Piero Bosio Social Web Site Personale

Si parla di:ToggleMigliaia di email di conferma iscrizione e newsletter che intasano la casella di posta in pochi minuti, seguite — puntuale come un copione — da un messaggio Teams di un fantomatico “IT Support” pronto ad aiutare. È la sequenza che eSentire’s Threat Response Unit (TRU) ha documentato in una campagna di luglio 2026 contro un’azienda del settore software, attribuita al broker di accessi iniziali UNC6692. Il bersaglio finale non è un semplice furto di credenziali: è l’installazione di Edgecution, un’estensione malevola per Microsoft Edge capace di evadere la sandbox del browser e prendere il controllo dell’host sottostante.UNC6692 non è un nome nuovo per chi segue il crimine informatico organizzato: Google Cloud/Mandiant lo ha già descritto come un initial access broker (IAB) che prepara il terreno per gruppi ransomware, tra cui la syndicate nota come Payouts King. La catena osservata da eSentire — email bombing, impersonificazione IT via Teams, Quick Assist e una suite di malware modulare battezzata “SNOW” — è la stessa tradecraft già segnalata da Google e da The Hacker News nei mesi scorsi, ma il report più recente aggiunge dettagli tecnici granulari sull’ultimo anello della catena, l’estensione Edgecution, e sui suoi indicatori di compromissione.Fase 1: sommergere la vittima di email per giustificare una chiamataL’attacco si apre con una tecnica ormai da manuale ma sempre efficace: l’email bombing. Iscrivendo l’indirizzo della vittima a migliaia di newsletter e servizi di conferma automatica, gli attaccanti saturano la casella di posta in pochi minuti. L’obiettivo non è nascondere altro traffico, ma costruire un pretesto plausibile: un dipendente sommerso da email è più propenso ad accettare senza troppe domande il contatto di un “supporto IT” che offre di risolvere il problema.Subito dopo il bombing, gli attaccanti contattano la vittima su Microsoft Teams impersonando l’identità “IT Support | Corporate IT Service (Internal)”. La scelta del canale non è casuale: Teams è percepito come un ambiente aziendale “fidato” rispetto alla posta elettronica, il che abbassa ulteriormente la soglia di sospetto della vittima nel momento cruciale.Fase 2: Quick Assist come porta d’accesso hands-onIl finto tecnico guida la vittima a lanciare Quick Assist, lo strumento di assistenza remota integrato in Windows, dando agli attaccanti accesso interattivo alla macchina. Da quel momento sono loro a dirigere l’infezione: portano la vittima su un sito di phishing ospitato su Amazon S3 e progettato per imitare una pagina Office 365. La pagina utilizza i primi due pulsanti per far scaricare alla vittima AutoHotkey e uno script stager, mentre un modulo di login raccoglie in chiaro la password Office 365 non appena viene premuto “invio”. Un dettaglio curioso della catena: lo script analizza persino gli appunti (clipboard) della vittima con un’espressione regolare, alla ricerca di un codice di riferimento fornito verbalmente durante la finta sessione di supporto — un ulteriore livello di “autenticazione sociale” della truffa.Edgecution: un’estensione Edge che rompe il sandbox del browserIl payload finale, Edgecution, combina un’estensione malevola per Microsoft Edge con un native messaging host in Python. È proprio questa combinazione a permettere all’estensione — normalmente confinata alla sandbox del browser — di comunicare con un processo nativo sul sistema operativo e, di fatto, evadere i limiti imposti dal browser stesso. Una volta installata, Edgecution è in grado di monitorare in tempo reale i siti web visitati dalla vittima, catturare le credenziali Office 365 inserite, scrivere file arbitrari sul disco, enumerare i processi in esecuzione ed eseguire comandi shell, Python o PowerShell a piacimento — di fatto un accesso remoto completo mascherato da componente del browser.Lo stager scaricato dal sito S3 arriva come archivio ZIP protetto da password, estratto tramite tar.exe in una sottocartella nascosta dentro %LOCALAPPDATA%\Microsoft\Edge\User