KMSAuto: il falso attivatore Windows usato per rubare criptovalute

Un hacker che ha rubato oltre 1,7 miliardi di won (circa 1,18 milioni di dollari) in criptovalute utilizzando un malware che falsificava segretamente gli indirizzi dei wallet è stato estradato in Corea del Sud.

Secondo l’Ufficio Investigativo Nazionale dell’Agenzia di Polizia Nazionale Coreana, il cittadino lituano di 29 anni è stato estradato dalla Georgia e successivamente arrestato in base a un mandato del tribunale.

Gli investigatori ritengono che da aprile 2020 a gennaio 2023 il sospettato abbia distribuito un malware chiamato KMSAuto, camuffandolo da strumento di attivazione di Microsoft Windows. Il programma ha preso di mira gli utenti che non utilizzavano strumenti di attivazione autorizzati e, secondo la polizia, è stato scaricato o installato circa 2,8 milioni di volte in tutto il mondo.

Il trucco chiave era il cosiddetto “memory hacking“. Durante una transazione di criptovaluta su un computer infetto, il malware sostituiva automaticamente l’indirizzo del wallet inserito con uno controllato dall’aggressore. Di conseguenza, l’utente inviava fondi a quello che sembrava essere l’indirizzo corretto, ma in realtà il trasferimento era indirizzato all’hacker crimi ale, e l’errore spesso passava inosservato fino a quando non è stata svolta una verifica.

Secondo le forze dell’ordine coreane, l’infezione ha interessato oltre 3.100 indirizzi di wallet e la criptovaluta è stata intercettata in oltre 8.400 transazioni. Il danno totale è stato stimato in circa 1,7 miliardi di won (circa 1,18 milioni di dollari). Tra le vittime figurano residenti sudcoreani: otto persone hanno perso un totale di 16 milioni di won (circa 11.000 dollari).

L’indagine è iniziata nell’agosto 2020 dopo che un utente ha segnalato la perdita di un bitcoin, del valore di circa 12 milioni di won (circa 8.300 dollari): il trasferimento è stato improvvisamente dirottato verso un altro indirizzo.

Ulteriori analisi hanno permesso di tracciare il movimento dei beni rubati attraverso sei paesi, inclusi gli exchange di criptovalute nazionali, e di identificare altre sette vittime coreane.

Una volta identificato il sospettato, la polizia coreana ha avviato un’operazione congiunta nel dicembre 2024 con il Ministero della Giustizia lituano, la procura e la polizia. Durante una perquisizione della residenza del sospettato in Lituania, sono stati sequestrati 22 oggetti, tra cui telefoni cellulari e computer portatili. La Corea del Sud ha richiesto un “Red Alert” dell’Interpol per processarlo e, ad aprile, la polizia georgiana ha arrestato l’uomo al suo ingresso nel Paese.

Seul ha quindi presentato una richiesta di estradizione e, secondo l’agenzia, dopo cinque anni e quattro mesi di indagini, il sospettato è stato infine condotto in Corea del Sud.

L'articolo KMSAuto: il falso attivatore Windows usato per rubare criptovalute proviene da Red Hot Cyber.

Londra, la città “tap & go” e la privacy che resta sul marciapiede

Cinque giorni a Londra, e mi è sembrato di vivere dentro una demo permanente del futuro. Quello patinato, comodo, “frictionless”. Quello dove fai tutto con un tap. Solo che, a forza di tap, alla fine ti accorgi che non stai solo pagando: stai firmando, ogni minuto, un diario dettagliato della tua vita.

Il viaggio l’ho comprato su Ryanair. L’hotel su Booking. Poi arrivi lì e capisci subito l’andazzo: trasporti, musei, spostamenti, perfino la scelta del pub per la serata… tutto passa dal telefono. La metro ti incentiva a usare la carta: contactless e via, “uno per persona”, e ti costa meno che fare il romantico col biglietto comprato al volo.

I bus li gestisci con app e pagamenti digitali. Biciclette e monopattini? App. Prenotazioni per musei? Sito o app. Cerchi un posto carino per una pinta e, come sempre, Google Maps ti prende per mano: “gira qui, attraversa là, sei arrivato”.

Comodo? Da impazzire.

E infatti è qui la trappola: la comodità è l’esca perfetta, perché non la percepisci come una rinuncia. La vivi come un upgrade.

Poi torni a casa, fai il recap mentale della vacanza, e ti arriva addosso l’ennesima conferma: la rete sa perfettamente dove sono stato, minuto per minuto. Sa cosa ho comprato, quando, dove, quanto spesso. Sa i miei spostamenti, le mie abitudini, i miei orari. E non sto parlando della classica “profilazione” da pubblicità fastidiosa. Qui siamo oltre: è la possibilità concreta di ricostruire la tua vita come un film, con timestamp e geolocalizzazione.

