversi infostealer. Splunk ha segnalato Phantom Stealer, che raccoglie credenziali del browser, password salvate, cookie di sessione, file di portafogli di criptovalute e impronte digitali del sistema ed è stato diffuso attraverso esche di phishing, software craccato e link su Discord e Telegram. Un secondo stealer basato su Go chiamato Salat Stealer esegue ricognizione del sistema, furto di credenziali e streaming del desktop con cattura audio e video. Point Wild ha scoperto Vanta Stealer, uno strumento basato su Python che prende di mira browser Chromium, Discord, Telegram, Steam, piattaforme di gioco, VPN, portafogli di criptovalute e documenti sensibili memorizzati localmente. Raccoglie password, cookie, informazioni di pagamento, token di autenticazione, dati di gioco, file di portafogli, screenshot, catture della webcam e documenti contenenti frasi di recupero, ma non è ancora noto esattamente come venga distribuito. File di collegamento malevoli camuffati da documenti PDF avviano una catena a più stadi attraverso cmd.exe, utilità Windows legittime, AutoIt e PowerShell per installare DARTHVADER Stealer, mentre DestinyStealer ha preso di mira Europa e Stati Uniti e condivide la discendenza del codice con StormKitty Stealer. Joe Security ha anche dettagliato ScarfaceStealer, distribuito attraverso app basate su Electron che si mascherano da strumenti AI; il malware controlla 11 indicatori ambientali e viene eseguito solo se un punteggio di sospetto ponderato rimane inferiore a 7, altrimenti entra in un ciclo esca.

Malwarebytes ha avvertito di una campagna truffaldina che utilizza 11 siti web falsi che affermano di verificare se gli strumenti antivirus funzionano. I siti portano il marchio Microsoft e nomi come SysScan, mostrano una falsa scansione di sicurezza dall'aspetto convincente, dicono alle vittime che il loro antivirus sta causando problemi, raccolgono le loro informazioni e li preparano per una presunta chiamata di rimborso, che porta a disinstallare il vero software antivirus. Malwarebytes ha anche osservato esche ClickFix e falsi download di software che distribuiscono PavinLoader, che sembra essere offerto come loader-as-a-service e utilizza strumenti Windows legittimi insieme a file .NET malevoli, inclusa una tecnica basata su blockchain chiamata EtherHiding per nascondere le istruzioni.

AmberWolf ha divulgato una debolezza zero-day nella catena di avvio di HP ThinPro 8 e 9 che consente a un attaccante con accesso fisico di aggirare la crittografia completa del disco basata su TPM e recuperare le chiavi LUKS. Il difetto deriva da una politica di avvio misurato incompleta che omette il kernel Linux e initramfs. AmberWolf ha raccomandato di abilitare Secure Boot e impostare una password del BIOS, ma ha sottolineato che queste misure rallentano solo un attaccante e non colmano la lacuna. La vulnerabilità rimane non corretta e l'azienda ha consigliato di considerare la crittografia come non protettiva una volta che un dispositivo esce dal proprio controllo.

Kaspersky ha dichiarato di aver bloccato più di 1,99 milioni di attacchi contro dispositivi mobili nel secondo trimestre del 2026 utilizzando malware, adware o software mobile indesiderato. Trojan-Banker è stata la categoria più comune con una quota del 30,77% delle applicazioni rilevate, e i ricercatori hanno scoperto oltre 304.000 pacchetti di installazione malevoli, inclusi 93.574 trojan bancari mobili e 570 pacchetti ransomware.

Un filo conduttore comune a questi rapporti è che gli attaccanti continuano a trovare punti in cui la fiducia è a buon mercato e l'attrito è basso: pagine di login false, false scansioni di sicurezza, false app di produttività e loader che si comportano normalmente prima di rivelare il loro vero scopo. Per i proprietari di siti web e i team IT, la lezione pratica è trattare ogni link, download e richiesta di login come potenzialmente ostile. Una revisione IT e infrastrutturale orientata alla sicurezza di AEU-I può aiutare le organizzazioni a verificare le basi, come l'autenticazione a più fattori, l'applicazione delle patch e l'accesso con privilegi minimi, senza dover tracciare personalmente ogni nuova famiglia di malware.