Data. Tutte le stringhe presenti nello stager e nel native messaging host sono offuscate con XOR e decodificate solo a runtime, un accorgimento pensato per rallentare l’analisi statica. Per la persistenza, il malware scrive voci di registro sotto la chiave NativeMessagingHosts di Microsoft Edge e crea — eseguendolo immediatamente — un’attività pianificata configurata per rilanciare Edge con l’estensione caricata a ogni accesso.Un IAB al servizio del ransomwareIl quadro attributivo colloca UNC6692 non come gruppo ransomware in sé, ma come specialista dell’accesso iniziale che poi rivende o passa il testimone a operazioni di estorsione più ampie, in particolare Payouts King. È un modello di business ormai consolidato nell’ecosistema del cybercrime: separare chi entra da chi cifra e negozia il riscatto permette a entrambe le parti di specializzarsi e di essere più difficili da tracciare come un’unica organizzazione. Vista in quest’ottica, la sofisticazione dell’ingegneria sociale di UNC6692 — pretesto costruito ad arte, canale Teams “aziendale”, Quick Assist, verifica via clipboard — non è fine a se stessa: è l’investimento necessario per garantirsi l’accesso di alta qualità che un cliente ransomware è disposto a pagare.Due righe per i difensoriPer i team blue team, la catena UNC6692 offre diversi punti di intercettazione prima che si arrivi a Edgecution. Il primo è comportamentale: un’ondata improvvisa di iscrizioni a newsletter verso una singola casella dovrebbe generare un alert automatico, così come un contatto Teams esterno o appena creato che si presenta come “IT Support” — Microsoft Teams consente di etichettare gli account esterni, e questa etichetta va monitorata, non ignorata dagli utenti. Il secondo punto di controllo è tecnico: le policy aziendali dovrebbero limitare l’uso di Quick Assist ai soli casi avviati dall’help desk interno tramite ticket, bloccandolo o quantomeno alertando su ogni sessione avviata da un utente su richiesta esterna. Sul fronte endpoint, vale la pena monitorare la creazione di voci sotto HKLM\SOFTWARE\Microsoft\Edge\NativeMessagingHosts e la creazione di scheduled task che rilanciano msedge.exe con parametri di estensione custom, oltre a restringere via policy quali estensioni Edge possono essere installate al di fuori dello store ufficiale.Va sottolineato che, secondo eSentire, l’archivio ZIP di Edgecution viene ricostruito da byte “spogliati” dell’header standard, un dettaglio che rende la sua individuazione tramite semplice controllo di firma file inefficace: servono euristiche comportamentali o EDR capaci di ispezionare i native messaging host registrati, non solo le estensioni installate nel browser.Indicatori di compromissione[Infrastruttura C2 Edgecution - domini CloudFront] d385m5skczp5q5.cloudfront[.]net d7xpwoah6gdv2.cloudfront[.]net (+ 5 domini CloudFront aggiuntivi identificati da eSentire TRU) [URL di delivery phishing/payload - Amazon S3] hxxps://app7040.s3.us-east-1.amazonaws[.]com/patch.html hxxps://app5805.s3.us-east-1.amazonaws[.]com/js/patch3265343.a (+ 3 URL aggiuntivi identificati da eSentire TRU) [Hash SHA-256 - artefatti sito phishing e payload] 232bca658c585627830623fcdce56647dc291666b25c901ee56212681198067a e88c196a86c74ea0e53dfe77c93f577cb441ee590756cf7f3284522a2d6a6be5 da1cf68c9dc1cebcebf8ec7d1cf99ac9c0291db7b21bf279b9cad24c7a49948c [Comandi osservati in fase di deployment] tar.exe -xf ".zip" -C "%LOCALAPPDATA%\Microsoft\Edge\User Data\test1" --passphrase "" cmd.exe /c python --version 2>&1 cmd /c start /min ... & del [Account Microsoft Teams usati per l'impersonificazione IT] Identità display: "IT Support | Corporate IT Service (Internal)" (indirizzi email specifici omessi dalla fonte originale) [Persistenza] Chiave di registro: HKLM\SOFTWARE\Microsoft\Edge\NativeMessagingHosts\ Meccanismo: Scheduled Task creato ed eseguito immediatamente per rilanciare Microsoft Edge con l'estensione caricataFonti: eSentire Threat Response Unit (TRU), Google Cloud Threat Intelligence/Mandiant, The Hacker News, BleepingComputer.