A quel punto la parola “privacy” smette di essere un concetto astratto, un tema da convegno, una cosa da “impostazioni dell’account”. Diventa una sensazione fisica: quella di essere leggibile. Tracciabile. Prevedibile.

E la domanda diventa inevitabile: quando tutto passa dal digitale, quanto resta davvero della libertà? Perché la libertà non è solo “posso fare cose facilmente”. Quella è praticità. La libertà, nel senso profondo, è anche poter essere opaco quando vuoi. Poter fare una scelta senza lasciare una scia. Poter esistere senza dover produrre dati.

Qui entra in gioco il tema del contante, che viene sempre buttato in caciara con la storia dell’evasione fiscale. Io la metto giù semplice: non c’entra niente. Se pago un caffè in contanti, nessuno sa che l’ho bevuto, a che ora, in quale zona, con quale frequenza, e magari pure con che “gusti” (macchiato, cappuccino, d’orzo… quello che vuoi). Il barista può farmi lo scontrino, la fiscalità può essere perfettamente a posto: il punto non è “nascondere” qualcosa, il punto è non trasformare ogni gesto quotidiano in un dato permanente.

Se invece pago elettronicamente, quella singola azione diventa informazione strutturata: importo, luogo, orario, ricorrenza. E non la vede “solo la banca”. La vede un intero ecosistema, fatto di intermediari, circuiti, sistemi antifrode, provider, analytics, correlazioni, consensi “accettati” con un tap frettoloso mentre sei in coda. La narrativa è: “ti stiamo semplificando la vita”. La realtà è spesso: “stiamo rendendo la tua vita misurabile”.

La parte più sottile (e più pericolosa) è che questo controllo non serve necessariamente a “spiarti” in modo cinematografico. Serve a normalizzare l’idea che tutto debba essere osservabile. Che ogni cosa debba lasciare traccia. Che l’opacità sia sospetta, l’anonimato un difetto, la riservatezza una stranezza da complottisti.

E attenzione: non sto dicendo “torniamo alle candele”. Io per primo uso servizi digitali, prenoto online, mi muovo con mappe e pagamenti smart. Il punto non è demonizzare la tecnologia. Il punto è riconoscere il prezzo. Perché se il prezzo non lo vedi, lo paghi due volte: una in dati, l’altra in potere ceduto.

Il futuro, se non lo governi, tende sempre a scegliere la strada più comoda per chi raccoglie informazioni, non per chi le produce. E noi le produciamo continuamente, anche quando pensiamo di star semplicemente vivendo.

La vera domanda, allora, non è “privacy sì o no”. È: vogliamo un mondo in cui l’unico modo di funzionare è essere tracciati? Vogliamo che la partecipazione alla vita quotidiana passi da strumenti che, per progettazione, registrano e correlano tutto? Perché a quel punto la libertà non sparisce con un decreto: svanisce per assuefazione. Un tap alla volta.

Se vogliamo restare padroni del gioco, dobbiamo ricominciare a pretendere alternative sensate: pagamenti digitali sì, ma senza trasformare tutto in profilazione; servizi efficienti sì, ma con minimizzazione dei dati; comodità sì, ma senza ricatto “o così o niente”. E, ogni tanto, anche un gesto semplice e quasi sovversivo: scegliere di essere meno leggibili. Non perché abbiamo qualcosa da nascondere, ma perché abbiamo ancora qualcosa da difendere. La nostra autonomia.

L'articolo Londra, la città “tap & go” e la privacy che resta sul marciapiede proviene da Red Hot Cyber.

Invece di salvare le aziende dal ransomware, le attaccavano. Due esperti affiliati di BlackCat

Nel panorama delle indagini sui crimini informatici, alcuni casi assumono un rilievo particolare non solo per l’entità dei danni economici, ma per il profilo delle persone coinvolte. Le inchieste sul ransomware, spesso associate a gruppi criminali stranieri e infrastrutture operative offshore, mostrano sempre più spesso dinamiche differenti, in cui competenze legittime vengono piegate a scopi illeciti.

Il procedimento giudiziario che coinvolge due professionisti della sicurezza informatica affiliati al ransomware ALPHV BlackCatsi inserisce in questo contesto, offrendo uno spaccato significativo sull’evoluzione del cybercrime e sulle sue modalità operative negli Stati Uniti.

