Redazione RHC : 8 Luglio 2025 19:30
Quanti di voi conoscono il celebre client SSH Putty? E quanti di voi l’ha installato scaricandolo da internet senza fare attenzione alla firma rilasciata dal produttore? Se ricadi in questo caso, la prossima volta potrebbe capitare a te!
Gli esperti di sicurezza di Arctic Wolf hanno identificato una nuova ondata di attacchi di avvelenamento SEO volti a distribuire un noto downloader dannoso chiamato Oyster, noto anche come Broomstick o CleanUpLoader. I truffatori utilizzano siti web falsi che imitano le risorse ufficiali di utility popolari come PuTTY e WinSCP per ingannare gli utenti, principalmente professionisti IT, che cercano questi strumenti sui motori di ricerca.
Il sito web dannoso offre il download di una versione falsa del programma desiderato. Una volta avviata, la backdoor Oyster viene installata sul dispositivo della vittima. Gli aggressori ne garantiscono il funzionamento costante creando un’attività pianificata che esegue la libreria DLL dannosa ogni tre minuti utilizzando l’utility “rundll32.exe”. Ciò indica l’utilizzo del meccanismo di registrazione delle DLL per infiltrarsi nel sistema.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber"Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
I siti falsi utilizzati per distribuire il malware includono domini come updaterputty[.]com, zephyrhype[.]com, putty[.]run, putty[.]bet e puttyy[.]org. Gli esperti sospettano che l’elenco dei programmi utilizzati per distribuire il downloader non si limiti a PuTTY e WinSCP.
Inoltre, sono diventate più attive anche altre campagne che sfruttano il SEO poisoning per promuovere malware correlati all’intelligenza artificiale. Ad esempio, durante la ricerca di strumenti di intelligenza artificiale, gli utenti potrebbero essere indirizzati a siti con codice JavaScript incorporato che verifica la presenza di ad-blocker e raccoglie informazioni sul browser. Questo avvia una serie di reindirizzamenti che portano a una pagina di phishing che offre il download di un archivio ZIP contenente malware.
Secondo Zscaler, il risultato finale del download è spesso Vidar Stealer o Lumma Stealer, entrambi distribuiti come archivi con una password specificata nella pagina di download. L’archivio contiene un programma di installazione NSIS da 800 MB, che crea l’illusione di legittimità e aiuta a bypassare gli antivirus che si concentrano sulle dimensioni dei file. Il programma di installazione esegue uno script AutoIt, responsabile dell’attivazione del payload malware. La variante Legion Loader utilizza un file MSI e uno script BAT per distribuire il malware.
Un’altra campagna simile si basa sullo spoofing delle pagine CAPTCHA di Cloudflare. Gli utenti vengono attirati su pagine false di popolari servizi web che utilizzano la nota tecnica ClickFix per installare RedLine Stealer tramite Hijack Loader.
Secondo Kaspersky Lab, le piccole e medie imprese sono sempre più prese di mira. Solo nei primi quattro mesi del 2025, si sono verificati circa 8.500 attacchi in cui malware o programmi potenzialmente indesiderati si presentavano come strumenti come OpenAI ChatGPT, DeepSeek, Cisco AnyConnect, Google Drive, Microsoft Office, Teams, Salesforce e Zoom. Zoom ha rappresentato il 41% di tutti i file dannosi unici, seguito da Outlook e PowerPoint (16% ciascuno), Excel (12%), Word (9%) e Teams (5%). Il numero di file falsi mascherati da ChatGPT è aumentato del 115%, raggiungendo quota 177.
Gli attacchi che sfruttano il supporto tecnico di marchi famosi nei motori di ricerca sono particolarmente pericolosi. Cercando le pagine di servizio di Apple, Microsoft, Netflix o PayPal, un utente potrebbe finire su un sito falso che sembra ufficiale. Ma invece del vero numero di assistenza, ne viene visualizzato uno fraudolento . Questa tecnica viene implementata inserendo parametri di ricerca, che consentono di modificare la visualizzazione della pagina senza modificarne l’URL nei risultati di ricerca. Queste pagine vengono attivamente promosse tramite risultati a pagamento su Google.
Questi incidenti dimostrano come gli aggressori sfruttino aggressivamente la fiducia in marchi noti, piattaforme pubblicitarie e motori di ricerca per diffondere malware. La combinazione di trucchi social, trucchi tecnici e una portata su larga scala attraverso l’avvelenamento SEO trasforma le normali query di ricerca in potenziali trappole.
RedazioneSe n’è parlato molto poco di questo avvenimento, che personalmente reputo strategicamente molto importante e segno di un forte cambiamento nella gestione delle vulnerabilità non documentate in Ita...
Autore: Inva Malaj e Raffaela Crisci 04/10/2025 – Darkforums.st: “303” Rivendica Data Breach di 9 GB su Apple.com Nelle prime ore del 4 ottobre 2025, sul forum underground Darkforums è comparsa...
La storia di SoopSocks è quella che, purtroppo, conosciamo bene: un pacchetto PyPI che promette utilità — un proxy SOCKS5 — ma in realtà introduce un impianto malevolo ben orchestrato. Non stia...
Per decenni, l’informatica è stata considerata una scelta professionale stabile e ricca di opportunità. Oggi, però, studenti, università e imprese si trovano davanti a un panorama radicalmente m...
Lunedì scorso, Asahi Group, il più grande produttore giapponese di birra, whisky e bevande analcoliche, ha sospeso temporaneamente le sue operazioni in Giappone a seguito di un attacco informatico c...