Il #phishing è sempre dietro l'angolo.Un falso messaggio di DPD mi informa che “Il pacco non può essere consegnato.”Poi arriva il link per “correggere l’indirizzo”.. 😓È uno degli SMS di phishing più comuni: il messaggio finge di provenire da DPD, DHL, Poste o altri corrieri e crea urgenza parlando di consegna fallita, deposito locale o restituzione imminente.E, per la paura di non perdere il pacco, ecco che parte il click selvaggio.

@prealpinux si, ma ancora per poco. Domani mi costituisco via Cloud 😄

Si parla di:ToggleIl Dipartimento di Stato americano ha messo sul piatto 10 milioni di dollari per chi fornira’ informazioni utili a identificare o localizzare i membri dei gruppi UNC5792 e UNC4221, entrambi legati ai servizi di intelligence militare e al FSB russo. Nel frattempo, FBI e CISA hanno aggiornato il loro advisory di marzo 2026 con una nuova tattica individuata nella campagna: il furto delle Signal Backup Recovery Key, che consente agli attaccanti di accedere all’intera cronologia dei messaggi delle vittime.Chi sono UNC5792 e UNC4221I due gruppi, tracciati pubblicamente con i designatori UNC di Mandiant/Google, operano nell’ambito dei servizi segreti russi. UNC5792 e’ associato all’FSB (Federal Security Service), in particolare agli ufficiali embedded nelle Guardie di Frontiera russe; UNC4221 opera invece per conto dei servizi militari russi. Le attivita’ delle due entita’ si sovrappongono parzialmente: entrambi prendono di mira individui di alto valore informativo attraverso campagne di phishing su applicazioni di messaggistica, in particolare Signal e WhatsApp.Il profilo delle vittime e’ estremamente specifico e rivela gli obiettivi dell’intelligence russa: funzionari governativi statunitensi e NATO (attuali ed ex), vertici militari, figure politiche, analisti di policy, giornalisti che coprono Russia e Ucraina, ONG attive in supporto all’Ucraina e ricercatori di sicurezza o esperti di affari russi. Secondo l’annuncio ufficiale del programma Rewards for Justice, migliaia di account individuali sono stati compromessi in questo modo.La storia della campagna: dall’account linking al furto delle Recovery KeyLa campagna non nasce oggi. Il primo advisory pubblico di FBI e CISA risale a marzo 2026, quando gli analisti avevano documentato una tecnica di compromissione basata sull’abuso della funzione legittima di device linking di Signal. Gli attaccanti, spacciandosi per il supporto di Signal, inducevano le vittime a collegare un dispositivo controllato dagli attaccanti al proprio account, consentendo la lettura in tempo reale delle conversazioni senza compromettere la crittografia end-to-end del protocollo.L’advisory aggiornato del 26 giugno 2026 documenta l’evoluzione della tattica. Gli operatori hanno ora spostato il loro obiettivo primario: non piu’ solo l’intercettazione in tempo reale, ma il furto delle Signal Backup Recovery Key — le chiavi che proteggono le copie cifrate dell’intera cronologia dei messaggi nei server Signal Secure Backups. Si tratta di un cambio di paradigma operativo significativo: con la Recovery Key, l’attaccante puo’ recuperare su un proprio dispositivo tutti i messaggi storici della vittima, incluse conversazioni private e di gruppo potenzialmente risalenti a mesi o anni.Come funziona l’attacco in dettaglioLa catena di attacco si articola in due fasi di social engineering, entrambe condotte direttamente su Signal spacciandosi per il team di supporto della piattaforma:Fase 1: il pretestoLa vittima riceve un messaggio che afferma che Signal ha registrato un’ondata di attacchi da parte di “hacker iraniani e di paesi post-sovietici” e che, in risposta, la piattaforma sta introducendo una verifica obbligatoria a due fattori. Per “non perdere messaggi e media”, l’utente viene guidato passo per passo ad abilitare i backup e a visualizzare la propria Recovery Key:Istruzioni fornite dagli attaccanti nel messaggio di phishing: Settings -> Backups -> Enable backups -> View recovery key -> Copy to clipboard -> Next -> Enter the recovery key -> Next -> Continue -> Choose your backup plan [Premere "Accept" nel pop-up]Questa sequenza e’ reale: seguendo questi passi, l’utente attiva effettivamente Signal Secure Backups e genera una Recovery Key legittima. La chiave viene copiata negli appunti del dispositivo.Fase 2: l’estrazione della chiavePoco dopo, sempre spacciandosi per Signal, gli attaccanti inviano