Gli hacker russi di Sandworm colpiscono l’industria ucraina del grano con malware wiper

Gli hacker russi Sandworm utilizzano malware wiper contro l’industria cerealicola ucraina.

L’industria cerealicola ucraina è diventata l’ultimo obiettivo della famigerata unità di hacker russi Sandworm, sostenuta dallo Stato, nel quadro dei continui sforzi di Mosca per minare l’economia bellica del Paese.

Secondo una nuova ricerca della società slovacca di sicurezza informatica ESET, tra giugno e settembre il gruppo legato al Cremlino ha utilizzato diversi tipi di malware per cancellare i dati delle organizzazioni ucraine nei settori cerealicolo, energetico, logistico e governativo. Sebbene gli attacchi wiper abbiano colpito frequentemente le infrastrutture ucraine dall’invasione russa, l’industria agricola, fonte fondamentale delle entrate da esportazione del Paese, è stata raramente presa di mira direttamente.

Sandworm, che le agenzie di intelligence occidentali collegano al servizio di intelligence militare russo (GRU), è responsabile di alcuni dei cyberattacchi più dannosi nella storia dell’Ucraina, tra cui il blackout della rete elettrica del 2015, l’epidemia di malware NotPetya del 2017 e l’hacking dello scorso anno del principale fornitore di telecomunicazioni Kyivstar.

ESET ha affermato che le recenti operazioni hanno incluso due wiper, Zerolot e Sting, distribuiti ad aprile contro un’università ucraina, seguiti da ulteriori ondate contro aziende del settore cerealicolo ed energetico. Il malware wiper è progettato per cancellare definitivamente i dati e interrompere le operazioni.

L’azienda ha anche collegato gli attacchi a un altro gruppo di hacker, noto come UAC-0099, che avrebbe effettuato le intrusioni iniziali prima di passare l’accesso a Sandworm. Secondo il team di risposta alle emergenze informatiche dell’Ucraina (CERT-UA), UAC-0099 è attivo almeno dal 2022 e ha preso di mira istituzioni governative e di difesa ucraine in campagne di spionaggio.

“Questi attacchi distruttivi da parte di Sandworm ci ricordano che i wiper rimangono uno strumento frequente degli attori di minaccia allineati con la Russia in Ucraina”, ha affermato ESET.

Sebbene alcuni rapporti suggerissero un passaggio ad attività di spionaggio da parte di tali gruppi alla fine del 2024, i ricercatori hanno affermato che Sandworm ha continuato a condurre regolarmente attacchi wiper contro entità ucraine dall’inizio del 2025.

Le autorità ucraine competenti in materia di sicurezza informatica hanno ripetutamente avvertito che gli attori russi, tra cui Sandworm, spesso coordinano tali operazioni con attacchi missilistici e con droni per amplificarne l’impatto.

Al di là dell’Ucraina, ESET ha osservato che gruppi di hacker russi, tra cui RomCom e Gamaredon, continuano a prendere di mira gli Stati membri dell’Unione Europea, concentrandosi spesso su entità legate alle reti di difesa o logistiche dell’Ucraina.

“Anche obiettivi non ucraini presentano spesso alcuni legami evidenti con l’Ucraina e il suo sforzo bellico complessivo”, hanno scritto i ricercatori, “suggerendo fortemente che il conflitto continui a mobilitare la maggior parte dell’attenzione e delle risorse dell’intelligence russa”.

L'articolo Gli hacker russi di Sandworm colpiscono l’industria ucraina del grano con malware wiper proviene da Red Hot Cyber.

Malware adattivi e altamente evoluti utilizzano l’AI per confondere le difese di sicurezza

Sulla base di una recente analisi del Google Threat Intelligence Group (GTIG), è stato identificato un cambiamento avvenuto nell’ultimo anno da parte degli attori delle minacce.

Miglioramenti continui nelle underground per l’abuso delle AI

Gli aggressori non sfruttano più l’intelligenza artificiale (IA) solo per aumentare la produttività negli attacchi, ma stanno implementando nuovi malware basati sull’IA nelle operazioni attive.

Questo segna una nuova fase operativa di abuso dell’IA, che coinvolge strumenti che alterano dinamicamente il comportamento durante l’esecuzione.

