<?xml version="1.0" encoding="UTF-8"?><rss xmlns:dc="http://purl.org/dc/elements/1.1/" xmlns:content="http://purl.org/rss/1.0/modules/content/" xmlns:atom="http://www.w3.org/2005/Atom" version="2.0"><channel><title><![CDATA[Topics tagged with cyberpedia]]></title><description><![CDATA[A list of topics that have been tagged with cyberpedia]]></description><link>https://forum.androidiani.net/tags/cyberpedia</link><generator>RSS for Node</generator><lastBuildDate>Thu, 18 Jun 2026 22:39:03 GMT</lastBuildDate><atom:link href="https://forum.androidiani.net/tags/cyberpedia.rss" rel="self" type="application/rss+xml"/><pubDate>Wed, 03 Jun 2026 12:48:12 GMT</pubDate><ttl>60</ttl><item><title><![CDATA[DriveSurge e il sistema zTDS: migliaia di siti dirottati per distribuire ClickFix e FakeUpdates su Windows e macOS]]></title><description><![CDATA[Si parla di:ToggleUn gruppo di cybercriminali tracciato come DriveSurge ha costruito un’infrastruttura di distribuzione malware su scala industriale, dirottando migliaia di siti web legittimi per veicolare campagne ClickFix e FakeUpdates. Dietro l’operazione si cela il sistema di distribuzione del traffico zTDS, che seleziona dinamicamente la trappola più efficace per ciascuna vittima. Il target: qualunque utente Windows o macOS che visiti un sito compromesso.Chi è DriveSurge e cosa fa zTDSDriveSurge è un threat actor di tipo malware-as-a-service specializzato nella distribuzione massiva di payload attraverso siti web compromessi. La sua infrastruttura operativa si regge sul Traffic Distribution System zTDS, un sistema sofisticato che analizza i visitatori in tempo reale — sistema operativo, geolocalizzazione, browser, orario di accesso — e li reindirizza verso la trappola ottimale, scelta tra due filoni principali: ClickFix o FakeUpdates.I ricercatori di SilentPush hanno documentato la campagna, rilevando che DriveSurge gestisce attivamente una rete di traffic broker che monetizzano il traffico dai siti compromessi indirizzandolo verso le campagne di distribuzione. Si tratta di un modello di business criminale consolidato: chi compromette i siti raccoglie il traffico e lo vende; DriveSurge compra quel traffico e lo converte in infezioni.ClickFix: il trucco psicologico che bypassa l’antivirusLa tecnica ClickFix si basa su un principio di social engineering brutalmente efficace: mostrare all’utente un messaggio di errore fasullo — tipicamente un avviso del browser o di un’applicazione — che invita a “risolvere il problema” incollando ed eseguendo manualmente un comando nella console PowerShell o nel terminale.Il vantaggio per gli attaccanti è che l’utente diventa il vettore di infezione: non serve exploit, non serve privilege escalation — è la vittima stessa a lanciare il payload con i propri privilegi. Il comando incollato è solitamente una lunga stringa offuscata che scarica ed esegue il malware direttamente dalla memoria, senza scrivere file su disco che possano essere rilevati dall’antivirus.Nella versione DriveSurge, i lure ClickFix impersonano avvisi di Google Chrome, Microsoft Edge o applicazioni enterprise, con messaggi localizzati nella lingua del visitatore. Il comando finale tipicamente esegue uno script PowerShell che:Scarica un payload cifrato da un dominio compromesso o da un CDN legittimo abusatoLo decifra in memoria ed esegue il dropperInstalla un infostealer (Lumma Stealer, Vidar, o varianti custom) o un RATAggiunge persistenza tramite scheduled task o chiavi di registroFakeUpdates: il classico che non tramontaIl secondo filone, FakeUpdates (noto anche come SocGholish), simula un prompt di aggiornamento del browser: una pagina sovrapposta al sito legittimo mostra un finto avviso di aggiornamento critico per Chrome, Firefox o Edge, invitando a scaricare un file .zip o .js che contiene il dropper.La novità documentata da SilentPush nella campagna DriveSurge è l’estensione a macOS: oltre ai target Windows classici, il sistema zTDS identifica i visitatori Apple e li reindirizza verso una variante della campagna che distribuisce script JavaScript malevoli ottimizzati per l’ecosistema macOS, scaricando payload .dmg o .pkg firmati con certificati sviluppatore ottenuti fraudolentemente.Infrastruttura e scala dell’operazioneLa campagna sfrutta migliaia di siti web WordPress, Joomla e Magento compromessi come stager di primo livello: il codice iniettato nel sito vittima è minimo e difficile da rilevare — spesso poche righe di JavaScript offuscato aggiunte a file tema o plugin — che si limita a interrogare l’infrastruttura zTDS per decidere se mostrare o meno il lure al visitatore.Questa