un secondo messaggio urgente che avvisa l’utente di un “problema di sincronizzazione” che metterebbe a rischio la perdita permanente dei dati. Per “risolvere il problema”, vengono chiesti di andare nelle impostazioni di backup, copiare la Recovery Key e incollarla nel messaggio di chat. Se la vittima esegue, gli attaccanti ottengono la chiave in chiaro.Con la Recovery Key in mano, gli attaccanti possono ripristinare il backup cifrato su qualsiasi loro dispositivo, scaricando l’intera cronologia messaggi della vittima dai server di Signal. L’operazione e’ completamente silenziosa per la vittima: nessuna notifica, nessun alert sul dispositivo.La trappola del recovery: perche’ cambiare account non bastaFBI e CISA sottolineano un aspetto critico spesso sottovalutato: se un attaccante ottiene la Recovery Key di un utente, creare un nuovo account Signal con lo stesso numero di telefono non invalida la chiave compromessa. L’attaccante puo’ continuare a utilizzare quella chiave per scaricare i backup gia’ acquisiti, anche dopo che la vittima ha cambiato account.L’unica azione risolutiva e’ generare una nuova Recovery Key attraverso le impostazioni di backup di Signal, che invalida la chiave precedente per i download futuri. Tuttavia — e questa e’ la parte piu’ critica — una nuova chiave non impedisce l’accesso ai backup che l’attaccante ha gia’ scaricato prima del cambio.Il bounty e gli obiettivi del programma Rewards for JusticeIl programma statunitense Rewards for Justice (RFJ) ha pubblicato il 29 giugno 2026 un annuncio specifico per UNC5792 e UNC4221, offrendo fino a 10 milioni di dollari per informazioni su:Identita’, localizzazione, affiliazioni e biografie dei membri dei gruppi e del personale di supporto.Legami con i servizi di intelligence russi, contractor e fornitori terzi.Infrastruttura operativa: domini, server, hosting, strumenti, framework e software.Fonti di finanziamento, conti bancari, meccanismi di pagamento.Wallet di criptovaluta, transazioni blockchain e reti finanziarie a supporto delle operazioni.L’entita’ del bounty — identica a quella offerta per i responsabili di attacchi ransomware contro infrastrutture critiche — segnala quanto Washington consideri questa campagna una minaccia alla sicurezza nazionale, non un semplice problema di cybercrime.Il fronte ucraino: SMS fasulli per rubare credenzialiParallelamente all’advisory FBI/CISA, l’Ucraina ha confermato che l’intelligence russa ha utilizzato falsi messaggi SMS di “supporto tecnico” per indurre utenti ucraini a rivelare le credenziali dei propri account di messaggistica. La tattica e’ la stessa: impersonare un servizio tecnico legittimo, creare urgenza attraverso una narrativa di sicurezza, estrarre credenziali o chiavi di backup. Il coordinamento tra le due campagne — quella focalizzata su obiettivi occidentali (UNC5792/UNC4221) e quella contro obiettivi ucraini — suggerisce un’operazione di intelligence integrata sotto ombrello comune.Consigli pratici per i difensori e gli utenti a rischioSignal e le sue comunicazioni cifrate restano tecnicamente integre: la crittografia end-to-end del protocollo Signal non e’ stata compromessa. Il vettore e’ esclusivamente il social engineering applicato alla gestione delle chiavi. Le misure di difesa piu’ efficaci sono le seguenti:Non condividere mai la Recovery Key: Signal non la chiedera’ mai via messaggio in-app. Qualsiasi richiesta in tal senso e’ un attacco.Verificare l’identita’ del mittente: il supporto Signal comunica esclusivamente tramite indirizzi email ufficiali, mai tramite messaggi in-app.Controllare i dispositivi collegati: in Settings > Account > Linked Devices, verificare periodicamente che non siano presenti dispositivi non riconosciuti.Ruotare la Recovery Key in caso di sospetto: Settings > Backups > Recovery Key > Create new key. Ricordarsi che i backup gia’ scaricati dall’attaccante rimangono accessibili con la vecchia chiave.Segnalare attivita’ sospette all’IC3 dell’FBI (ic3.gov) o al proprio ufficio locale FBI.Per le organizzazioni con personale ad alto rischio (giornalisti, diplomatici, ricercatori, personale ONG), e’ consigliabile implementare sessioni di awareness specifica sulla gestione delle Recovery Key di Signal e sul riconoscimento di questo pattern di social engineering, ormai sufficientemente documentato da considerarsi una tecnica consolidata nel repertorio dell’intelligence russa.

