Un malware ibrido creato con le AI colpisce le organizzazioni russe

Nel secondo trimestre del 2025, gli specialisti del dipartimento di threat intelligence del centro di esperti di sicurezza Positive Technologies hanno registrato un aumento delle attività di gruppi di criminali informatici e hacktivisti contro organizzazioni russe. Il principale vettore di attacco è rimasto il phishing via e-mail, sia secondo scenari comuni che sfruttando vulnerabilità zero-day.

È stato rilevato un aumento dei file dannosi, il cui codice era in parte generato da reti neurali: utilizzando i servizi di intelligenza artificiale disponibili, gli aggressori hanno rapidamente modificato i moduli per aggirare i sistemi di sicurezza.

Il gruppo TA Tolik ha inviato archivi contenenti un file dannoso camuffato da documento ufficiale o notifica di agenzie governative. Una volta aperto sul dispositivo della vittima, è stato avviato un set di script che si mascherava da software legittimo, creava attività nello scheduler e aggiungeva codice al registro di Windows. Il malware si attivava solo durante l’esecuzione, rendendolo difficile da rilevare.

Il gruppo Sapphire Werewolf utilizzava un servizio legittimo gratuito per inviare file di grandi dimensioni. Il loro malware verificava se si trovava in una sandbox e smetteva di funzionare se rilevava di essere in esecuzione in un ambiente isolato. PhaseShifters utilizzava una tecnica simile: prima dell’esecuzione, il virus valutava la disponibilità di strumenti di protezione sulla vittima e adattava le azioni successive, diffondendosi tramite e-mail per conto del Ministero dell’Istruzione e della Scienza.

Anche gli hacktivisti hanno intensificato la loro attività. La comunità Black Owl ha condotto una campagna contro un forum dedicato ai trasporti e alla logistica, distribuendo malware attraverso siti web falsi che imitavano le pagine degli organizzatori.

Come sottolinea l’azienda, gli hacktivisti attaccano più spesso siti web di piccole dimensioni, come negozi online, blog e media regionali. Pubblicano propaganda su tali risorse, reindirizzano il traffico verso pagine di phishing o incorporano codice dannoso per ulteriori attacchi. Alcuni gruppi APT utilizzano questi siti in campagne multifase e alcuni aggressori vendono l’accesso sul mercato nero.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Marcello Filacchioni

ICT CISO e Cyber Security Manager con oltre vent’anni di esperienza tra settore pubblico e privato, ha guidato progetti di sicurezza informatica per realtà di primo piano. Specializzato in risk management, governance e trasformazione digitale, ha collaborato con vendor internazionali e startup innovative, contribuendo all’introduzione di soluzioni di cybersecurity avanzate. Possiede numerose certificazioni (CISM, CRISC, CISA, PMP, ITIL, CEH, Cisco, Microsoft, VMware) e svolge attività di docenza pro bono in ambito Cyber Security, unendo passione per l’innovazione tecnologica e impegno nella diffusione della cultura della sicurezza digitale.

Aree di competenza: Cyber Security Strategy & Governance, Vulnerability Management & Security Operations.