Il report del team di analisi sulle minacce di Google, rappresenta un aggiornamento dell’analisi di gennaio 2025, “Adversarial Misuse of Generative AI” e descrive in dettaglio come gli attori delle minacce informatiche e i criminali informatici supportati dai governi stiano integrando e sperimentando l’intelligenza artificiale, durante l’intero ciclo di vita dell’attacco.

PROMPTFLUX: il nuovo malware che utilizza l’API Gemini

L’analisi di GTIG rivela che attori sponsorizzati da stati provenienti da Corea del Nord, Iran e Cina, insieme a criminali motivati ​​finanziariamente, stanno abusando sempre più di Gemini durante l’intero ciclo di vita dell’attacco, dalle esche per il
phishing fino alle configurazioni di comando e controllo.

Un nuovo malware rilevato, induce l’LLM a generare script di evasione autonomi, producendo solo il codice senza testo estraneo e registrando le risposte in un file temporaneo per consentirne il perfezionamento.

Google TIG fa notare che, sebbene esistano funzionalità di auto aggiornamento commentate, questo indica uno sviluppo attivo iniziale. Il malware tenta anche di diffondersi lateralmente su unità rimovibili e condivisioni di rete.

Questo approccio sfrutta il potere generativo dell’intelligenza artificiale non solo per la creazione, ma anche per la sopravvivenza continua del malware stesso, a differenza del malware statico che si basa su firme fisse facilmente rilevabili dai difensori.

L’emergere di PROMPTFLUX è in linea con la maturazione del mercato della criminalità informatica, in cui gli strumenti di intelligenza artificiale inondano i forum underground, offrendo funzionalità che vanno dalla generazione di deepfake allo sfruttamento delle vulnerabilità a prezzi di abbonamento.

Malware sempre più dinamici per confondere le difese attive

Una volta scoperto il malware, Google ha rapidamente disabilitato le chiavi API e i progetti associati, mentre DeepMind migliora i classificatori e le misure di sicurezza del modello di Gemini per bloccare le richieste di utilizzo improprio.

Si può quindi dedurre, che gli attori delle minacce stanno costantemente riducendo le barriere per gli autori alle prime armi.

GTIG mette in guardia dai rischi maggiori, tra cui ransomware adattivi come PROMPTLOCK che creano dinamicamente script Lua per la crittografia.

L’azienda sottolinea il suo impegno verso un’intelligenza artificiale responsabile attraverso principi che danno priorità a robuste barriere di sicurezza, condividendo informazioni tramite framework come Secure AI (SAIF) e strumenti per la gestione delle vulnerabilità tramite red-teaming.

Innovazioni come Big Sleep per la ricerca delle vulnerabilità e CodeMender per l’applicazione automatica delle patch sottolineano gli sforzi per contrastare in modo proattivo le minacce dell’intelligenza artificiale.

L'articolo Malware adattivi e altamente evoluti utilizzano l’AI per confondere le difese di sicurezza proviene da Red Hot Cyber.

Un’estensione AI di VS Code trasforma il tuo PC in un ostaggio digitale

I ricercatori di Secure Annex hanno trovato un’estensione dannosa nel catalogo delle estensioni di Visual Studio Code Marketplace per VS Code, dotata di funzionalità ransomware di base. A quanto pare, il malware è stato scritto utilizzando il Vibe coding e la sua funzionalità dannosa è chiaramente indicata nella descrizione.

L’estensione sarebbe stata pubblicata con il nome susvsex da un autore soprannominato suspublisher18. La descrizione e il file README descrivono chiaramente due funzioni chiave dell’estensione: il caricamento di file su un server remoto e la crittografia di tutti i file sul computer della vittima tramite AES-256-CBC.

Gli analisti riportano che il malware è chiaramente generato dall’intelligenza artificialee non sembra essere stato progettato con cura. Il pacchetto include extension.js con parametri hardcoded, tra cui l’indirizzo IP, le chiavi di crittografia e l’indirizzo C&C.

I commenti nel codice sorgente indicano che almeno una parte del codice non è stata scritta a mano, ma generata automaticamente.

Sebbene gli esperti abbiano definito susvsex un’applicazione di intelligenza artificiale, sottolineano che l’estensione è probabilmente utilizzata come esperimento per testare il processo di moderazione di Microsoft e che piccole modifiche al codice potrebbero trasformarla in una vera minaccia.