Signal: gli hacker russi ora puntano alla chiave di recupero del backup📌 Link all'articolo : https://www.redhotcyber.com/post/signal-gli-hacker-russi-ora-puntano-alla-chiave-di-recupero-del-backup/A cura di Carolina Vivianti#redhotcyber #news #cybersecurity #hacking #phishing #signal #servizidisicurezza

Perché Kant ha ancora qualcosa da insegnarci sulla cybersecurity📌 Link all'articolo : https://www.redhotcyber.com/post/kant-ha-ancora-qualcosa-da-insegnarci-sulla-cybersecurity/A cura di Daniela Farina#redhotcyber #news #filosofia #empirismo #razionalismo #kant #cybersecurity #phishing

Un file ZIP per installare Node.js e rubare i dati: Microsoft rivela la truffa degli Hotel📌 Link all'articolo : https://www.redhotcyber.com/post/un-file-zip-per-installare-node-js-e-rubare-i-dati-microsoft-rivela-la-truffa-degli-hotel/A cura di Luigi Zullo#redhotcyber #news #cybersecurity #hacking #malware #phishing #hotel #organizzazionialberghiere

Si parla di:ToggleTra il 16 e il 19 giugno 2026, i ricercatori di Datadog Security Research hanno osservato una campagna di phishing altamente sofisticata contro la console AWS. Non si tratta del classico furto di credenziali: il kit implementa tecniche adversary-in-the-middle (AiTM) che permettono di catturare i codici MFA in tempo reale, bypassando email, SMS e app di autenticazione TOTP. Un’analisi tecnica dettagliata pubblicata il 24 giugno svela l’architettura del kit, gli IoC e le tecniche di delivery utilizzate.La campagna: tre domini in 48 oreLa campagna si è concretizzata con la registrazione di tre domini in una finestra di soli due giorni, tutti attraverso il registrar NICENIC INTERNATIONAL GROUP CO., LIMITED e ospitati su infrastruttura Cloudflare. I domini impersonavano con fedeltà la pagina di login della console AWS:us-west-login[.]com (registrato il 18 giugno 2026) — con sottodomini aws.us-west-login[.]com e aws-central.us-west-login[.]comus-east-prod[.]com (registrato il 17 giugno 2026) — con sottodominio aws.us-east-prod[.]comloginportal-aws[.]com (registrato il 16 giugno 2026)In parallelo, sono stati identificati altri tre domini che impersonavano SendGrid, registrati nello stesso arco temporale attraverso lo stesso registrar. La doppia infrastruttura — AWS e SendGrid — suggerisce che gli attaccanti abbiano progettato un sistema integrato: SendGrid per la consegna delle email di phishing, i cloni AWS per la raccolta delle credenziali.Come funziona il kit: AiTM in tempo realeLa caratteristica più pericolosa di questo kit non è la clonazione della pagina login, ma la capacità di intercettare e ritrasmettere il secondo fattore di autenticazione in tempo reale. Il flusso si articola in più fasi:1. Validazione del target prima del rendering: quando la vittima accede alla pagina di phishing, il kit legge il parametro URL input_24 contenente un blob base64 cifrato. Il server decodifica l’indirizzo email della vittima e lo imposta come cookie. Solo se l’email è valida e registrata come target, la pagina viene effettivamente renderizzata — una misura anti-sandbox che rende inutile l’analisi automatica senza una email vittima valida.