Redazione RHC : 24 Ottobre 2025 09:50
A settembre, gli specialisti di Forescout hanno rilevato un attacco mirato al loro server honeypot, che imitava il sistema di controllo di un impianto di trattamento delle acque. Un nuovo gruppo di hacktivisti, TwoNet, che opera in un ambiente associato ad attacchi alle infrastrutture industriali, ha rivendicato la responsabilità dell’attacco.
I membri del gruppo hanno avuto accesso all’interfaccia, modificato le impostazioni, eliminato le fonti di dati e disabilitato alcuni processi senza tentare di ottenere il controllo dell’host. L’obiettivo era dimostrare la propria capacità di interferire e poi diffondere l’accusa di “aver dirottato un impianto reale” su un canale Telegram.
L’attacco è iniziato la mattina da un indirizzo IP registrato presso il provider di hosting tedesco Dataforest GmbH. L’accesso al sistema è stato ottenuto utilizzando le credenziali predefinite “admin/admin”. Dopo aver effettuato l’accesso, gli aggressori hanno tentato di eseguire query SQL per raccogliere informazioni sulla struttura del database e hanno quindi creato un nuovo account con il nome utente “BARLATI“.
 Sponsorizza la prossima Red Hot Cyber Conference!Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Poche ore dopo, sono tornati con questo nome utente e hanno sostituito il testo nella pagina di accesso, attivando una finestra pop-up con la scritta “HACKED BY BARLATI“. Hanno contemporaneamente eliminato i controller connessi, modificato i valori dei parametri e disabilitato log e avvisi. La vulnerabilità CVE-2021-26829 è stata utilizzata per falsificare il contenuto della pagina .
TwoNet è emerso all’inizio del 2025 e ha rapidamente guadagnato visibilità grazie a una combinazione di affermazioni aggressive e attività caotiche. Inizialmente, si è specializzato in attacchi DDoS , ma in seguito si è spostato sui tentativi di interferire con i sistemi di controllo dei processi industriali. Il canale Telegram del gruppo pubblica screenshot e video presumibilmente provenienti da interfacce SCADA e HMI di varie aziende. I post menzionano l'”hacking” di pannelli solari, sistemi di riscaldamento e caldaie a biomassa in paesi europei, ma non ci sono prove a supporto di queste affermazioni. Gli analisti notano che molte delle immagini provengono da pannelli demo disponibili al pubblico.
Anche gli account TwoNet associati, tra cui BARLATI e DarkWarios, promuovevano offerte commerciali: affitto di accesso a pannelli di controllo, servizi DDoS e persino vendita di ransomware a prezzi gonfiati. Ciò suggerisce un tentativo di monetizzare l’attenzione e di presentarsi come parte di un’organizzazione più ampia. Nelle settimane precedenti la chiusura del canale, i membri del gruppo hanno annunciato alleanze con altri gruppi di hacktivisti, tra cui CyberTroops e OverFlame, consentendo loro di promuoversi a vicenda e di creare l’apparenza di una rete più ampia.
Gli esperti sottolineano che i loro honeypot hanno registrato anche altri attacchi a controller industriali e protocolli Modbus, spesso provenienti da indirizzi europei e mediorientali. In un caso, gli aggressori hanno utilizzato password predefinite e poi hanno sfruttato la vulnerabilità CVE-2021-26828 per iniettare una web shell e ottenere l’accesso alle impostazioni HMI. Un altro incidente ha coinvolto tentativi coordinati di modificare i parametri PLC tramite Modbus e S7, che avrebbero potuto potenzialmente interrompere i processi su sistemi reali.
L’analisi ha rivelato che gli aggressori utilizzano strumenti standard, come Meta Sploit e script già pronti, e il loro comportamento indica un controllo manuale e una conoscenza di base dei protocolli industriali. Questi attacchi vengono spesso eseguiti senza una scansione preventiva e spesso prendono di mira dispositivi accessibili da Internet senza protezione.
Secondo Forescout, i gruppi di hacktivisti si stanno rivolgendo sempre più a obiettivi industriali. Anche se gli attacchi segnalati non sono confermati, dimostrano una tendenza di interesse e il potenziale per attacchi ripetuti contro obiettivi reali. Le aziende del settore idrico ed energetico sono particolarmente vulnerabili, poiché l’accesso alle interfacce degli operatori o dei controllori spesso non richiede autenticazione e la registrazione e il monitoraggio vengono condotti in modo selettivo.
Gli esperti consigliano ai proprietari dei sistemi di controllo di evitare un’autenticazione debole e l’uso di password predefinite, di non esporre le interfacce direttamente su Internet, di segmentare rigorosamente le reti IT e OT, di limitare l’accesso alle porte amministrative tramite elenchi IP e di implementare il monitoraggio con un’ispezione approfondita dei pacchetti in grado di tracciare i comandi Modbus e S7. È inoltre importante prestare attenzione al traffico in uscita per evitare che i dispositivi vengano utilizzati in attacchi DDoS (Distributed Denial of Service).
L’hacktivism, secondo Forescout, sta diventando un’arena in cui il prestigio informatico è più importante dei risultati. I gruppi scompaiono, cambiano nome e ricompaiono, ma i loro membri e i loro metodi rimangono. Ecco perché l’analisi honeypot sta diventando uno strumento chiave per comprendere la direzione delle nuove ondate di attacchi alle infrastrutture industriali.
RedazioneL’ecosistema del cybercrimine russo è entrato in una fase di profonda mutazione, innescata da una combinazione di fattori: una pressione internazionale senza precedenti da parte delle forze dell’...
I ricercatori della sicurezza hanno scoperto delle vulnerabilità in un sito web della FIA che conteneva informazioni personali sensibili e documenti relativi ai piloti, tra cui il campione del mondo ...
Il 21 ottobre 2025, un gruppo internazionale di ricercatori provenienti da 29 istituzioni di prestigio – tra cui Stanford University, MIT e Università della California, Berkeley – ha completato u...
Nella giornata di oggi, migliaia di utenti Fastweb in tutta Italia hanno segnalato problemi di connessione alla rete fissa, con interruzioni improvvise del servizio Internet e difficoltà a navigare o...
Mattinata difficile per i clienti Fastweb: dalle 9:30 circa, il numero di segnalazioni di malfunzionamento è schizzato alle stelle. Secondo i dati di Downdetector, le interruzioni hanno superato le 3...
