La chiusura del forum underground XSS ha cambiato il mondo del cybercrime

La chiusura di un sito e l'apertura di cinque nuovi forum hacker ha creato un ecosistema dinamico e competitivo. Questo sviluppo riflette la resilienza e l'adattabilità delle comunità hacker. La lotta contro le comunità underground continua anche se le minacce non stentano a diminuire.

Per due decenni, il forum clandestino XSS è rimasto un punto di riferimento fondamentale per i criminali informatici. Qui si cercavano complici, si vendevano gli accessi e si discuteva su malware, phishing, truffe e altri servizi illegali.

Ma dopo un’operazione di repressione svolta dalle forze dell’ordine, il forum non è più un centro nevralgico per la criminalità informatica. Secondo Flashpoint, il 23 luglio 2025 il dominio XSS è stato sequestrato nell’ambito di un’operazione internazionale che ha coinvolto le autorità ucraine, la polizia francese ed Europol.

Le autorità francesi hanno anche riferito che l’amministratore di lunga data del forum è stato arrestato in Ucraina. In seguito a ciò, la comunità dei criminali informatici si è rapidamente frammentata in diverse piattaforme concorrenti.

XSS, ricordiamo per chi non lo conosce a fondo, è nato dal forum DaMaGeLaB e, nel tempo, si è evoluto da una piattaforma di livello intermedio a centro nevralgico del mondo criminale.  Il forum ospitava venditori di downloader, kit di phishing, malware, botnet per attacchi DDoS (Distributed Denial of Service), documenti falsi e accesso alle reti di altri utenti.

Il forum fungeva anche da luogo per reclutare personale, trovare partner e risolvere controversie tra i membri. Quando la vecchia infrastruttura è stata disattivata, alcuni degli ex moderatori hanno lanciato DamageLib.

Ritenendo il vecchio sistema XSS compromesso, hanno optato per un modello più prudente. La nuova piattaforma ha eliminato scambi, aste e qualsiasi tipo di transazione per ridurre il rischio di sorveglianza e tracciamento dei partecipanti. Invece di puntare sulla commercializzazione, DamageLib si è concentrata su materiali tecnici, guide e discussioni.

Un altro spazio di nicchia è stato colmato da Rehub, apparso poco dopo DamageLib. Creato da un ex moderatore di XSS, Rehub ha intuito che i partecipanti alla scena underground avevano ancora bisogno di una piattaforma per le transazioni.

Ha immediatamente aggiunto una sezione dedicata al trading e ha reclutato figure di spicco del mondo criminale nel suo team di moderazione per acquisire rapidamente credibilità. Nel frattempo, il forum continua a crescere e ad attrarre un pubblico attivo. All’inizio di agosto 2025, emerse un altro nuovo progetto. I suoi creatori utilizzarono vecchi backup contenenti dati utente, discussioni e contributi al forum.

Tuttavia, Exploit e DamageLib accolsero la nuova versione del forum con estrema diffidenza. I partecipanti sospettavano che la piattaforma potesse essere una trappola delle forze dell’ordine. Flashpoint menziona specificamente il forum XSSF, creato da un gruppo di hacker su Telegram. Questa piattaforma afferma di prendere di mira le infrastrutture digitali dell’Unione Europea e dell’Ucraina.

Secondo le discussioni su DamageLib, il forum non è associato a XSS. Inoltre, gli attacchi diretti alle infrastrutture ucraine sono contrari alle regole originarie della comunità XSS. L’autenticità della piattaforma e l’identità dei suoi proprietari non sono ancora state confermate.

La repressione delle attività di XSS è stato un grande successo per le forze dell’ordine, ma non ha sradicato la criminalità informatica underground. Invece di un centro di coordinamento, come lo era XSS, è emerso un ambiente frammentato, con partecipanti che migrano tra le piattaforme, cambiano le regole e ricostruiscono la fiducia. Per chi si occupa di sicurezza, questa disgregazione non significa che la minaccia sia diminuita. Ora gli esperti della CTI devono monitorare non solo un forum, ma un’intera rete di comunità nuove e in competizione tra loro.

Chiara Nardini

Esperta di Cyber Threat intelligence e di cybersecurity awareness, blogger per passione e ricercatrice di sicurezza informatica. Crede che si possa combattere il cybercrime solo conoscendo le minacce informatiche attraverso una costante attività di "lesson learned" e di divulgazione. Analista di punta per quello che concerne gli incidenti di sicurezza informatica del comparto Italia.

Aree di competenza: Cyber threat Intelligence, Incident Response, sicurezza nazionale, divulgazione