architettura “many-to-one” offre a DriveSurge una resilienza elevata: anche se decine di siti vengono ripuliti, l’infrastruttura centrale rimane intatta e la campagna continua su altri domini. Il sistema zTDS applica anche un meccanismo di frequency capping: lo stesso indirizzo IP non riceve il lure più di una volta in una finestra temporale definita, riducendo il rischio che ricercatori di sicurezza o sistemi automatizzati di crawling identifichino i siti compromessi.Implicazioni per i difensoriLa campagna DriveSurge richiede un approccio difensivo stratificato, poiché aggira molti controlli tradizionali:Blocco delle esecuzioni PowerShell da clipboard: configurare Windows Defender Application Control (WDAC) o AppLocker per limitare l’esecuzione di PowerShell non firmato lanciato interattivamente riduce drasticamente l’efficacia di ClickFix.Proxy DNS con blocco dei redirect sospetti: i sistemi zTDS usano catene di redirect multi-hop; una soluzione DNS filtering (Cisco Umbrella, Cloudflare Gateway) che blocchi i redirect a dominio nuovo può interrompere la catena prima che la vittima veda il lure.Awareness degli utenti: il vettore ClickFix è efficace perché convincente — investire in training specifico su “nessun sito legittimo ti chiede mai di aprire PowerShell e incollare comandi” ha un ROI alto.Monitoraggio dei processi figli di browser: un browser che lancia powershell.exe, cmd.exe o wscript.exe come processo figlio è un segnale forte di ClickFix in esecuzione — aggiungere questa detection nelle regole EDR.Hardening dei CMS: verificare regolarmente l’integrità dei file JavaScript dei propri siti WordPress/Joomla/Magento — i propri siti potrebbero essere già usati come stager di DriveSurge a insaputa degli amministratori.DriveSurge dimostra che ClickFix e FakeUpdates non sono tecniche in declino: l’adozione di un TDS sofisticato come zTDS e l’espansione a macOS segnalano un investimento operativo continuo e una struttura criminale in crescita. La semplicità del vettore — fare in modo che sia l’utente a eseguire il malware — lo rende uno degli attacchi più difficili da bloccare con soli controlli tecnici.]]></description><link>https://forum.androidiani.net/topic/320614c5-af34-4693-b5f7-74e56d976eef/drivesurge-e-il-sistema-ztds-migliaia-di-siti-dirottati-per-distribuire-clickfix-e-fakeupdates-su-windows-e-macos</link><guid isPermaLink="true">https://forum.androidiani.net/topic/320614c5-af34-4693-b5f7-74e56d976eef/drivesurge-e-il-sistema-ztds-migliaia-di-siti-dirottati-per-distribuire-clickfix-e-fakeupdates-su-windows-e-macos</guid><dc:creator><![CDATA[blog@insicurezzadigitale.com]]></dc:creator><pubDate>Wed, 03 Jun 2026 12:48:12 GMT</pubDate></item><item><title><![CDATA[Carnival e il paradosso della cybersecurity moderna: milioni di record rubati attraverso un solo dipendente]]></title><description><![CDATA[Si parla di:ToggleAncora una volta, il punto di ingresso non è stato un malware sofisticato, una vulnerabilità zero-day o una falla critica dimenticata in un sistema esposto su Internet.È bastato convincere una persona.Carnival Corporation, uno dei più grandi operatori mondiali del settore crocieristico, ha confermato una violazione che ha coinvolto quasi sei milioni di individui. Secondo le informazioni diffuse dall’azienda e dai documenti depositati presso le autorità statunitensi, gli attaccanti sono riusciti a compromettere un account aziendale attraverso una tecnica di social engineering, ottenendo così accesso a una porzione dell’infrastruttura IT interna.Da quel momento la catena di compromissione è stata relativamente semplice: accesso ai sistemi, individuazione dei repository contenenti dati personali e successiva esfiltrazione dei file.Il risultato è stato l’esposizione di informazioni appartenenti a circa 5,9 milioni di persone. Tra i dati sottratti figurano nomi, indirizzi email, date di nascita, dettagli geografici e informazioni relative ai programmi fedeltà dei clienti. Secondo le analisi effettuate successivamente da Have I Been Pwned, il dataset pubblicato dagli attaccanti conterrebbe addirittura circa 8,7 milioni di record complessivi.Il vero problema non è il data breachLa notizia è stata riportata come l’ennesimo incidente che coinvolge milioni di utenti, ma il punto interessante per chi lavora nella difesa cyber è un altro.L’intera operazione sarebbe partita da un dipendente manipolato.Carnival non ha fornito dettagli tecnici sul meccanismo utilizzato, ma la formulazione impiegata nei documenti ufficiali è significativa: gli attaccanti hanno “deceived an employee” attraverso tecniche di social engineering.Tradotto nel linguaggio operativo delle intrusioni moderne, significa che probabilmente non è stato necessario forzare alcuna protezione tecnica.Nessun exploit.Nessun bypass crittografico.Nessun accesso privilegiato ottenuto tramite vulnerabilità software.Gli attaccanti hanno semplicemente convinto qualcuno a collaborare, volontariamente o inconsapevolmente.