Antonio Piazzolla, Autore presso Red Hot Cyber

Red Hot Cyber

Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.

Autore: Antonio Piazzolla

ProxyCommand: la piccola stringa che apre una porta per gli exploit

Antonio Piazzolla 13/10/2025

Nella giornata di ieri è stata pubblicata CVE-2025-61984 una falla in OpenSSH, che permette potenzialmente l’esecuzione di comandi sul client quando ProxyCommand viene usato con nomi utente contenenti caratteri di controllo (per esempio newline). Alcuni flussi di input in OpenSSH non eliminavano correttamente caratteri di controllo inseriti nei nomi utente. Un attaccante può sfruttare questo comportamento costruendo un nome utente contenente, ad esempio, un newline seguito da una stringa che dovrebbe essere interpretata come comando. Quando quel nome utente viene inserito nella stringa invocata dal ProxyCommand, alcune shell non si fermano all’errore di sintassi introdotto dal newline e continuano l’esecuzione: la riga

SoopSocks: il pacchetto PyPI che sembrava un proxy ma era una backdoor per Windows

Antonio Piazzolla 04/10/2025

La storia di SoopSocks è quella che, purtroppo, conosciamo bene: un pacchetto PyPI che promette utilità — un proxy SOCKS5 — ma in realtà introduce un impianto malevolo ben orchestrato. Non stiamo parlando del solito script improvvisato; dietro SoopSocks c’è una catena di azioni pensata per ottenere persistenza, ridurre il rumore e stabilire un canale di comando/controllo stabile. Il pacchetto è stato pubblicato su PyPI (Python Package Index), il registro ufficiale dei pacchetti Python. Il pacchetto ingannevole, denominato “soopsocks“, ha totalizzato 2.653 download prima di essere rimosso. È stato caricato per la prima volta da un utente di nome “soodalpie” il 26 settembre 2025,

LockBit 5.0 — il ransomware cross-platform che punta agli hypervisor

Antonio Piazzolla 03/10/2025

A settembre 2025 è emersa una nuova incarnazione del noto ransomware LockBit, denominata LockBit 5.0. Non è solo un “aggiornamento”: è un adattamento operativo pensato per essere rapido, meno rumoroso e più impattante sulle infrastrutture virtualizzate. La caratteristica che va sottolineata fin da subito è che la 5.0 è cross-platform: sono stati identificati campioni per Windows, Linux e VMware ESXi — il che amplia la superficie d’attacco e richiede coordinamento tra team diversi (endpoint, server, virtualizzazione). Che cosa cambia La catena d’attacco resta la stessa, ma LockBit 5.0 la porta avanti più velocemente e con accorgimenti pensati per ridurre al minimo le

Falso installer di Microsoft Teams! Certificati usa-e-getta e una backdoor nel download

Antonio Piazzolla 29/09/2025

Negli ultimi giorni è stata individuata una campagna di malvertising che ha come bersaglio gli utenti aziendali che cercano di scaricare Microsoft Teams. A prima vista, l’attacco sembra banale: un annuncio sponsorizzato porta a una pagina di download, l’utente scarica un file chiamato MSTeamsSetup.exe e lo avvia. Ma i dettagli fanno la differenza, e sono proprio questi dettagli che rendono l’operazione tanto insidiosa. Il file non è un normale eseguibile malevolo, è firmato digitalmente. Per molti, questo è sinonimo di affidabilità. In realtà, gli attaccanti hanno trovato un modo per sfruttare la fiducia nella firma digitale a proprio vantaggio: utilizzano certificati “usa-e-getta”,

Microsoft: bug critico in Active Directory Domain Services. Rischio escalation a SYSTEM

Antonio Piazzolla 12/09/2025

Microsoft ha recentemente pubblicato un avviso di sicurezza riguardante una nuova vulnerabilità che interessa i servizi Active Directory Domain Services (AD DS). La falla, identificata con il codice CVE-2025-21293, è classificata come una vulnerabilità di tipo Elevation of Privilege e, se sfruttata con successo, può consentire a un attaccante di ottenere i privilegi SYSTEM, ovvero il livello più alto di autorizzazione in ambiente Windows. Si tratta di un problema estremamente rilevante perché i controller di dominio sono il cuore delle infrastrutture aziendali: controllano l’autenticazione, l’autorizzazione e la gestione centralizzata di utenti, gruppi, computer e policy di sicurezza. Un attacco riuscito contro un

Anche Palo Alto Networks Compromessa tramite Salesforce e Drift

Antonio Piazzolla 03/09/2025

All’inizio di settembre 2025,Palo Alto Networks ha confermato di essere stata vittima di una violazione dei dati. La compromissione non ha interessato i suoi prodotti o servizi core, bensì alcune istanze di Salesforce utilizzate internamente, a causa di un’integrazione con l’app di terze parti Salesloft Drift. L’incidente rientra in una campagna di attacchi supply chain più ampia, condotta nel mese di agosto 2025, e mostra ancora una volta quanto le integrazioni SaaS possano rappresentare un punto debole significativo. Tra l’8 e il 18 agosto 2025, un threat actor identificato da Google comeUNC6395 ha sfruttato token OAuth compromessi associati all’app Drift. Questi token

Videosorveglianza sotto attacco: Un bug in Hikvision consente accesso admin senza login

Antonio Piazzolla 02/09/2025

Alla fine di agosto 2025 è stata resa pubblica una vulnerabilità ad alto impatto che riguarda HikCentral Professional, la piattaforma di Hikvision usata per gestire in modo centralizzato videosorveglianza e controllo accessi. La falla, catalogata come CVE-2025-39247, ha un punteggio CVSS di 8.6 (High) e permette a un attaccante remoto di ottenere accesso amministrativo senza autenticazione. In altre parole: chiunque, via rete, può entrare nel cuore del sistema di gestione della sicurezza. Perché è importante Gli ambienti che adottano HikCentral spesso lo considerano parte della “sicurezza fisica”, ma in realtà è un software esposto come qualsiasi altro servizio IT. Questo lo rende

Vulnerabilità critiche in Veeam Backup! Un rischio di compromissione totale dei sistemi

Antonio Piazzolla 10/07/2025

Una vulnerabilità estremamente grave è stata recentemente scoperta in Veeam Backup & Replication, una delle soluzioni di backup più utilizzate in ambienti enterprise e non.. Se sfruttata, consente a un utente autenticato su Active Directory di eseguire codice arbitrario da remoto con privilegi SYSTEM, mettendo potenzialmente a rischio l’intera infrastruttura IT. La vulnerabilità è tracciata come CVE-2025-23121, ha ricevuto un punteggio CVSS 9.9 (quasi massimo) ed è stata emessa diverso tempo fa, la quale colpisce tutte le versioni precedenti alla 12.3.1. Tale vulnerabilità è stata risolta con la versione 12.3.2, rilasciata da Veeam ma ancora molti apparati risultano privi di patch esponendoli

Autore: Antonio Piazzolla

Categorie