DNS hijacking nasconde pagine di gioco d'azzardo su domini attendibili
Secondo Infoblox, il DNS hijacking ha consentito la comparsa di pagine di gioco d'azzardo non autorizzate sotto domini legittimi di scuole ed enti governativi. Il DNS, o Domain Name System, controlla verso quale servizio online un nome di dominio indirizza i visitatori. In due operazioni non collegate, gli aggressori sembrano aver ottenuto accesso all'amministrazione DNS e creato record che i proprietari dei domini potrebbero non aver notato. Gli hostname risultanti hanno ereditato namespace istituzionali attendibili, rendendoli utili per ottenere visibilità sui motori di ricerca e generare traffico.
Un cluster, attribuito a un attore chiamato Hidden Hawk, ha aggiunto singoli CNAME records, che reindirizzano un hostname verso un altro, e ha indirizzato gli indirizzi istituzionali verso pagine di gioco d'azzardo ospitate principalmente su Cloudflare Pages. Un'operazione distinta riguardante un dominio governativo indiano ha delegato intere subzone a nameserver autoritativi esterni. Una wildcard ha quindi consentito di controllare numerosi hostname al di fuori dell'ambiente DNS della vittima. Entrambe le tecniche hanno creato indirizzi apparentemente istituzionali che venivano risolti verso doorway pages di gioco d'azzardo illegale e beneficiavano della reputazione consolidata dei domini compromessi.
L'esposizione delle credenziali è stata un altro problema ricorrente. Hudson Rock ha dichiarato che la sua indagine ampliata su FortiBleed ha identificato altri 975 domini e 40.573 secrets esposti, tra cui 37.076 record di utenti locali e 1.576 record Active Directory LDAP bind. Il materiale proveniva da 1.703 file sorgente FortiGate associati a 1.689 identificatori host e risalenti all'incirca a febbraio 2026. Separatamente, una scansione di 7,25 milioni di repository pubblici Gitee ha rilevato 26.400 credenziali uniche che sono state verificate come ancora attive, tra cui migliaia di cloud access key e una credenziale da amministratore dell'organizzazione per una delle principali piattaforme AI aziendali.
Cequence ha inoltre monitorato uno scanner che impersonava circa 32 bot AI, tra cui ChatGPT, Claude e Perplexity, richiedendo circa 90 percorsi di file comunemente utilizzati per password, credenziali cloud, chiavi SSH private e file di configurazione .env. L'attore alternava le identità, inviava raffiche da 50 a 190 richieste in circa otto secondi da ciascun indirizzo e utilizzava percorsi casuali per identificare i siti che restituiscono una risposta a ogni richiesta. L'attività ha interessato diversi settori ed è rimasta attiva almeno dalla fine di settembre alla fine di ottobre.
Diverse vulnerabilità hanno richiesto attenzione immediata. Fortinet ha pubblicato aggiornamenti coordinati per FortiOS, FortiManager e FortiAnalyzer relativi a vulnerabilità critiche e di gravità elevata individuate mediante un approccio assistito dall'AI, sebbene i dettagli tecnici siano stati riservati fino al 10 novembre 2026. Wordfence ha dichiarato di aver continuato a osservare richieste associate alle vulnerabilità PHP2Shell CVE-2026-109618 e CVE-2026-109619 su oltre 5 milioni di siti protetti. Al 28 ottobre non aveva identificato alcuna compromissione di WordPress causata da una delle due vulnerabilità e ha sottolineato che i tentativi di scansione non dimostrano che lo sfruttamento sia riuscito.
Gli aggressori stavano sfruttando attivamente CVE-2026-42589, una vulnerabilità di remote code execution in Gotenberg con un punteggio di 9,8, corretta nel maggio 2026. remote code execution significa che un aggressore può far eseguire comandi da un'altra posizione a un sistema vulnerabile. VulnCheck ha registrato 1.358 eventi di sfruttamento provenienti da 128 indirizzi IP sorgente nell'arco di 30 giorni. Gli attacchi osservati installavano una reverse shell basata su Go chiamata cache_base, che raccoglieva informazioni sull'host, contattava un server di comando, registrava la vittima e apriva l'accesso remoto alla shell.
