Redazione RHC : 17 Ottobre 2025 15:45
All’inizio di ottobre 2025, Microsoft ha interrotto un’ampia operazione malevola attribuita al gruppo Vanilla Tempest, revocando più di 200 certificati digitali utilizzati per firmare in modo fraudolento file di installazione di Microsoft Teams.
Questi pacchetti falsi servivano come vettore per diffondere la backdoor Oyster e, successivamente, il ransomware Rhysida.
La campagna è stata individuata a fine settembre 2025, dopo mesi di attività in cui l’attore della minaccia aveva sfruttato file binari apparentemente legittimi.
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
In risposta, Microsoft Defender Antivirus ha aggiornato le proprie firme per riconoscere e bloccare sia i falsi installer di Teams sia i malware coinvolti, mentre Microsoft Defender for Endpoint è stato potenziato per individuare i tattiche, tecniche e procedure (TTP) tipiche di Vanilla Tempest.
Vanilla Tempest, noto anche con gli alias VICE SPIDER o Vice Society in altri report di sicurezza, è un gruppo di cybercriminali motivato da fini economici. Le sue operazioni si concentrano su attacchi ransomware e furto di dati sensibili con finalità di estorsione. Nel tempo, ha distribuito diversi payload, tra cui BlackCat, Quantum Locker e Zeppelin, ma negli ultimi mesi si è orientato principalmente verso Rhysida.
Nel corso della campagna, i criminali hanno diffuso alcuni falsi file denominati MSTeamsSetup.exe, ospitati su domini malevoli che simulavano siti ufficiali di Microsoft Teams, come teams-download[.]buzz, teams-install[.]run e teams-download[.]top.
Gli utenti, venivano presumibilmente indirizzati a questi siti attraverso attacchi di avvelenamento SEO, una tecnica che manipola i risultati dei motori di ricerca per far apparire i domini infetti tra i primi risultati.
Una volta eseguito, il falso installer generava un loader che a sua volta installava Oyster, una backdoor già impiegata da Vanilla Tempest a partire da giugno 2025, ma che il gruppo ha iniziato a firmare digitalmente in modo fraudolento da settembre 2025.
Per conferire un’apparente legittimità ai file distribuiti, Vanilla Tempest ha abusato dei servizi di Trusted Signing e delle autorità di certificazione SSL[.]com, DigiCert e GlobalSign, riuscendo così a eludere inizialmente i controlli di sicurezza.
Microsoft ha dichiarato che Defender Antivirus, se completamente attivo, è in grado di bloccare l’intera catena d’attacco. Inoltre, Defender for Endpoint fornisce strumenti di analisi e mitigazione per aiutare le organizzazioni a indagare su eventuali compromissioni.
L’azienda ha condiviso pubblicamente i dettagli tecnici dell’operazione per rafforzare la cooperazione nella comunità di cybersecurity e migliorare la capacità di risposta collettiva a questo tipo di minacce.
RedazioneCisco ha reso noto recentemente di aver scoperto una nuova tipologia di attacco informatico mirato a compromettere i dispositivi che operano con i software Cisco Secure Firewall Adaptive Security Appl...
Nel mese di Settembre è uscita una nuova vulnerabilità che riguarda Notepad++. La vulnerabilità è stata identificata con la CVE-2025-56383 i dettagli possono essere consultati nel sito del NIST. L...
Gli aggressori stanno utilizzando una tecnica avanzata che implica il caricamento laterale di DLL tramite l’applicazione Microsoft OneDrive. In questo modo riescono ad eseguire codice malevolo senza...
I ladri sono entrati attraverso una finestra del secondo piano del Musée du Louvre, ma il museo aveva avuto anche altri problemi oltre alle finestre non protette, secondo un rapporto di audit sulla s...
Reuters ha riferito che Trump ha detto ai giornalisti durante un’intervista preregistrata nel programma “60 Minutes” della CBS e sull’Air Force One durante il viaggio di ritorno: “I chip pi�...
