Kaspersky attribuisce a Mirage Kitten (UNC1549) un nuovo arsenale di spionaggio: il backdoor NightLedger e due tunnel WebSocket che trasformano le macchine infette in relay, così da occultare traffico e attribuzione. Attribuzione iraniana da Check Point e Unit 42.
Hunt.io documenta una campagna di sospetta matrice cinese che divide l’attacco fra due modelli: Claude Code per l’esecuzione agentica, DeepSeek-v4-pro per il ragionamento offensivo. Compromessi sistemi governativi in Thailandia, Afghanistan e Taiwan, con scansione di oltre 5.890 host in dieci Paesi.
Gli ISAC (Information Sharing and Analysis Center) organizzano per settore la condivisione delle minacce: origini, funzionamento, diffusione in Europa con l’ENISA e ruolo della fiducia.
Il Traffic Light Protocol (TLP) e le sue quattro etichette: come condividere l’intelligence sulle minacce stabilendo fin dove ogni informazione può essere ridiffusa.
I Priority Intelligence Requirements (PIR): le poche domande prioritarie che guidano un programma di threat intelligence e trasformano la raccolta di dati in decisioni.
STIX e TAXII, gli standard OASIS della threat intelligence: il linguaggio per descrivere le minacce e il protocollo per condividerle in modo automatico e interoperabile.
Il ciclo di vita della threat intelligence in sei fasi (direzione, raccolta, elaborazione, analisi, disseminazione, feedback): come trasformare i dati grezzi in decisioni.
Google Threat Intelligence Group analizza STOCKSTAY, backdoor modulare in .NET di Turla impiegata contro Ucraina e contro entità legate alla politica estera italiana. Attribuzione a Turla con confidenza alta, sviluppatore condiviso con KAZUAR con confidenza moderata.
SentinelOne analizza Gaslight, impianto macOS in Rust che incorpora una cascata di 38 messaggi falsi per ingannare la triage assistita da LLM dell’analista. Non la prima prompt injection anti-analista, ma il primo impianto macOS noto ad adottarla.
Defused Cyber ha intercettato lo sfruttamento di tre vulnerabilità critiche e non autenticate in FortiSandbox. Il dettaglio che cambia il quadro: l’exploit per CVE-2026-25089 mostra segni di generazione tramite un modello di AI, ed è difettoso. Patch da verificare con urgenza.
Una volta al mese riceverai gratuitamente la rassegna dei migliori articoli di ICT Security Magazine