L’estensione si attiva in seguito a un evento (installazione o avvio di VS Code), dopodiché richiama la funzione zipUploadAndEncrypt. Verifica la presenza di uno speciale file di testo, raccoglie i dati richiesti in un archivio ZIP, invia questo archivio a un server remoto predefinito e quindi sostituisce i file originali con le loro versioni crittografate.

Come accennato in precedenza, la crittografia è affidata all’algoritmo AES-256-CBC.

Allo stesso tempo, l’estensione interroga un repository GitHub privato, controllando il file index.html, accessibile tramite un token PAT, e tentando di eseguire tutti i comandi presenti. Utilizzando il token, i ricercatori hanno ottenuto informazioni sull’host e hanno concluso che il proprietario del repository si trova probabilmente in Azerbaigian.

Gli esperti hanno informato Microsoft della minaccia, ma al momento l’estensione è ancora disponibile per il download.

L'articolo Un’estensione AI di VS Code trasforma il tuo PC in un ostaggio digitale proviene da Red Hot Cyber.

Crolla il mito della sicurezza al Louvre! Tra AUDIT, password ridicole e telecamere obsolete

Il recente furto al Museo del Louvre, avvenuto nel cuore di Parigi, ha scosso non solo il mondo dell’arte ma anche quello della sicurezza informatica. Nella notte del 22 ottobre 2025, diversi gioielli della corona francese sono stati sottratti dalla Galleria di Apollo, nonostante i sofisticati sistemi di allarme e sorveglianza. Gli investigatori stanno ancora cercando di capire come sia stato possibile penetrare in una delle strutture più protette al mondo, ma degli audit di sicurezza avevano rivelato un elemento tanto banale quanto preoccupante: password deboli e sistemi obsoleti.

Due verifiche indipendenti, avevano già segnalato criticità legate alla gestione delle credenziali d’accesso da parte del personale del museo. Molti account amministrativi utilizzavano password facilmente intuibili o di default, aprendo la strada a potenziali accessi non autorizzati ai sistemi di videosorveglianza e controllo. Nonostante gli avvertimenti, la risposta istituzionale è stata lenta e frammentaria.

Il furto ha dunque messo in luce un nodo cruciale della sicurezza moderna: non basta proteggere muri e teche, se le chiavi digitali per accedervi sono deboli o facilmente compromettibili. Il Louvre, simbolo mondiale della cultura e dell’arte, si trova oggi a dover affrontare una crisi che va oltre il danno materiale, toccando la credibilità e la fiducia del pubblico nella sua capacità di custodire il patrimonio storico dell’umanità.

Le parole di Laurence des Cars: “Abbiamo portato a termine tutte le nostre missioni”

“Abbiamo portato a termine tutte le nostre missioni”, ha assicurato Laurence des Cars, presidente e direttore del Museo del Louvre, intervenendo nel programma mattutino di Franceinfoquesto venerdì 7 novembre 2025.

Nella sua prima intervista dopo l’audizione davanti ai senatori della commissione cultura del 22 ottobre 2025 e il furto al Museo del Louvre, in cui furono rubati diversi gioielli della corona francese, Laurence des Cars ha affermato che “la Corte dei conti ha sbagliato a essere così severa”.

In un rapporto pubblicato giovedì, l’agenzia ha concluso che il museo ha fatto scelte di bilancio “a scapito” della sicurezza del sito. Tuttavia, ha indicato che “la percentuale del budget dedicata alle acquisizioni di opere d’arte diminuirà”.

Un bilancio tra trasformazione e vulnerabilità

“Ci sono alcune telecamere perimetrali, ma sono obsolete (…), la rete è molto insufficiente, non copre tutte le facciate del Louvre e purtroppo sul lato della Galleria Apollo” dove è avvenuto il furto, “l’unica telecamera è posizionata verso ovest e quindi non ha coperto il balcone interessato dall’effrazione”, ha affermato la signora des Cars, assicurando che il futuro piano di sicurezza coprirà “tutte le facciate”.

La scorsa settimana, Rachida Dati, Ministro della cultura francese, ha riconosciuto che il Louvre aveva “sottovalutato” il rischio di furto e intrusione, ma l’ha davvero preso in considerazione? RTL ha ottenuto l’accesso alla bozza del contratto di esecuzione (COP) del museo per i prossimi quattro anni, e questo rischio di furto non viene menzionato in alcun punto delle 87 pagine del documento.