// Logica di validazione dell'indirizzo vittima let e = new URLSearchParams(window.location.search).get(`input_24`); (e ? fetch(`/api/check`, { method: `POST`, body: JSON.stringify({ encrypted: e }), credentials: `include` }) : Promise.resolve({ ok: !1 })) .then(e => e.ok ? e.json() : null) .then(() => fetch(`/api/me`, { credentials: `include` })) .then(e => e.json()) .then(e => t(e.email || null))2. Furto delle credenziali primarie: la pagina clonata raccoglie username e password tramite i form di login AWS (sia account root che IAM) e li invia a /api/login. Il server, agendo come proxy verso la vera console AWS, ottiene in risposta quale tipo di MFA è configurato sull’account.3. Intercettazione dell’MFA in real-time: il kit presenta alla vittima la challenge MFA corrispondente al secondo fattore configurato — /email, /sms, o /gauth per le app TOTP. Il codice inserito viene intercettato e ritrasmesso immediatamente al server AWS legittimo, completando l’autenticazione prima che il codice scada.Delivery: phishing mirato via SendGrid e NimbuIl 19 giugno 2026 è apparso su VirusTotal un batch file che funge da artefatto di validazione dell’infrastruttura. Il file contiene la struttura di un’email di phishing che impersona il supporto AWS, citando un ticket di supporto fasullo su presunto throttling della banda. La consegna avviene tramite piattaforme email legittime come SendGrid e Nimbu, scelta tattica che permette di passare i controlli SPF/DKIM/DMARC e bypassare i filtri antispam aziendali.L’uso del parametro input_24 per la validazione dell’email suggerisce inoltre che si tratti di una campagna di spear phishing mirato piuttosto che mass phishing: ogni link contiene l’email cifrata della specifica vittima, rendendo impossibile l’accesso alla pagina di phishing senza il link personalizzato.TTPs e mapping MITRE ATT&CKT1566.002 — Spearphishing Link: link personalizzati con email cifrata per targeting precisoT1111 — MFA Interception: cattura in real-time di email OTP, SMS e codici TOTPT1056.001 — Keylogging: raccolta di username, password e codici di verifica prima del forwardingT1583.001 — Acquire Infrastructure: Domains: tre domini registrati nello stesso arco di 48 oreT1133 — External Remote Services: targeting dell’accesso alla console AWSIndicatori di compromissione (IoC)# Domini AWS phishing us-west-login[.]com aws.us-west-login[.]com aws-central.us-west-login[.]com us-east-prod[.]com aws.us-east-prod[.]com loginportal-aws[.]com # Registrar comune NICENIC INTERNATIONAL GROUP CO., LIMITED # Infrastruttura di hosting Cloudflare (tutti i domini) # Endpoint API del kit /api/check - validazione email vittima /api/me - recupero email da cookie /api/login - furto credenziali e identificazione MFA /email - challenge MFA via email /sms - challenge MFA via SMS /gauth - challenge MFA via TOTP # Parametro URL di targeting input_24 (blob base64 cifrato contenente email vittima)Come rilevare l’attaccoDatadog consiglia le seguenti azioni di hunting per chi sospetti di essere stato targetizzato:DNS hunting: verificare la presenza nei log DNS di query verso i domini elencati negli IoC, inclusi i sottodominiCloudTrail monitoring: controllare eventi ConsoleLogin da IP inusuali o da località geografiche anomale, soprattutto a ridosso delle date di campagna (16-19 giugno 2026)Email gateway review: cercare email provenienti da SendGrid o Nimbu che contengano link con il parametro input_24 nell’URLCredential review: se si sospetta compromissione, revocare immediatamente le sessioni AWS attive, ruotare le credenziali e abilitare notifiche di accesso non familiareLa sofisticazione di questo kit — targeting selettivo, bypass MFA in real-time, uso di infrastrutture email legittime — lo colloca in una categoria diversa rispetto al phishing di massa. Le organizzazioni che utilizzano AWS in ambienti enterprise dovrebbero trattare questa campagna come un rischio attivo, non come una minaccia teorica.

