L’infostealer Djinn sfrutta il bypass dell’autenticazione di SimpleHelp per sottrarre credenziali cloud e AI

Una variante di malware che ruba credenziali, nota come Djinn, è stata associata a una catena di distribuzione che sfrutta una vulnerabilità critica di bypass dell’autenticazione in SimpleHelp, identificata come CVE-2026-48558. L’attività sembra concentrarsi sugli account in grado di collegare i sistemi di sviluppo e amministrativi agli ambienti aziendali più ampi, aumentando il potenziale impatto di una compromissione riuscita.

Anziché puntare a un singolo endpoint isolato, la campagna si distingue per il tipo di accesso che cerca di acquisire. Le credenziali associate a servizi cloud, piattaforme di intelligenza artificiale e altre infrastrutture possono offrire agli attaccanti un percorso verso strumenti interni, archivi di dati e console di gestione che supportano le attività aziendali.

Perché gli account presi di mira sono importanti

Le credenziali di accesso utilizzate dagli amministratori e dai team di sviluppo sono spesso particolarmente preziose, perché possono collegare diversi livelli dell’ambiente di un’organizzazione. Se sottratti, questi account possono consentire agli attori delle minacce di passare da un servizio compromesso ai sistemi utilizzati per la distribuzione, la configurazione, la gestione delle identità o l’elaborazione dei dati.

• Gli accessi ai servizi cloud possono esporre carichi di lavoro ospitati, bucket di storage e interfacce di gestione.
• Le credenziali relative all’intelligenza artificiale possono garantire l’accesso a modelli, API o dati proprietari utilizzati per l’addestramento e l’inferenza.
• Gli account amministrativi e di sviluppo possono fornire percorsi verso le reti interne e le applicazioni aziendali.

La vulnerabilità di SimpleHelp fornisce il punto d’ingresso

L’abuso segnalato riguarda la CVE-2026-48558, una grave vulnerabilità di bypass dell’autenticazione in SimpleHelp. Le vulnerabilità di questo tipo possono consentire a un attaccante di raggiungere funzionalità che normalmente dovrebbero essere limitate agli utenti autenticati. Una volta ottenuto l’accesso, payload dannosi come gli infostealer possono essere introdotti e utilizzati per raccogliere dati di accesso sensibili dai sistemi infetti.

Sebbene i dettagli sulla campagna più ampia restino limitati, la combinazione tra una vulnerabilità di una piattaforma per l’accesso remoto e un payload malware incentrato sul furto di credenziali sottolinea il valore persistente degli obiettivi legati alle identità per gli attaccanti. Le organizzazioni che si affidano a strumenti di supporto o gestione remota, in particolare negli ambienti che collegano servizi di sviluppo, amministrativi, cloud e di intelligenza artificiale, potrebbero correre rischi maggiori se esposte alla vulnerabilità.

I team di sicurezza dovrebbero considerare questa attività un promemoria del fatto che le vulnerabilità di bypass dell’autenticazione nei software di amministrazione remota possono trasformarsi rapidamente in un punto d’accesso per una compromissione più ampia quando vengono abbinate a malware progettati per sottrarre credenziali.