Riepilogo settimanale sulla sicurezza: botnet proxy, ransomware nei browser, trucchi dell’IA e malware nei falsi PoC

Il riepilogo settimanale sulla sicurezza di questa settimana ha avuto un tema ricorrente: tanto gli attaccanti quanto i difensori sfruttano punti di fiducia quotidiani. Dai dispositivi consumer utilizzati come infrastruttura proxy ai ricercatori attirati da codice di exploit falso, gli ultimi incidenti mostrano quanto rapidamente software e servizi ordinari possano trasformarsi in superfici d’attacco.

Interrotta una rete proxy

Google, in collaborazione con l’FBI, Lumen e altri partner, è intervenuta contro la rete proxy residenziale NetNut, monitorata anche con il nome di Popa. L’operazione si basa su un’azione precedente contro IPIDEA e ha incluso la disattivazione di account e servizi Google utilizzati per il command-and-control del malware, l’aggiornamento di Play Protect e la rimozione di app legate agli SDK di NetNut. Google stima che la rete abbia raggiunto almeno 2 milioni di dispositivi in tutto il mondo. Secondo quanto riferito, l’infrastruttura si basava su SDK incorporati in dispositivi domestici come smart TV e box per lo streaming, offrendo agli attaccanti un modo per nascondere il traffico dietro connessioni residenziali.

I nomi utente arrivano su WhatsApp, suscitando timori di abuso

WhatsApp ha avviato a livello globale la prenotazione dei nomi utente, una modifica incentrata sulla privacy pensata per ridurre la dipendenza dai numeri di telefono come identificativi. La funzione è facoltativa e dovrebbe essere distribuita più ampiamente nel corso dell’anno. Tuttavia, ha sollevato preoccupazioni in India e altrove, poiché potrebbe facilitare le impersonificazioni, soprattutto se nomi utente simili venissero prenotati prima che le organizzazioni legittime possano registrare i propri.

I repository con falsi PoC distribuiscono malware

I ricercatori alla ricerca di exploit proof-of-concept pubblicati di recente su GitHub sono stati presi di mira con pacchetti Python dannosi che installano in modo furtivo un trojan chiamato ChocoPoC. Il PoC visibile sembra innocuo, ma una dipendenza denominata skytext viene utilizzata per scaricare il payload. Una volta eseguito, il malware può sottrarre dati del browser, raccogliere file locali e informazioni sul sistema ed eseguire comandi o codice Python sul computer infetto.

Altre attività degne di nota

• Un sospettato di 19 anni legato a Scattered Spider è stato estradato dalla Finlandia negli Stati Uniti per rispondere di accuse di frode, associazione a delinquere e intrusione informatica.
• Un trojan bancario brasiliano noto come Ousaban utilizza falsi messaggi esca con PDF per colpire gli utenti in Spagna e Portogallo.
• I ricercatori hanno inoltre descritto un ransomware per browser generato dall’IA che combina funzionalità legittime di Chromium per l’accesso ai file in un attacco funzionante, anche se non ne hanno osservato l’utilizzo concreto.

Sul fronte delle vulnerabilità, la settimana ha portato anche una nuova serie di CVE ad alta priorità che interessano prodotti ampiamente utilizzati, rafforzando la necessità di applicare rapidamente le patch e gestire con rigore l’esposizione.