A rendere questo procedimento giudiziario diverso da molte altre inchieste sui crimini informatici è il profilo degli imputati. I due uomini coinvolti, insieme a un terzo soggetto, erano professionisti attivi nel campo della sicurezza informatica. Invece di operare per la protezione dei sistemi, hanno utilizzato le competenze acquisite nel loro lavoro per finalità criminali.

Il Dipartimento di Giustizia ha sottolineato come la preparazione tecnica degli imputati sia stata un elemento centrale delle attività illecite.

“Questi imputati hanno sfruttato la loro sofisticata formazione e la loro esperienza in materia di sicurezza informatica per commettere attacchi ransomware, proprio il tipo di reato che avrebbero dovuto cercare di fermare”, ha dichiarato il Procuratore Generale Aggiunto A. Tysen Duva della Divisione Criminale del Dipartimento di Giustizia. “L’estorsione via Internet colpisce cittadini innocenti tanto quanto il prelievo diretto di denaro dalle loro tasche. Il Dipartimento di Giustizia si impegna a utilizzare tutti gli strumenti disponibili per identificare e arrestare gli autori di attacchi ransomware ovunque abbia giurisdizione”.

L’indagine contribuisce inoltre a smentire una convinzione ancora diffusa: quella secondo cui il ransomware sia un fenomeno confinato a gruppi criminali stranieri operanti da Paesi dell’Europa orientale o dell’Asia. Secondo il procuratore federale Jason A. Reding Quiñones, la minaccia può originarsi anche all’interno degli Stati Uniti, sfruttando accessi legittimi e competenze avanzate per colpire vittime sul territorio nazionale.

“Il ransomware non è solo una minaccia esterna: può provenire anche dall’interno dei nostri confini”, ha affermato il procuratore statunitense Jason A. Reding Quiñones per il distretto meridionale della Florida. “Goldberg e Martin hanno utilizzato un accesso affidabile e competenze tecniche per estorcere denaro alle vittime americane e trarre profitto dalla coercizione digitale. Le loro dichiarazioni di colpevolezza chiariscono che i criminali informatici che operano all’interno degli Stati Uniti saranno individuati, perseguiti e chiamati a rispondere delle loro azioni”.

Dagli atti giudiziari emerge che, tra aprile e dicembre 2023, i due imputati hanno agito come affiliati del programma ALPHV BlackCat, una delle principali piattaforme di Ransomware-as-a-Service. In questo modello operativo, gli sviluppatori del malware mantengono l’infrastruttura e il codice, mentre gli affiliati sono incaricati di individuare i bersagli, compromettere le reti e distribuire il ransomware.

Il sistema prevedeva una ripartizione prestabilita dei proventi: il 20% dei riscatti era destinato agli amministratori di BlackCat, mentre l’80% rimaneva agli affiliati. Un accordo che, in almeno un caso documentato, ha prodotto un’estorsione pari a circa 1,2 milioni di dollari in Bitcoin. La quota degli imputati è stata successivamente suddivisa tra i partecipanti e sottoposta a operazioni di riciclaggio per rendere più difficile la tracciabilità dei fondi.

Nel dicembre 2023, il Dipartimento di Giustizia ha annunciato un’azione su larga scala contro la rete ALPHV BlackCat. L’operazione ha portato al sequestro di numerosi siti web collegati al gruppo e alla distribuzione di uno strumento di decrittazione gratuito, che ha consentito alle vittime di evitare il pagamento di circa 99 milioni di dollari in riscatti potenziali.

Goldberg e Martin hanno ammesso la propria responsabilità dichiarandosi colpevoli di un’accusa di cospirazione finalizzata a ostacolare, ritardare o influenzare il commercio mediante estorsione. La sentenza è stata fissata per il 12 marzo 2026. Entrambi rischiano una pena massima fino a 20 anni di reclusione.

L'articolo Invece di salvare le aziende dal ransomware, le attaccavano. Due esperti affiliati di BlackCat proviene da Red Hot Cyber.

Vulnerabilità critica in Apache StreamPipes: aggiornamento urgente necessario

Apache StreamPipes è una piattaforma open-source per l’analisi e l’elaborazione di dati in tempo reale (streaming analytics), pensata soprattutto per IoT, Industria 4.0 e sistemi di monitoraggio.

In parole semplici: serve a raccogliere, elaborare e analizzare flussi continui di dati (sensori, log, eventi, stream) senza dover scrivere molto codice.

Una vulnerabilità recentemente scoperta identificata come CVE-2025-47411, rivela che il meccanismo di identificazione dell’utente dello strumento può essere sfruttato per consentire agli utenti standard di assumere il controllo amministrativo totale.