È esattamente ciò che osserviamo sempre più spesso nelle operazioni attribuite ai gruppi criminali contemporanei: il costo di sviluppare exploit complessi è elevato, mentre il costo di ingannare una persona resta incredibilmente basso.ShinyHunters e l’evoluzione dell’estorsioneA rivendicare l’attacco è stato il gruppo ShinyHunters, nome ben noto nell’ecosistema cybercrime internazionale. Il collettivo avrebbe inserito Carnival nel proprio portale di estorsione già ad aprile, sostenendo di aver sottratto milioni di record e minacciandone la pubblicazione. Successivamente i dati sarebbero stati effettivamente diffusi online.Anche questo dettaglio racconta qualcosa dell’evoluzione del panorama criminale.Per molti gruppi il ransomware non rappresenta più necessariamente il punto centrale dell’operazione.La semplice esfiltrazione dei dati è ormai sufficiente per monetizzare un’intrusione.Se il valore dei dati rubati è elevato, la cifratura dei sistemi può persino diventare superflua. Il danno reputazionale, il rischio normativo e la possibilità di future campagne di phishing garantiscono già una leva di pressione significativa sulle vittime.Il social engineering come bypass universaleL’aspetto più interessante del caso Carnival riguarda però una realtà che molte organizzazioni continuano a sottovalutare.Negli ultimi anni le aziende hanno investito enormi risorse in EDR, XDR, SIEM, sistemi di threat intelligence, MFA e segmentazione delle reti.Tutto corretto.Ma nessuna di queste tecnologie elimina il problema fondamentale: l’essere umano continua a rappresentare un’interfaccia di accesso privilegiata.Quando un attaccante riesce a convincere un dipendente a eseguire un’azione apparentemente legittima, molte delle difese costruite per bloccare comportamenti malevoli diventano improvvisamente meno efficaci.È il motivo per cui i gruppi criminali stanno spostando sempre più energie verso campagne di impersonificazione, phishing mirato, vishing, MFA fatigue e tecniche di supporto IT fraudolento.L’obiettivo non è più forzare il sistema ma convincere il proprietario del sistema ad aprire la porta.La vera lezione per i team di sicurezzaL’incidente Carnival ricorda qualcosa che spesso viene dimenticato durante le discussioni sulle minacce avanzate.La maturità di un’organizzazione non si misura soltanto dalla qualità dei controlli tecnologici implementati, ma dalla capacità di resistere alla manipolazione psicologica.Per questo motivo la formazione tradizionale basata su slide annuali e quiz di compliance continua a mostrare tutti i suoi limiti.I moderni attacchi di social engineering non sfruttano soltanto la disattenzione. Sfruttano fiducia, urgenza, stress operativo, gerarchie aziendali e processi interni.Sono attacchi contro il comportamento umano prima ancora che contro l’infrastruttura. E finché continuerà a essere più semplice ingannare una persona che compromettere un firewall, casi come quello di Carnival continueranno a ripetersi.Con numeri sempre più grandi.E con conseguenze sempre più costose.]]></description><link>https://forum.androidiani.net/topic/0dc3ba9d-0bb6-438a-a447-be58f8a11c10/carnival-e-il-paradosso-della-cybersecurity-moderna-milioni-di-record-rubati-attraverso-un-solo-dipendente</link><guid isPermaLink="true">https://forum.androidiani.net/topic/0dc3ba9d-0bb6-438a-a447-be58f8a11c10/carnival-e-il-paradosso-della-cybersecurity-moderna-milioni-di-record-rubati-attraverso-un-solo-dipendente</guid><dc:creator><![CDATA[blog@insicurezzadigitale.com]]></dc:creator><pubDate>Fri, 29 May 2026 15:21:17 GMT</pubDate></item><item><title><![CDATA[Una riunione urgente su Teams e il conto svuotato: la nuova truffa che sfrutta il panico da videocall]]></title><description><![CDATA[C’è un dettaglio interessante nelle nuove campagne cyber che stanno circolando nelle ultime ore: non cercano più di sembrare sofisticate. Cercano di sembrare normali.Una notifica su Microsoft Teams.Un collega che chiede supporto.Una call urgente prima di una riunione.E pochi minuti dopo, credenziali rubate, malware installato o conti aziendali compromessi.Tra le notizie emerse nelle ultime ore nel panorama cybersecurity internazionale, una delle più interessanti riguarda proprio una nuova ondata di