L’Agenzia delle Entrate al centro di una truffa “Adattiva”. Scopriamo cosa sta circolando in Italia📌 Link all'articolo : https://www.redhotcyber.com/post/lagenzia-delle-entrate-al-centro-di-una-truffa-adattiva-scopriamo-cosa-sta-circolando-in-italia/A cura di Chiara Nardini#redhotcyber #news #cybersecurity #hacking #phishing #agenziadelleentrate #certagid

@DigiDavidex @snow 🤣🤣🤣

La truffa perfetta: nessun allarme, nessun malware, ma i soldi erano spariti!📌 Link all'articolo : https://www.redhotcyber.com/post/la-truffa-perfetta-nessun-allarme-nessun-malware-ma-i-soldi-erano-spariti/A cura di Erminia Minieri#redhotcyber #news #businessemailcompromise #sicurezzainformatica #hacking #phishing

Gemini Usata Per Attivita’ Di Phishing: Google Fa Causa A Una Rete Cinese📌 Link all'articolo : https://www.redhotcyber.com/post/gemini-usata-per-attivita-di-phishing-google-fa-causa-a-una-rete-cinese/A cura di Antonino Battaglia#redhotcyber #news #google #intelligenzaartificiale #gemini #phishing #sicurezzainformatica

Allarme Signal: attacco phishing punta alle chiavi di recupero dei backup📌 Link all'articolo : https://www.redhotcyber.com/post/allarme-signal-attacco-phishing-punta-alle-chiavi-di-recupero-dei-backup/A cura di Simone D'Agostino#redhotcyber #news #cybersecurity #hacking #phishing #signal #sicurezzainformatica #backupcifrati

Si parla di:ToggleIl dominio polyfill[.]io — protagonista di uno dei più clamorosi supply chain attack del 2024 — è tornato attivo a fine maggio 2026 con un nuovo vettore: risposte HTTP 401 che inducono i browser a mostrare finestre di autenticazione false agli utenti di siti che non avevano ancora rimosso il vecchio script. Tra le vittime più note: Toshiba, Muji, Zojirushi e Samsung Smart TV.Il contesto: l’incidente polyfill.io del 2024Polyfill è una libreria JavaScript che permette ai siti web di supportare funzionalità moderne su browser legacy, fornendo uno strato di compatibilità lato client. Per anni, milioni di siti hanno caricato questa libreria dal CDN ospitato su polyfill[.]io — un dominio che tuttavia non era mai stato di proprietà del creatore del progetto open source, Andrew Betts.Nel febbraio 2024, il dominio polyfill[.]io fu acquistato da un’entità cinese (Funnull), che lo utilizzò per iniettare codice malevolo negli script distribuiti dal CDN, colpendo oltre 100.000 siti. Betts reagì subito consigliando a tutti gli amministratori di rimuovere il servizio dai propri siti e rilancò il progetto originale sotto nuovi domini (polyfill.com, poi polyfill.top). Le autorità e diversi CDN provider bloccarono l’accesso a polyfill[.]io, fermando i redirect malevoli.Maggio 2026: il dominio risponde di nuovo — con HTTP 401Il problema del 2026 ha un meccanismo diverso ma altrettanto insidioso. Secondo il ricercatore di sicurezza Pasquale Pillitteri, a partire da fine maggio 2026 il dominio polyfill[.]io ha ricominciato a rispondere alle richieste, questa volta restituendo codici HTTP 401 (Unauthorized). Quando un browser carica una risorsa da un dominio esterno e riceve una risposta 401, interpreta questo come una richiesta di autenticazione e mostra automaticamente una finestra di dialogo per inserire username e password.Tutti i siti che negli ultimi due anni non avevano completato la pulizia del codice — rimuovendo ogni riferimento a polyfill[.]io — si sono trovati improvvisamente a presentare ai propri utenti delle finestre di login che sembravano provenire dal sito legittimo, ma erano in realtà generate da una risorsa esterna non controllata dall’azienda.Le organizzazioni colpiteIl colosso tecnologico Toshiba ha pubblicato un avviso urgente ai propri utenti il 2 giugno 2026, chiedendo di annullare qualsiasi finestra di autenticazione insolita apparsa sul sito e di non inserire credenziali. Il gigante del retail Muji ha emesso un comunicato simile, dichiarando di non aver rilevato accessi non autorizzati o fughe di dati, ma invitando comunque alla prudenza chi avesse eventualmente inserito le proprie credenziali. Anche Zojirushi (elettrodomestici), FiNC Technologies (app di salute), Ishiyaku Publishers e Hobonichi (editore e brand lifestyle) hanno segnalato lo stesso problema. Pillitteri ha riportato che il fenomeno si è manifestato anche sui televisori Samsung Smart TV l’1 giugno 2026.Analisi tecnica: il meccanismo dell’HTTP 401 browser promptIl comportamento è standard nelle specifiche HTTP: quando una risorsa (script, immagine, iframe) risponde con 401, il browser mostra automaticamente una finestra di autenticazione nativa (WWW-Authenticate challenge). L’aspetto visivo di questa finestra è quello di un dialog box del browser — non una pagina web — il che può dare all’utente l’impressione di una richiesta legittima proveniente dal sito che sta visitando. Se l’utente inserisce le credenziali, queste vengono inviate in chiaro (o con Basic Auth) al server che ha emesso la challenge — in questo caso polyfill[.]io.Al momento della pubblicazione dell’articolo originale di BleepingComputer (5 giugno 2026), non erano emerse prove concrete che le credenziali eventualmente inserite dagli utenti fossero state effettivamente raccolte. Toshiba e Muji hanno dichiarato di aver rimosso il riferimento a polyfill[.]io e di aver sospeso il servizio. Tuttavia, il rischio per gli utenti che abbiano inserito credenziali prima della chiusura rimane reale, e il cambio password immediato è fortemente consigliato.Cosa devono fare gli amministratori di siti webLa lezione principale di questo incidente è chiara: le dipendenze da CDN esterni non controllati rappresentano un rischio persistente anche dopo che un incidente di sicurezza è stato apparentemente risolto. Gli amministratori devono verificare immediatamente che nessuna pagina del proprio sito contenga riferimenti a polyfill[.]io — incluse pagine secondarie, template legacy e componenti di terze parti. Gli strumenti di Content Security Policy (CSP) e Subresource Integrity (SRI) possono prevenire questo tipo di attacco bloccando il caricamento di risorse da domini non autorizzati o con hash diverso da quello atteso. Qualsiasi CDN di terze parti dovrebbe essere monitorato per variazioni nel comportamento delle risorse caricate.Indicatori## Dominio da bloccare polyfill.io cdn.polyfill.io ## Pattern da cercare nel codice sorgente src="https://polyfill.io/ src='https://polyfill.io/ src="//polyfill.io/

