Riepilogo settimanale della cybersecurity: abuso dei sandbox AI, bug nelle email di Apple e nuove tattiche di phishing

Il panorama delle minacce di questa settimana ha evidenziato un tema ricorrente: gli aggressori continuano a sfruttare piccole lacune nei sistemi affidabili, dai servizi email e dai sandbox AI alle infrastrutture di phishing e agli strumenti di accesso remoto.

Principali sviluppi

• Il phishing con falsi rappresentanti delle forze dell’ordine ha portato a un attacco ransomware. Bitdefender ha segnalato una campagna che impersonava INTERPOL e altri funzionari per spingere le piccole imprese ad aprire archivi protetti da password. Le vittime venivano quindi indirizzate a un link Proton Drive che distribuiva un payload ransomware personalizzato, mentre le negoziazioni per il riscatto avvenivano tramite Tox anziché attraverso una nota di pagamento predefinita.

• Una vulnerabilità nel sandbox di Claude Cowork ha esposto un percorso con privilegi root. Armadin ha dichiarato di aver scoperto una catena d’attacco su Windows che potrebbe consentire a un aggressore locale di sfruttare componenti affidabili nell’ambiente di Claude Desktop. Ciò permetteva di eseguire comandi con privilegi root all’interno del sandbox e aggirare le restrizioni di rete, consentendo potenzialmente il furto di dati.

• Il servizio Hide My Email di Apple potrebbe rivelare gli indirizzi reali. Il ricercatore Tyler Murphy ha affermato che una vulnerabilità nella funzione email di Apple basata sul relay può smascherare le caselle di posta sottostanti degli utenti. Secondo quanto riferito, il problema è stato divulgato più di un anno fa e non è ancora stato corretto, sebbene i dettagli tecnici non siano stati resi pubblici.

• Una nuova variante di DCRat è stata osservata con il nome BeepRAT. Rubrik Zero Labs ha dichiarato che il malware veniva distribuito tramite un archivio ZIP che sembrava contenere uno strumento legittimo per la gestione dei numeri di telefono. In realtà, distribuiva un payload multistadio con persistenza, risoluzione dei comandi tramite DNS-over-HTTPS, trasferimento di file, keylogging, acquisizione di schermate, accesso alla webcam ed esecuzione in memoria.

• Il phishing sta diventando sempre più consapevole del dispositivo. Cofense ha affermato che le campagne identificano sempre più spesso la piattaforma delle vittime e distribuiscono contenuti diversi in base al dispositivo. Gli utenti Windows possono ricevere loader di malware o strumenti di accesso remoto, mentre ai visitatori che usano macOS e Android vengono mostrate pagine per il furto delle credenziali.

• Gli Stati Uniti hanno annunciato una ricompensa collegata ad attori informatici russi. Il Dipartimento di Stato ha offerto fino a 10 milioni di dollari per informazioni su UNC5792, un gruppo collegato ad attività riconducibili all’intelligence russa e ad attacchi di phishing contro account Signal e WhatsApp utilizzati da funzionari e personale militare.

I ricercatori hanno inoltre osservato che i modelli di intelligenza artificiale più recenti mostrano miglioramenti modesti nei benchmark di sicurezza offensiva, ma continuano ad avere difficoltà con obiettivi protetti, operazioni prolungate ed esecuzione affidabile di attacchi end-to-end.