Il team di sviluppo ha chiuso la vulnerabilità nell’ultima versione del software. Agli utenti che utilizzano le versioni interessate si consiglia di eseguire l’aggiornamento alla versione 0.98.0, che risolve il problema.

Secondo quanto affermato, un utente con un account legittimo e non amministratore può sfruttare questa vulnerabilità la quale colpisce un’ampia gamma di installazioni, in particolare le versioni di Apache StreamPipes dalla 0.69.0 alla 0.97.0.

Questo furto di identità viene realizzato “manipolando i token JWT”, le credenziali sicure utilizzate per gestire le sessioni utente. Creando token specifici, un aggressore può ingannare il sistema facendogli credere di essere l’amministratore, aggirando i controlli standard dei privilegi.

La vulnerabilità consente a un aggressore di “scambiare il nome utente di un utente esistente con quello di un amministratore”. Per uno strumento progettato per gestire i dati dell’IoT industriale, le implicazioni di un’acquisizione amministrativa sono gravi.

Una volta ottenuto il controllo amministrativo, un aggressore può mettere in atto “manomissioni dei dati, accessi non autorizzati e altre violazioni della sicurezza “. Ciò potrebbe consentire a malintenzionati di corrompere i dati analitici o interrompere il flusso di informazioni negli ambienti industriali.

L'articolo Vulnerabilità critica in Apache StreamPipes: aggiornamento urgente necessario proviene da Red Hot Cyber.

Cybercrime 2026: Quando gli attacchi informatici diventano violenza reale

Nel 2025, la criminalità informatica andrà sempre più oltre il “semplice denaro”: gli attacchi non riguardano solo fatture per tempi di inattività e pagamenti di riscatti, ma anche conseguenze umane reali, dalle interruzioni dell’assistenza sanitaria alle molestie delle vittime, fino a rapimenti, torture e minacce alle famiglie dei dirigenti.

Gli effetti collaterali degli attacchi informatici

Gli effetti collaterali degli attacchi informatici vengono solitamente discussi di sfuggita. Il settore è abituato a misurare i danni in termini monetari: pagamenti di riscatti, costi di inattività e reazioni degli investitori.

Ciò che rimane fuori è ciò che accade alle persone: pazienti, dipendenti, genitori, intere città. E così tante storie di questo tipo si sono accumulate nell’ultimo che sembra essere stato un punto di svolta: il costo umano degli incidenti informatici è diventato troppo evidente per essere ignorato.

L’esempio più tragico ha riguardato un attacco ransomware contro l’azienda britannica Synnovis, fornitore di servizi di laboratorio e di patologia per i principali ospedali londinesi. La violazione si è verificata nel 2024, ma nel 2025 una delle aziende sanitarie interessate ha confermato ufficialmente che un paziente era deceduto durante i disagi causati dall’attacco e dai problemi successivi . Questo è significativo non perché “possibili decessi correlati al ransomware” non fossero stati discussi prima, ma perché ha segnato la prima volta in cui è stato ufficialmente riconosciuto un collegamento diretto tra un attacco informatico e un decesso.

Un’altra vicenda di quest’anno dimostra quanto in basso siano disposti a scendere i criminali quando si tratta di fare pressione sulle loro vittime. Nel loro attacco alla rete di istituti per l’infanzia Kido International, gli autori sono andati oltre la pubblicazione di documenti: hanno anche reso pubbliche immagini di bambini e informazioni personali, inclusi indirizzi di casa e recapiti di adulti. In sostanza, le informazioni sui bambini in età prescolare sono diventate uno strumento di intimidazione. È significativo che ciò abbia persino provocato una reazione negativa all’interno della comunità criminale: un gruppo rivale ha pubblicamente umiliato gli aggressori su un forum specializzato, e alcuni dei materiali sono stati rimossi. Ma il fatto rimane: i confini di ciò che è accettabile nel ricatto continuano a sfumare.

Il colpo più significativo ha avuto un impatto sociale

Nel Regno Unito, l’attacco alla Jaguar Land Rover ha rappresentato il colpo economico più significativo. La produzione è stata interrotta per circa cinque settimane e i danni totali, la ripresa e gli effetti a cascata lungo la catena di approvvigionamento sono stati stimati in oltre 2 miliardi di sterline. L’incidente ha avuto anche una dimensione sociale: i fornitori dipendenti dagli ordini della casa automobilistica hanno dovuto affrontare problemi finanziari e licenziamenti, mentre le famiglie dei dipendenti vivevano in costante tensione: le persone temevano di perdere il reddito, di non pagare l’affitto e semplicemente di non arrivare a fine anno. L’azienda stessa non ha annunciato licenziamenti di massa, ma il livello di ansia tra i lavoratori ha contribuito all’impatto dell’attacco, sebbene non fosse quello riflesso nei dati contabili.