Gli esperti sottolineano che le minacce informatiche contro i grandi musei sono in costante crescita, poiché queste istituzioni custodiscono non solo opere d’arte ma anche dati sensibili: dai cataloghi digitali alle planimetrie di sicurezza, fino ai sistemi di controllo remoto degli impianti.

Password deboli e credenziali condivise tra i dipendenti rappresentano un punto di vulnerabilità che può essere sfruttato per coordinare furti fisici o sabotaggi.

La rinascita del Louvre e il restauro della corona dell’Imperatrice Eugenia

Il furto al Louvre non rappresenta solo una falla fisica nella protezione delle opere, ma un campanello d’allarme sulla cybersicurezza dei luoghi culturali. Le indagini hanno infatti rivelato debolezze nei sistemi digitali del museo, già evidenziate in passato da audit interni e dalla Cour des comptes, che aveva denunciato ritardi nell’aggiornamento delle infrastrutture di videosorveglianza e una copertura “molto insufficiente” delle telecamere di sicurezza. Questi elementi mostrano come la vulnerabilità digitale possa amplificare quella fisica, aprendo la strada a intrusioni coordinate.

L’episodio del Louvre evidenzia un problema più profondo e sistemico: molte istituzioni culturali non trattano ancora la cybersicurezza come una componente strategica della conservazione. Secondo gli esperti intervistati da Siècle Digital, la protezione dei musei oggi deve includere la gestione delle identità digitali, la sicurezza dei badge e delle reti interne, e il controllo rigoroso dei dispositivi IoT collegati ai sistemi di allarme e sorveglianza. Password deboli, credenziali condivise e software non aggiornati non sono solo errori tecnici: rappresentano falle nella cultura della sicurezza, che i cybercriminali sanno sfruttare meglio di chiunque altro.

In definitiva, il furto dei gioielli della corona francese è destinato a diventare un caso di studio globale sulla sicurezza digitale abbinata al patrimonio culturale dei singoli paesi.

L'articolo Crolla il mito della sicurezza al Louvre! Tra AUDIT, password ridicole e telecamere obsolete proviene da Red Hot Cyber.

Doppio Gioco: i dipendenti di un’azienda che “risolveva” gli attacchi ransomware li lanciavano loro stessi

Tre ex dipendenti di DigitalMint, che hanno indagato sugli incidenti ransomware e negoziato con i gruppi di ransomware, sono accusati di aver hackerato le reti di cinque aziende americane. Secondo il Dipartimento di Giustizia degli Stati Uniti, hanno partecipato ad attacchi ransomware BlackCat (ALPHV) e hanno estorto milioni di dollari alle vittime.

Il caso coinvolge un 28enne e un 33enne della Georgia ed un loro complice. Sono accusati di associazione a delinquere volta a interferire con il commercio interstatale attraverso racket, interferenza effettiva con il commercio e danneggiamento intenzionale di computer protetti. Queste accuse prevedono una pena massima di 50 anni di carcere.

Secondo il Chicago Sun-Times, uno dei due e un complice non identificato lavoravano presso DigitalMint, specializzandosi in negoziazioni di ransomware, mentre l’altro era responsabile della risposta agli incidenti presso un’altra azienda, la Sygnia.

Gli inquirenti sostengono che gli imputati siano diventati complici del sistema di estorsione BlackCat, hackerando reti aziendali, rubando dati e diffondendo ransomware. Alle vittime è stato poi chiesto di pagare un riscatto in criptovaluta per decifrare i loro dati e “mantenere riservate le informazioni rubate”.

Secondo i documenti del tribunale, il gruppo aveva preso di mira un produttore di dispositivi medici con sede a Tampa, un’azienda farmaceutica del Maryland, un’azienda di ingegneria e una clinica medica della California e uno sviluppatore di droni con sede in Virginia.

Le richieste di riscatto variavano da 300.000 a 10 milioni di dollari. Tuttavia, l’unico pagamento effettivamente ricevuto dagli hacker è stato di 1,27 milioni di dollari, trasferiti da un’azienda con sede a Tampa dopo l’attacco del maggio 2023.

BlackCat (noto anche come ALPHV) è uno dei gruppi di hacker più attivi degli ultimi anni. Secondo l’FBI, solo nei primi due anni di attività, i suoi partner hanno effettuato oltre 1.000 attacchi e raccolto almeno 300 milioni di dollari in riscatti.

L'articolo Doppio Gioco: i dipendenti di un’azienda che “risolveva” gli attacchi ransomware li lanciavano loro stessi proviene da Red Hot Cyber.

