Hacking Cat, l'hacktivismo pro-Ucraina si arma di malware custom

Hacking Cat ha evoluto le proprie capacità da defacement a malware distruttivi custom. Kaspersky segnala Gorilla RAT e Monkey Ransomware, con possibile uso di IA

Il gruppo hacktivista pro-Ucraina Hacking Cat ha compiuto l'evoluzione da attacchi di defacement e data leak a operazioni distruttive con malware proprietario. Secondo un report di Kaspersky citato da The Record, il gruppo ha deployato due nuove famiglie: Gorilla RAT, tool di accesso remoto con capacità di tunneling, e Monkey Ransomware, che cripta i file aggiungendo l'estensione .monkey. La constatazione, datata 14 settembre 2026, rappresenta un punto di svolta nell'escalation del conflitto cyber tra Russia e Ucraina.

Punti chiave

Hacking Cat è attivo da febbraio 2024 ed è passato da defacement a malware distruttivi custom in circa 18 mesi.
Kaspersky ha identificato Gorilla RAT per accesso remoto e tunneling, e Monkey Ransomware con estensione .monkey e varianti in diversi linguaggi di programmazione.
Il gruppo ha negato via Telegram di essere l'autore dei "lockers", complicando l'attribuzione nonostante la condivisione di tool con altri gruppi hacktivisti.
Kaspersky ipotizza che lo sviluppo rapido delle varianti possa indicare uso di IA generativa, con l'alternativa plausibile di semplice sperimentazione da parte degli operatori.

Da febbraio 2024: la traiettoria verso il malware distruttivo

Hacking Cat è emerso nel febbraio 2024 con attacchi di defacement contro obiettivi russi. Nel corso del 2025, il gruppo ha spostato il proprio modus operandi verso operazioni di cifratura e distruzione dati. La prima apparizione di Monkey Ransomware è datata tarda estate o primo autunno 2025, con varianti sviluppate in linguaggi di programmazione diversi.

Parallelamente, Kaspersky ha documentato l'uso di Gorilla RAT, descritto come remote-access tool precedentemente non documentato, con funzionalità di tunneling del traffico di rete per stabilire e mantenere l'accesso remoto ai sistemi compromessi. In alcuni attacchi, il gruppo ha sfruttato vulnerabilità in Microsoft Exchange Server per ottenere il punto d'ingresso iniziale. Non è nota quale specifica vulnerabilità sia stata utilizzata.

Monkey Ransomware e il problema dell'attribuzione

Monkey Ransomware aggiunge l'estensione .monkey ai file crittografati. Tuttavia, la paternità di questo strumento è contestata. In una dichiarazione su Telegram, Hacking Cat ha affermato: "A couple of the tools are ours, sure, but the lockers definitely are not". Questa distinzione esplicita introduce un elemento di incertezza nella mappatura delle capacità del gruppo.

La complessità dell'attribuzione è amplificata dalla constatazione di Kaspersky che diversi gruppi hacktivisti condividono gli stessi tool custom e catene di infezione identiche, suggerendo uno sviluppatore comune o un mercato interno di strumenti. Kaspersky ha osservato che questa condivisione rende "significantly more difficult to attribute individual attacks to a specific threat actor".

Collaborazioni e operazioni congiunte nel 2026

Il report Kaspersky documenta due operazioni significative nel primo semestre 2026. A marzo 2026, Hacking Cat e Cyber Anarchy Squad hanno rivendicato un attacco contro un contractor di Rosatom, l'azienda statale russa dell'energia nucleare. A giugno 2026, Hacking Cat ha collaborato con Ukrainian Cyber Alliance in un attacco distruttivo a Donbassteploenergo, utilizzando Nemo Wiper.

Non è chiaro se queste collaborazioni siano occasionali o strutturate. La relazione esatta tra Hacking Cat, Cyber Anarchy Squad e Ukrainian Cyber Alliance rimane non specificata nel dossier disponibile.

"unusually rapid development could indicate that generative AI was used to help create or modify the malware, or simply that the hackers were experimenting with its capabilities" — Kaspersky, citato da The Record

L'ipotesi dell'IA generativa: accelerazione o sperimentazione

Kaspersky ha sollevato l'ipotesi che lo sviluppo rapido delle varianti di Monkey Ransomware — in diversi linguaggi di programmazione in un arco temporale compresso — possa indicare l'uso di IA generativa per creare o modificare il malware. Il dossier specifica che questa è un'ipotesi, non una conferma, e che l'alternativa plausibile è che gli operatori stessi stessero semplicemente sperimentando le capacità della tecnologia.

Il dossier non contiene dettagli tecnici verificabili indipendentemente su Gorilla RAT, come hash, indicatori di compromissione o comportamento del server di comando e controllo. Questa mancanza limita la capacità di verifica indipendente delle attribuzioni e delle capacità dichiarate.

Cosa fare adesso

Le organizzazioni con esposizione verso obiettivi russi o con interessi nella regione devono considerare tre azioni specifiche al caso documentato. Primo: monitorare la presenza di file con estensione .monkey come indicatore di compromissione legato a Monkey Ransomware. Secondo: verificare i log di accesso a Microsoft Exchange Server per anomalie non spiegabili, dato che Hacking Cat ha sfruttato vulnerabilità Exchange per l'accesso iniziale. Terzo: trattare con cautela le rivendicazioni di gruppi hacktivisti, dato che Kaspersky ha documentato la condivisione di tool custom tra gruppi distinti, rendendo l'attribuzione singola inaffidabile.

La velocità di evoluzione di Hacking Cat — da febbraio 2024 a tarda estate 2025 per il primo deployment di ransomware — impone un aggiornamento frequente dei feed di threat intelligence. La possibile, se non confermata, accelerazione tramite IA generativa suggerisce che i cicli di sviluppo malware nell'hacktivismo possano comprimersi ulteriormente.

Perché è importante

L'evoluzione documentata solleva questioni sul confine tra hacktivismo e cybercrimine organizzato. Quando gruppi con motivazioni politiche deployano ransomware e wiper, e quando la condivisione di tool rende l'attribuzione impraticabile, la distinzione categoriale diventa operativamente irrilevante per le difese. Il caso Hacking Cat mostra come la brand identity nel sottobosco cyber sia gestita selettivamente: rivendicare alcune operazioni, negarne altre, mantenere ambiguità strategica.

La fonte non specifica se l'uso di Exchange come vettore di accesso iniziale continui in corso, né se le varianti di Monkey Ransomware siano ancora in deployment attivo. Il dossier non chiarisce se Gorilla RAT e Monkey Ransomware siano stati osservati in co-occorrenza negli stessi incidenti o rappresentino linee di sviluppo indipendenti.

Domande frequenti

Monkey Ransomware è confermato come opera di Hacking Cat?

No. Il gruppo ha esplicitamente negato la paternità dei "lockers" in una dichiarazione Telegram. Kaspersky segnala la condivisione di tool tra gruppi come fattore che complica l'attribuzione.

Quali sono le prove dell'uso di IA generativa nello sviluppo del malware?

Non esistono prove dirette. Kaspersky ha formulato un'ipotesi basata sulla rapidità dello sviluppo delle varianti, con un'alternativa plausibile: la semplice sperimentazione da parte degli operatori.

Quale vulnerabilità di Exchange è stata sfruttata?

Il dossier non specifica quale vulnerabilità di Microsoft Exchange Server sia stata utilizzata per l'accesso iniziale negli attacchi documentati.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter