ThreatsDay: quando il cybercrime mangia i suoi e gli IDE diventano arsenale

Il report ThreatsDay dell'8 ottobre 2026 traccia un quadro in cui il mercato ransomware è così saturo da generare fratricidio tra affiliati, mentre piattaforme di sviluppo quotidiane — VS Code, npm, RubyGems — subiscono un'offensiva strutturata senza precedenti recenti. La convergenza è chiara: la decomposizione della fiducia non risparmia né il lato criminale né quello legale dell'ecosistema software.

Il tradimento di Azazel: il RaaS che diventa individualismo

Il modello ransomware-as-a-service ha funzionato per anni su una divisione del lavoro: operatori forniscono il ransomware, affiliati forniscono l'accesso e gestiscono l'estorsione, i profitti si dividono. Il report ThreatsDay documenta il crollo di questo patto nel caso del gruppo Gentlemen. Un affiliato denominato Azazel ha "costruito e operato il proprio leak site indipendente sotto il brand Leakned, pubblicando dati delle vittime e raccogliendo i proventi dell'estorsione senza instradarli attraverso il programma Gentlemen". La citazione, attribuita a CloudSEK nella fonte primaria, descrive un tradimento doppio: verso l'operatore RaaS e simultaneamente verso le vittime, i cui dati vengono monetizzati due volte.

Il meccanismo è rilevante perché segnala una maturità criminale perversa. Quando il mercato è affollato, il vincolo reputazionale tra operatori e affiliati si allenta: l'affiliato ha incentivi a massimizzare il profitto individuale piuttosto che preservare il brand collettivo. Il dossier non specifica il volume totale di profitti sottratti tramite Leakned, né l'identità reale di Azazel. La fonte riporta vittime in sei paesi, senza elencarli.

VS Code, npm, RubyGems: la supply chain come teatro di guerra

La settimana ha visto una concentrazione insolita di campagne contro piattaforme di distribuzione software. Due temi per VS Code — "Coca-Cola Christmas" e "Aurora Borealis" — sono risultati collegati all'attore GlassWorm. Secondo il ricercatore Kirill Boychenko di Socket, "quella build contiene lo stesso indirizzo Solana, la stessa chiave AES e lo stesso modello di esecuzione documentati in precedenza nell'attività GlassWorm". La tecnica del dead drop blockchain permette al malware di recuperare payload senza contattare server C2 tradizionali, rendendo il takedown infrastructurale inefficace.

Sul fronte npm, il pacchetto "@subql/common" versione 5.8.3 ha ospitato payload nascosto per raccolta credenziali e remote shell. StepSecurity ha documentato che "il codice targets developer workstations e CI environments, including GitHub Actions runners and accessible cloud services". La contaminazione inizia durante l'installazione e all'importazione del pacchetto.

Parallelamente, l'account RubyGems "reqthrottle_3474" ha pubblicato 42 gem malevoli. SafeDep ha rilevato che undici gem aprono reverse shell verso 45.138.12.177 su porta 8089 o 8090, mentre trentuno scaricano wgkit.tar.gz. Le gem non attivano in ambienti CI o sandbox; su macchine sviluppatore attendono 20-40 minuti prima di eseguire.

Nove pacchetti npm dall'account "dirtyblanket" completano il quadro con un worm Linux auto-spread che installa la backdoor "systemd-fontd" come finto servizio systemd, pubblicati in un intervallo di 33 minuti. Il dossier non riporta il numero di installazioni effettive.

Strumenti legittimi, fini malevoli: Power BI, driver firmati e AI generativa

L'abuso di infrastrutture trusted caratterizza anche le altre operazioni documentate. Huntress ha rilevato una campagna phishing che conduce le vittime a domini Power BI legittimi con un documento di riferimento falso; "dopo alcuni secondi, uno script attiva programmaticamente un link di download nascosto". Il payload è un installer ScreenConnect rogue.

