Panzer RaaS: 16 vittime in 11 paesi con maturity anomala

Il 5 agosto 2026 è apparso online il leak site di Panzer, un operatore Ransomware-as-a-Service precedentemente sconosciuto. In poco più di tre settimane, il gruppo ha pubblicato 16 presunte vittime distribuite in 11 paesi e messo in campo un'infrastruttura di affiliazione che le fonti di threat intelligence associano tipicamente a operatori consolidati, non a startup criminali. Il dato che rende il caso degno di attenzione non è il numero di vittime in sé, ma la velocità con cui Panzer ha raggiunto operational maturity: dashboard multi-piattaforma, negoziazione automatizzata in Bitcoin e meccanismi di self-policing inclusi.

Un'ecosistema affiliato sorprendentemente strutturato

Secondo il report originale di CyberXtron, Panzer opera un programma affiliati semi-aperto. La selezione avviene tramite contatto Tox — il cui ID è 8C3D96497A9438794F705C055FC2FD3059F6CF11FF51060EE55ED7F0679CFC7218825BD56CB1 — e prevede un processo di screening obbligatorio prima dell'accesso alla piattaforma. Il revenue split è fissato all'80% per l'affiliato e al 20% per la piattaforma, una proporzione che colloca Panzer nella fascia alta di competitività rispetto ad altri RaaS documentati nel 2026.

La dashboard messa a disposizione include funzionalità che vanno oltre la semplice distribuzione della payload: tracking dei bilanci in tempo reale, gestione delle build multi-piattaforma, sistema ticket di supporto, sub-account per team multipli e workflow di pubblicazione dei leak con approvazione preventiva. Gli account rimangono attivi solo se l'affiliato accede almeno una volta ogni sette giorni; diversamente vengono disattivati automaticamente.

Un elemento di controllo interno particolarmente rilevante: i nuovi affiliati sono sottoposti a 30 giorni di monitoraggio automatico, finalizzato a rilevare infiltrazioni da parte di ricercatori o forze dell'ordine. Questo meccanismo di self-policing, combinato con la policy di inattività, suggerisce che gli operatori di Panzer abbiano modellato la piattaforma sulla base di esperienze pregresse — proprie o di terzi — con i rischi di compromissione del proprio ecosistema.

La mappa delle vittime e il targeting settoriale

Le 16 vittime pubblicate sul leak site .onion Pnzruro7syvwvefx5mpo2fhzi4jftgquynsqf3vy5x3no57yp2iz4nyd[.]onion sono distribuite in modo geograficamente ampio. Secondo i dati di CyberXtron, il paese con il maggior numero di presunte vittime è la Thailandia (3), seguita da Italia, Indonesia e Serbia (2 ciascuno). Un singolo caso riportato per Curaçao, Corea del Sud, Spagna, Repubblica Ceca, Germania, Nigeria e Svizzera.

A livello settoriale, Technology e Manufacturing concentrano quasi la metà dei casi: 4 vittime nel settore tecnologico (25% del totale) e 3 nel manifatturiero (19%). La distribuzione spaziale e settoriale ha portato GBHackers, riportando l'analisi di CyberXtron, a formulare il giudizio che il gruppo operi un targeting "broad, opportunistic" piuttosto che una campagna strettamente focalizzata. Questa lettura è coerente con il modello RaaS, dove la selezione delle vittime è in larga parte delegata agli affiliati.

Il supporto ESXi e il rischio dell'hypervisor come target unico

Il nucleo tecnico che distingue Panzer da molti operatori RaaS emergenti è il supporto nativo per VMware ESXi, accanto a Windows, Linux e FreeBSD. La presenza di build dedicate per hypervisor è critica: un singolo attacco a un server ESXi può cifrare simultaneamente multiple macchine virtuali, massimizzando l'impatto operativo con sforzo minimo rispetto alla compromissione endpoint per endpoint.

Le build ransomware offrono oltre 15 comandi personalizzabili, secondo il report di CyberXtron. Il modello di doppia estorsione — esfiltrazione dei dati prima della cifratura, con pressione successiva tramite countdown sul leak site — è implementato come standard operativo, non come opzione aggiuntiva. La piattaforma integra persino un generatore di invoice Bitcoin per la negoziazione automatizzata, riducendo l'attrito nella fase di riscatto.

"Panzer represents a fast-maturing RaaS threat despite its brief public track record. In just over three weeks of observed activity, the group has assembled a fully operational affiliate ecosystem... infrastructure investment more typical of an established operator than a newly launched one."