attacchi che sfruttano Microsoft Teams come leva di social engineering. Il punto centrale non è tanto la tecnica utilizzata dai criminali, quanto il modo in cui stanno cambiando le abitudini delle vittime.Per anni il phishing è stato associato a email sospette, allegati strani e messaggi scritti male. Oggi invece gli attaccanti stanno puntando sempre di più sugli strumenti di lavoro quotidiani: Teams, Zoom, Slack, Google Meet.Perché funzionano.E soprattutto perché in molte aziende le persone vivono ormai in uno stato costante di urgenza digitale.La dinamica osservata nelle campagne più recenti è piuttosto semplice. La vittima riceve un messaggio Teams apparentemente legittimo, spesso collegato a un meeting imminente o a un problema tecnico. In alcuni casi viene chiesto di aprire un file condiviso, installare un aggiornamento, autenticarsi nuovamente oppure partecipare rapidamente a una videocall.Tutto appare plausibile.È proprio questo il punto.I criminali non stanno cercando di violare firewall o bypassare vulnerabilità sofisticate. Stanno sfruttando la pressione psicologica tipica dell’ambiente lavorativo moderno.Una notifica improvvisa durante una giornata piena di call.Una richiesta urgente del reparto IT.Un manager che scrive “mi serve subito”.Nel contesto giusto, il cervello smette di analizzare e inizia semplicemente a reagire.È questa la vera evoluzione del social engineering nel 2026: attacchi costruiti attorno ai comportamenti umani più che attorno alle vulnerabilità tecniche.Le piattaforme collaborative sono diventate perfette per questo tipo di operazioni. A differenza delle email tradizionali, gli strumenti di messaggistica aziendale trasmettono automaticamente un senso di fiducia maggiore. Se un messaggio arriva su Teams, molti utenti tendono inconsciamente a considerarlo “interno”, quindi sicuro.Ed è qui che i criminali stanno trovando spazio.In diversi scenari osservati negli ultimi mesi, gli attaccanti utilizzano account compromessi reali per avviare conversazioni credibili con dipendenti dell’azienda. In altri casi sfruttano tenant esterni, nickname aziendali o identità molto simili a quelle originali.L’obiettivo può cambiare.A volte si tratta di furto credenziali.Altre volte di installare malware.In alcuni casi ancora più critici, gli attacchi servono come porta iniziale per intrusioni ransomware.Ed è qui che il problema smette di essere “solo IT”.Perché queste campagne funzionano esattamente come funzionano le truffe telefoniche contro gli anziani o le frodi sentimentali online: sfruttano fiducia, fretta e manipolazione emotiva.La tecnologia cambia.La psicologia umana molto meno.Negli ambienti enterprise moderni esiste ormai una pressione costante alla reperibilità immediata. Rispondere velocemente è diventato quasi un obbligo culturale. Ed è proprio questa dinamica che rende strumenti come Teams particolarmente pericolosi dal punto di vista del social engineering.Un’email può essere ignorata.Una notifica Teams durante l’orario lavorativo no.Anche perché spesso compare direttamente sul desktop, interrompe altre attività e arriva mentre l’utente sta già gestendo decine di conversazioni contemporaneamente.In pratica il cybercrime sta imparando a inserirsi perfettamente nei micro-momenti di distrazione.Ed è probabilmente questa la parte più inquietante.Non serve più creare una finta pagina perfetta o un malware invisibile. Basta convincere una persona stanca, stressata o distratta a cliccare nel momento giusto.Per questo motivo le aziende stanno iniziando a rivedere anche la formazione interna. Le classiche campagne anti-phishing basate solo sulle email non bastano più. Oggi il social engineering passa attraverso chat aziendali, videochiamate, sistemi di collaborazione e perfino notifiche push.La vera sfida della cybersecurity moderna non è soltanto proteggere le infrastrutture.È proteggere l’attenzione umana.E in un mondo dove lavoriamo continuamente dentro piattaforme collaborative, distinguere una richiesta autentica da una manipolazione sta diventando sempre più difficile.]]></description><link>https://forum.androidiani.net/topic/d2e11bfb-6ff7-4a0c-a9c7-e27434c60575/una-riunione-urgente-su-teams-e-il-conto-svuotato-la-nuova-truffa-che-sfrutta-il-panico-da-videocall</link><guid isPermaLink="true">https://forum.androidiani.net/topic/d2e11bfb-6ff7-4a0c-a9c7-e27434c60575/una-riunione-urgente-su-teams-e-il-conto-svuotato-la-nuova-truffa-che-sfrutta-il-panico-da-videocall</guid><dc:creator><![CDATA[blog@insicurezzadigitale.com]]></dc:creator><pubDate>Fri, 22 May 2026 10:18:34 GMT</pubDate></item></channel></rss>