Il RAT VulcanRAT207, distribuito via WhatsApp attraverso un lure "Statement.exe", impiega la tecnica BYOVD (Bring Your Own Vulnerable Driver) con il driver firmato GoFly64.sys. Morphisec ha documentato che "dopo l'unpacking, il loader esamina l'host, tenta l'elevazione e inietta un downloader nel processo LocalSystem Task Scheduler". Il driver firmato termina processi di sicurezza Baidu selezionati.

Huntress ha inoltre documentato vulnerabilità in software di gestione ricreativa municipale sfruttata per web shell e furto dati di pagamento. L'analisi rileva user-agent compatibili con origine cinese e, in una nota cauta, "sospetta l'uso di script generati da AI lungo tutta la kill chain, dal gran numero di tentativi di accesso iniziali falliti all'upload finale di script PowerShell con commenti estesi nelle istruzioni fornite". Si tratta di una valutazione di probabilità, non di conferma forense.

Perché è importante

Il dossier non documenta misure correttive specifiche per la maggior parte delle campagne descritte. La fonte non specifica se patch siano disponibili per tutte le otto vulnerabilità Citrix NetScaler o solo per le due inserite nel KEV Catalog. Non emerge il numero totale di vittime effettive dei pacchetti npm e RubyGems compromessi. L'identità reale di Azazel resta non rivelata, così come l'entità completa del gruppo Qilin e il ruolo preciso del sospetto arrestato.

Quanto emerge con chiarezza è la direzione: la fiducia — nel cybercrime come nello sviluppo software — è diventata un costo. Gli affiliati tradiscono gli operatori, i marketplace di pacchetti ospitano malware sofisticato con tecniche di evasione progettate per resistere alla scoperta, le piattaforme legittime diventano vettori di ingegneria sociale. Il tradimento RaaS non è una novità assoluta, ma la frequenza e l'organizzazione documentata nel report segnalano un'accelerazione.

"Healthcare data – including medical histories, diagnostic images, lab results, and prescription records – remains valuable for a lifetime, making the sector especially vulnerable to harvest-now, decrypt-later (HNDL) attacks" Forescout, citato nel report ThreatsDay

Dispositivi medici, estradizione e raccolta dati: gli altri fronti

Il report tocca temi che esulano dal puramente tecnico ma completano il quadro. Forescout ha analizzato circa 2,5 milioni di dispositivi in oltre cinquanta organizzazioni sanitarie: solo il 6% dei dispositivi IoMT e il 16% dei dispositivi medical OT usano implementazioni SSH capaci di supportare transizione alla crittografia post-quantum. Il 31% dei sistemi esposti supporta TLS 1.3, l'unica versione con supporto standardizzato PQC.

Un cittadino russo di 28 anni, membro del gruppo Qilin ransomware, è stato arrestato a Osaka nel maggio 2026 ed estradato in Germania il 2 ottobre 2026. È accusato di un attacco a una società di logistica tedesca nel settembre 2024 con estorsione di oltre 160.000 dollari in criptovaluta.

Meta Muse AI costruisce dossier orari su utenti e persone menzionate nelle chat, inclusi non-utenti. Meta, interrogata da TIME, ha risposto che "Muse ricorda ciò che conta di più per te, inclusi informazioni su altri che scegli di condividere, così può essere un assistente personale utile". Il report TIME descrive comportamento documentato nelle istruzioni interne, non una violazione legale accertata.

CERT-AGID e Truffle Security hanno rilevato 543.699 credenziali GitHub ancora valide nel dataset di addestramento AI "The Stack v3" (15,9 TB, circa 224 milioni di repository). L'età media delle credenziali funzionanti è 784 giorni. Le credenziali erano esposte in repository pubblici, non rubate dal dataset.