Cosa non sappiamo: i limiti del dossier

Il report di CyberXtron, pur essendo la fonte più ricca disponibile, presenta vincoli significativi. La provenienza e la metodologia della società non sono verificabili indipendentemente; CyberXtron opera come vendor commerciale di servizi di sicurezza, con possibile conflitto di interesse nella caratterizzazione delle minacce. Nessun hash malware, indirizzo IP, dominio o sample è stato confermato pubblicamente — una lacuna che rende la detection e la risposta incidenti estremamente complesse per i team SOC e MDR.

Non è noto alcun vettore di accesso iniziale verificato per Panzer. Le tecniche associate con confidenza medio-bassa nel report — OS credential dumping, brute-force, network service discovery, uso di account validi, lateral movement via remote services e impairment di tool di sicurezza — rappresentano pattern generici compatibili con molti operatori ransomware, ma non costituiscono una firma attribuibile.

Resta inoltre aperto il quesito dell'origine del gruppo. Non emergono sovrapposizioni infrastrutturali, nel dossier disponibile, che colleghino Panzer a un RaaS esistente ri-brandizzato o a un attore con track record documentato. La maturità precocissima della piattaforma alimenta l'ipotesi di reutilizzo di framework criminali preesistenti o di know-how acquisito da operatori con esperienza nel settore, ma questa rimane una lettura speculativa non supportata da prove concrete.

Cosa fare adesso

La mancanza di IOC verificati impone un approccio di difesa in profondità basato su comportamento piuttosto che su firme. Le organizzazioni con ambienti virtualizzati ESXi dovrebbero priorizzare il monitoraggio degli accessi amministrativi all'hypervisor e l'isolamento delle management network. La visibilità sul lateral movement tra sistemi eterogenei (Windows, Linux, FreeBSD) è essenziale dato il supporto cross-platform di Panzer.

La presenza di vittime in settori tecnologico e manifatturiero, con distribuzione geografica che include l'Italia, segnala che il targeting non è limitato a regioni tradizionalmente considerate ad alto rischio ransomware. I programmi di backup e recovery devono essere testati su scenario di cifratura hypervisor, non solo endpoint. La segmentazione delle credenziali di amministrazione ESXi da quelle dei sistemi guest riduce la superficie di un singolo attacco che comprometta l'intero cluster.

Per i team threat intelligence, il leak site .onion di Panzer e i canali Tox di reclutamento rappresentano i punti di osservazione primari fino a quando non emergeranno IOC tecnicamente verificabili. La raccolta strutturata dei dati di negoziazione e dei timeline di leak, dove accessibile, può aiutare a modellare il ritmo operativo del gruppo anche in assenza di sample malware.

Panzer dimostra che la curva di apprendimento del ransomware-as-a-service si è compressa drasticamente: tre settimane sono sufficienti per costruire un'operazione che minaccia infrastrutture enterprise su scala globale. Per i difensori, questo significa che la finestra tra l'emergenza di un nuovo attore e la sua pericolosità operativa si è ridotta a pochi giorni. L'assenza di indicatori condivisibili non è un sollievo, ma un'amplificazione del rischio: senza hash o sample, la prima linea di difesa rimane il comportamento, e il comportamento richiede visibilità che molte organizzazioni ancora non possiedono.

FAQ

Panzer è collegato a gruppi ransomware storici come LockBit o ALPHV?

Il dossier non documenta sovrapposizioni infrastrutturali o di codice con operatori noti. Panzer potrebbe essere un re-brand o un'entità indipendente; nessuna delle due ipotesi è verificabile allo stato attuale.

Perché il supporto ESXi è considerato particolarmente pericoloso?

Un attacco all'hypervisor consente di cifrare multiple macchine virtuali contemporaneamente, con un singolo payload. Questo moltiplica l'impatto operativo senza richiedere compromissioni separate per ogni sistema target.

I pagamenti di riscatto sono stati confermati?

Il dossier non riporta né conferma né quantificazione di pagamenti. La piattaforma integra un generatore di invoice Bitcoin, ma l'esistenza di transazioni completate non è documentata.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://gbhackers.com/new-panzer-ransomware-hits-16-victim/
• https://blog.rankiteo.com/epagov1788597061-panzer-ransomware-government-sector-victims-ransomware-september-2026/
• https://cyberxtron.com/resources/blogs/panzer-ransomware-profile-of-an-emerging-double-extortion-operator-8102
• https://gbhackers.com/vanhelsing-ransomware/
• https://gbhackers.com/cybercriminals-exploit-vmware-esxi-vulnerabilities/
• https://gbhackers.com/wp-content/uploads/2026/09/new-panzer-ransomware-hits-16-victims-across-11-countries-with-data-theft-and-encryptionwet-6a9bc914e48f0.webp
• https://gbhackers.com/massive-brute-force-attack-targets-vpn-firewall/