RIASSUNTO DELLE PUTTANATE DELLA SETTIMANA

1- Rinnovati i contratti degli insegnanti, fatti due calcoli in media in busta paga vedremo non più di 40 euro al mese in più, netti
2- Brunetta invece si aumenta da solo lo stipendio di 5000 euro al mese in più passando da 250mila euro l anno a 310mila euro l'anno.
3- La carta del docente arriverà nel secondo quadrimestre e solo se abbiamo fatto i bravi nel primo quadrimestre, nel frattampp se servono libri tablet pc, corsi ce li paghiamo di tasca nostra.
4- per andare in pensione occorre lavorare 3 mesi in più, pare stiano veramente abolendo la riforma Fornero, peggiorandola.
5- La legge di bilancio prevede un risparmio sulla scuola di almeno 600 milioni di euro utili per comprare armi.
6- A New York viene eletto un sindaco di fede musulmana che sa parlare ai cittadini, panico tra i destrorsi, rischio sicurezza. Sarebbe come dire che io sono pericoloso perché conterraneo di Cuffaro.
7- Cuffaro viene arrestato per appalti truccati. Non si riesce a capire come sia stato capace, un personaggio così onesto e altruista oltre che bravo amministratore.
8- Il principale problema degli scioperi pare non sia il motivo per cui si sciopera, ma il fatto che si facciano di venerdì per avere il weekend lungo a proprie spese, mentre i parlamentari hanno da tempo lanciato la settimana cortissima andando a casa di giovedì a spese dello Stato.

Prof Salvo Amato.

Microsoft si scusa con 3 milioni di utenti australiani per pratiche commerciali scorrette

Microsoft si è scusata con quasi 3 milioni di utenti australiani e ha offerto loro il rimborso degli abbonamenti alla nuova e più costosa suite per ufficio Microsoft 365, che include Copilot, un assistente basato sull’intelligenza artificiale.

Microsoft Australia ha inviato via e-mail agli utenti di Microsoft 365 un’offerta di rimborso e ha riconosciuto che la struttura tariffaria e i piani tariffari non erano sufficientemente trasparenti per i consumatori e non soddisfacevano gli standard dell’azienda.

“Il nostro rapporto si basa sulla fiducia e sulla trasparenza e ci scusiamo per non aver rispettato i nostri standard”, ha affermato l’azienda statunitense in un’e-mail agli abbonati di Microsoft 365.

Una settimana e mezza fa, l’Australian Competition and Consumer Commission (ACCC) ha intentato una causa contro Microsoft Australia e la sua casa madre statunitense, sostenendo che il colosso del software aveva ingannato i consumatori sui prezzi della suite Office e sulla disponibilità di piani tariffari più economici senza l’assistente AI.

Se il tribunale confermerà la decisione dell’autorità di regolamentazione, Microsoft rischia una multa multimilionaria. Questa mattina, la filiale australiana ha inviato una newsletter agli utenti di Microsoft 365 Personal e Family con informazioni sugli abbonamenti disponibili: con Copilot, costano 16 dollari australiani (10,40 dollari) e 18 dollari australiani (11,70 dollari), mentre senza, costano 11 dollari australiani (7,20 dollari) e 14 dollari australiani (9,10 dollari).

Per gli utenti che scelgono di passare a piani più economici entro la fine del 2025, l’azienda rimborserà i pagamenti effettuati dopo il 30 novembre 2024. Nella sua causa, la Commissione sostiene che Microsoft abbia ingannato 2,7 milioni di consumatori, costringendoli a pagare un prezzo più alto per un abbonamento a Copilot e non offrendo un’alternativa più economica.

Gli utenti sono stati informati della disponibilità di un’alternativa più economica solo al momento di tentare di annullare l’abbonamento. Se l’autorità di regolamentazione non ritira la causa e il tribunale la accoglie, Microsoft dovrà pagare un risarcimento danni sotto forma non solo di un rimborso multimilionario, ma anche di una multa di diversi milioni di dollari.

La multa massima per tale reato è di 50 milioni di dollari australiani (32,6 milioni di dollari), tre volte l’importo del vantaggio ingiusto, o il 30% del fatturato rettificato dell’azienda per il periodo della violazione.

L'articolo Microsoft si scusa con 3 milioni di utenti australiani per pratiche commerciali scorrette proviene da Red Hot Cyber.