Citrix nel KEV e attribuzione Warlock

CISA ha confermato "report e threat intelligence di partner che attesta che gli attori delle minacce stanno sfruttando attivamente queste vulnerabilità a livello globale". Unit 42 ha identificato 50.277 istanze NetScaler esposte potenzialmente vulnerabili. Il punteggio CVSS v4.0 per entrambe le CVE è 9.5 secondo Unit 42, mentre le fonti ufficiali NVD citano 9.8 (CVE-2026-88771) e 8.1 (CVE-2026-88772).

Symantec ha attribuito il ransomware Warlock al gruppo cinese Longlegs (Storm-2603), con almeno quattro organizzazioni attaccate in due mesi, inclusi un operatore idrico e un provider telecom. In un'intrusione, Longlegs ha disabilitato software di sicurezza su oltre 40 host e deployato Warlock via share SYSVOL su 33 host.

Lettura: la fine del trust come business model

Il tradimento di Azazel e la contaminazione di npm non sono incidenti isolati. Sono manifestazioni dello stesso fenomeno: quando un ecosistema si scal troppo velocemente, i meccanismi di reputazione che lo regolano cedono. Nel cybercrime, il RaaS aveva introdotto un'innovazione organizzativa: specializzazione e divisione del lavoro. La sua crisi attuale mostra che, senza enforcement, i contratti informali tra criminali si scompongono come quelli tra qualsiasi altro mercante.

Nello sviluppo software, il modello open source distribuito ha funzionato su trust trasversale: scarico un pacchetto, assumo che la comunità lo abbia controllato. La campagna GlassWom e i pacchetti "dirtyblanket" dimostrano che questo trust è diventato un'opportunità sistematica per attori capaci di simulare legittimità tecnica — firme digitali, nomi accattivanti, ritardi di attivazione che eludono la sandbox. La differenza è che mentre il RaaS Gentlemen perde un affiliato, la supply chain software perde credibilità strutturale. La prima è una crisi di business model criminale; la seconda è una crisi dell'infrastruttura digitale condivisa.

Il report ThreatsDay non offre soluzioni. Offre però una mappa precisa di dove la pressione sta aumentando: nei marketplace di pacchetti, nei driver firmati abusati, nei domini Power BI impersonati, nei dataset di addestramento AI che conservano credenziali dimenticate. Per chi gestisce infrastrutture, la lettura è che la verifica non può più essere delegata interamente alla reputazione della piattaforma.

Domande frequenti

Il tradimento di Azazel è un evento senza precedenti nel ransomware?

No. Il brief lo descrive come pattern emergente, non come novità assoluta. La documentazione di CloudSEK ne conferma l'organizzazione e la scala, non l'unicità storica.

Perché le credenziali GitHub rimangono valide dopo anni di esposizione?

Il dato di 784 giorni di età media indica che le credenziali non vengono rotte o revocate automaticamente, non che il dataset AI le abbia attivamente compromesse. La responsabilità della revoca resta sui proprietari dei repository.

Il malware nei pacchetti npm attiva immediatamente l'installazione?

Il pacchetto @subql/common attiva all'importazione; le gem RubyGems attendono 20-40 minuti; il worm "dirtyblanket" si installa come servizio systemd. I tempi e i meccanismi variano per campagna.

Le informazioni sono basate sull'advisory citato e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/10/threatsday-ransomware-affiliate.html
• https://www.hendryadrian.com/threat-research-weekly-recap-04-oct-2026/
• https://www.cisa.gov/news-events/alerts/2026/09/27/critical-zero-day-vulnerabilities-exploited-citrix-netscaler-adc-gateway
• https://www.cisecurity.org/insights/blog/sltt-c2-traffic-tied-to-remus-malware-distribution-operation
• https://cert-agid.gov.it/news/credenziali-github-esposte-anche-nei-dataset-per-laddestramento-dellia/
• https://www.security.com/threat-intelligence/warlock-ransomware-critical-infrastructure
• https://unit42.paloaltonetworks.com/netscaler-zero-days-exploited/