#Phishing.Perché "ah ma io lo sapevo da prima di te" non basta più - leggetelo con la voce di Mastrandrea che fa l'Armadillo di ZeroCalcare.https://www.linkedin.com/posts/cgmongini_phishing-share-7468616962974257152-xJ0S/(e bonus a chi riconosce la citazione del post originale)

Phishing SMS per ATAC: come evitare pagamenti di 1,50 euro senza timbrare il biglietto📌 Link all'articolo : https://www.redhotcyber.com/post/phishing-sms-per-atac-come-evitare-pagamenti-di-150-euro-senza-timbrare-il-biglietto/A cura di Luigi Zullo#redhotcyber #news #phishing #sms #atac #sicurezzainformatica #hacking #truffeonline

Nuova truffa QR Code: il phishing ora usa l’arte ASCII per bucare i filtri email📌 Link all'articolo : https://www.redhotcyber.com/post/nuova-truffa-qr-code-il-phishing-ora-usa-larte-ascii-per-bucare-i-filtri-email/A cura di Carolina Vivianti#redhotcyber #news #sicurezzainformatica #cybersecurity #hacking #malware #phishing #postaelettronica #sicurezzadigitale

Smishing INPS: nuove campagne di phishing usano Darcula per rubare le carte agli italiani📌 Link all'articolo : https://www.redhotcyber.com/post/smishing-inps-nuove-campagne-di-phishing-usano-darcula-per-rubare-le-carte-agli-italiani/A cura di Carolina Vivianti#redhotcyber #news #cybersecurity #hacking #malware #phishing #smishing #inps #certagid #sicurezzainformatica

Hai ricevuto un aumento? Attento, perchè dietro ci potrebbe essere un hacker📌 Link all'articolo : https://www.redhotcyber.com/post/hai-ricevuto-un-aumento-attento-perche-dietro-ci-potrebbe-essere-un-hacker/A cura di Carolina Vivianti#redhotcyber #news #cybersecurity #hacking #microsoft365 #phishing #sicurezzainformatica

@Otttoz @betelgeuse93 @sicurezza può intervenire. Ma interviene sui casi grossi o gravi.Di bot che creano campagne di pishing e poi spariscono poco dopo ce ne sono troppi.È come su le tante altre piccole infrazioni....