Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 1 Dicembre 2025 19:27
I ricercatori di sicurezza hanno scoperto una sofisticata campagna di exploit che sfrutta un servizio privato di test di sicurezza delle applicazioni out-of-band (OAST) ospitato sull’infrastruttura Google Cloud. La campagna prende di mira principalmente i sistemi in Brasile e sfrutta oltre 200 vulnerabilità comuni (CVE).
Gli endpoint OAST in genere aiutano gli aggressori a verificare il successo degli exploit per l’esecuzione di comandi, la falsificazione delle richieste lato server (SSRF) e la deserializzazione. La maggior parte degli aggressori utilizza servizi OAST disponibili pubblicamente come toast.fun e interact.sh, ma gli autori di questa operazione di minaccia gestivano un dominio privato chiamato i-sh.detectors-testing.com.
Il sistema di threat intelligence Canary di VulnCheck ha rilevato circa 1400 tentativi di exploit relativi a questa infrastruttura tra il 12 ottobre e il 14 novembre 2025. Questa insolita configurazione OAST privata la distingue chiaramente dalla tipica attività di scansione.
 Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Tutto il traffico di attacco osservato proveniva da indirizzi IP di Google Cloud situati negli Stati Uniti. Gli IP di scansione identificati includono: 34.172.194.72, 35.194.0.176, 34.133.225.171, 34.68.101.3, 34.42.21.27 e 34.16.7.161.
Un host OAST dedicato, 34.136.22.26, esegue il servizio Interactsh sulle porte 80, 443 e 389. L’utilizzo dell’hosting di Google Cloud offre un vantaggio tattico. I difensori raramente bloccano completamente il traffico proveniente da grandi provider di servizi cloud, facilitando l’infiltrazione del traffico di attacco nelle comunicazioni di rete legittime.
Sebbene VulnCheck distribuisca Canary a livello globale, questa campagna di attacco ha preso di mira solo i sistemi distribuiti in Brasile. Sebbene i report di AbuseIPDB indichino che lo stesso gruppo di IP degli aggressori sia stato segnalato anche in Serbia e Turchia, i dati di VulnCheck confermano che il suo obiettivo era esclusivamente quello di colpire obiettivi brasiliani.
Gli aggressori hanno combinato template Nuclei con versioni precedenti non più mantenute nel repository ufficiale. Ad esempio, l’attacco ha utilizzato il template obsoleto grafana-file-read. Questo template YAML è stato rimosso dal repository nuclei-templates nell’ottobre 2025.
Ciò suggerisce che gli aggressori potrebbero aver utilizzato strumenti obsoleti o scanner di terze parti.
L’attacco ha utilizzato anche un payload personalizzato. L’aggressore ha esposto una directory aperta sulla porta 9000 contenente un file TouchFile.class modificato, progettato per sfruttare una vulnerabilità in Fastjson 1.2.47.
A differenza della versione standard di Vulhub, questo payload personalizzato poteva eseguire comandi arbitrari e avviare richieste HTTP in base a parametri. Le prove suggeriscono che l’infrastruttura di attacco sia operativa almeno da novembre 2024, dimostrando un’insolita persistenza.
Mentre la maggior parte degli scanner sostituisce rapidamente la propria infrastruttura, questo aggressore ha mantenuto una presenza stabile a lungo termine.
Questo attacco evidenzia come gli aggressori stiano utilizzando strumenti di scansione open source come Nuclei per diffondere payload di exploit su larga scala su Internet.
Sono indifferenti al lasciare tracce, purché riescano a individuare rapidamente obiettivi vulnerabili. Per prevenire minacce così persistenti, le organizzazioni dovrebbero monitorare il traffico di rete alla ricerca di callback OAST insoliti, bloccare gli indirizzi IP dannosi noti e assicurarsi che i sistemi esposti vengano tempestivamente aggiornati.
RedazioneIl mercato clandestino del cybercrime continua a evolversi rapidamente, alimentato da gruppi specializzati che progettano e vendono strumenti per truffe digitali sempre più sofisticate. Tra questi, u...
L’azienda giapponese Science ha lanciato una lavatrice per esseri umani. La capsula lunga 2,30 metri lava una persona in 15 minuti e ha suscitato notevole interesse all’Expo di Osaka concluso rece...
Airbus ha annunciato il richiamo di circa 6.500 aeromobili A320 a causa di potenziali guasti al sistema di controllo ELAC causati da potenti brillamenti solari. Il richiamo è avvenuto in seguito a un...
Questo articolo analizza la disclosure presentata a Microsoft e consultabile in inglese su digitaldefense, dove sono disponibili immagini, video dimostrativi e un esempio di codice Python. Negli ultim...
L’azienda italiana di difesa Leonardo ha presentato il suo nuovo sistema Michelangelo Dome. Secondo l’azienda, è progettato per contrastare missili ipersonici e attacchi di massa con droni. Duran...