Pillar Security ha divulgato CVE-2026-93348, con un punteggio di 8,6, nel processo di caricamento dei modelli di Unsloth. Una configurazione ostile del modello poteva eseguire codice Python con l'accesso del model loader a dataset, file dei modelli, token Hugging Face e credenziali cloud. Il problema è stato risolto in unsloth_zoo 2026.8.14. Separatamente, XBOW ha segnalato una vulnerabilità critica e senza autenticazione di remote code execution in un calcolatore logistico pubblico della U.S. Election Assistance Commission. L'applicazione interessata non era una macchina per il voto né un sistema di registrazione degli elettori, ma una richiesta appositamente predisposta poteva eseguire codice come root all'interno del relativo container backend.
Anche le software supply chain e gli strumenti di gestione attendibili hanno avuto un ruolo di primo piano. JFrog e SafeDep hanno individuato 42 repository GitHub sottoposti a hijacking, appartenenti a 11 proprietari, che contenevano execution hook per assistenti AI alla programmazione e integrated development environment. Wrapper polimorfici di dimensioni comprese tra 12,9 e 13,7 MB venivano decodificati nello stesso payload nascosto destinato alla pubblicazione. Il worm npm associato, appartenente alla famiglia Miasma, rubava credenziali, si diffondeva attraverso package e repository e includeva un componente che eliminava la home directory quando una vittima revocava un token GitHub rubato. I progetti compromessi avviavano inoltre workflow diretti contro sistemi cPanel tramite CVE-2026-41940. Huntress, nel frattempo, ha osservato aggressori abusare delle legittime piattaforme di mobile device management Hexnode e Rippling dopo aver convinto gli utenti a registrare i dispositivi o installare agenti di gestione, creando un percorso privilegiato per strumenti di gestione remota malevoli.
Huntress ha inoltre collegato diversi incidenti di settembre e ottobre a software di gestione delle telecamere compromesso. L'operazione utilizzava il programma legittimo WpcMon.exe per eseguire il sideload di DLL files dannosi, ossia librerie di codice Windows, e stabilire connessioni in uscita. Un'altra tecnica basata su driver è apparsa nell'operazione ransomware The Gentlemen, che secondo Acronis avrebbe colpito oltre 800 vittime. I suoi affiliati prendono di mira sistemi Windows, Linux, NAS e BSD e hanno utilizzato i driver vulnerabili Safetica ProcessMonitorDriver, identificato come CVE-2025-70795, e Lenovo BootRepair.sys per terminare i processi di sicurezza.
Su Android, la vulnerabilità corretta CVE-2026-80097 di Microsoft Authenticator, chiamata anche AuthMask, consentiva a un'applicazione dannosa priva di autorizzazioni aggiuntive di impersonare un'app Microsoft first-party installata. Se un utente completava il flusso di autenticazione presentato, Authenticator poteva fornire all'app dannosa authentication tokens relativi a un account di lavoro connesso. Microsoft ha dichiarato che uno sfruttamento riuscito poteva fornire accesso alle risorse con l'identità dell'utente interessato. Google ha inoltre annunciato che una futura versione di Android impedirà alle app di scrivere direttamente nei contatti tramite WRITE_CONTACTS. Le app utilizzeranno invece azioni standard sui contatti che richiedono l'intervento dell'utente, riducendo l'ampio accesso in background concesso dall'autorizzazione esistente.
I clienti dei servizi bancari mobili affrontano un distinto servizio crimeware chiamato MR ROBOT. CloudSEK ha descritto una piattaforma a noleggio i cui affiliati utilizzano un bot Telegram e un pannello web per creare trojan bancari Android personalizzati. Il malware prende di mira OTP, dati delle carte, PIN UPI e credenziali degli account e può inoltrare le chiamate per aggirare i controlli. Imita circa 36 app bancarie, di servizi di pubblica utilità e governative e viene distribuito tramite pagine false di app store ed esche inviate attraverso servizi di messaggistica. Si stima che un affiliato abbia intercettato 5.407 messaggi provenienti da 153 dispositivi infetti.
Tra gli altri sviluppi relativi al malware figura NIK C2, descritto da Cisco Talos come un command-and-control framework integrato con l'AI.