Un’altra tendenza allarmante per il 2025 è la convergenza tra criminalità informatica e violenza fisica, in particolare nel settore delle criptovalute. Ricercatori e aziende di sicurezza stanno documentando un aumento della cosiddetta “violenza come servizio”, in cui minacce, intimidazioni e attacchi stanno diventando parte integrante degli strumenti criminali. L’incidente più eclatante è stato il rapimento del co-fondatore di Ledger, David Ballan, e di sua moglie: i criminali hanno chiesto un riscatto ai colleghi di Ballan e l’incidente è stato accompagnato da una brutalità che di recente sarebbe sembrata “fuori luogo”. Allo stesso tempo, il settore sta richiamando l’attenzione sulle statistiche osservative: ad esempio, l’appassionato e imprenditore Jameson Lopp, che tiene un registro pubblico di tali incidenti, ha contato decine di attacchi violenti legati alle criptovalute nel 2025.

La pressione si intensifica nel 2026

La pressione si intensifica anche nell’estorsione “classica”. Uno studio di Semperis ha rilevato che circa il 40% delle vittime di estorsione ha subito minacce di violenza fisica, non solo astratte, ma anche mirate, quando i criminali dimostrano di conoscere la vita privata e i percorsi delle loro famiglie: dove vivono i loro capi, dove vanno a scuola i loro figli, cosa fanno a casa. Non si tratta più solo di una contrattazione per il riscatto, ma di un attacco psicologico che spinge la vittima a capitolare.

In mezzo a questa escalation, anche le notizie provenienti dalle forze dell’ordine sono preoccupanti. L’Europol ha riferito di un’operazione della Task Force Operativa GRIMM: 193 sospettati sono stati arrestati in casi di omicidi su commissione, intimidazioni e torture. Secondo l’agenzia, tali schemi spesso coinvolgono adolescenti, reclutati o costretti a svolgere compiti “per denaro”. Questa non è più una storia di malware, ma di cartelli criminali violenti in cui l’elemento digitale è solo il biglietto d’ingresso.

Un’altra tendenza di quest’anno sono i “rapimenti virtuali”, in cui i criminali utilizzano l’intelligenza artificiale. L’FBI ha avvertito che i truffatori utilizzano foto dai social media, generando immagini o audio/video convincenti tramite deepfake per ritrarre una persona in pericolo e chiedendo un riscatto ai familiari. A volte, si affidano persino a vere denunce di scomparsa per rendere la storia più credibile. Secondo l’FBI, centinaia di queste truffe hanno fruttato ai criminali circa 2,7 milioni di dollari lo scorso anno. Le raccomandazioni sono semplici ma essenziali: contattare la polizia, rispettare gli ordini di “non chiamata” e avere una parola d’ordine familiare in anticipo per verificare l’autenticità della situazione.

Concludendo

Il 2026 si prospetta molto frizzante è vero.

Ci sono conseguenze che potrebbero colpire intere città contemporaneamente, anche in assenza di vittime. A novembre, Crisis24, fornitore del sistema di allerta di emergenza CodeRED per i comuni statunitensi, è stato attaccato. L’incidente ha provocato il furto di dati ai cittadini, interrompendo temporaneamente l’accesso all’app di allerta e costringendo le autorità a replicare le notifiche tramite i social media. Fortunatamente, durante il periodo di inattività non si sono verificate emergenze gravi, ma la vulnerabilità in sé è evidente: un attacco riuscito a tali servizi potrebbe causare il caos non “in una sala server”, ma per le strade.

Se gli anni ’20 sono iniziati con il parlare di “estorsione come business”, il 2025 sembra sempre più l’anno in cui la criminalità informatica ha cessato di essere solo un business.

Dove c’è estorsione, c’è pressione sulle famiglie. Dove ci sono dati, c’è bullismo e il rischio di violenza fisica.

E più alta è la posta in gioco, che si tratti di criptovalute o di servizi critici, più è probabile che il prossimo attacco colpisca non solo i record, ma anche le persone.

L'articolo Cybercrime 2026: Quando gli attacchi informatici diventano violenza reale proviene da Red Hot Cyber.

UA: Динаміка втрат рашистів у війні проти України з 24 лютого 2022 року
index.minfin.com.ua/ua/russian…

EN: The dynamics of #ruscist losses in the war against Ukraine since February 24, 2022
index.minfin.com.ua/en/russian…

RU: Динамика потерь рашистов в войне против Украины с 24 февраля 2022 года
index.minfin.com.ua/russian-in…