Gli incidenti di cybersicurezza segnalati questa settimana hanno spaziato dal furto di criptovalute su larga scala e dalle infrastrutture occulte al phishing, agli attacchi alla catena di fornitura del software e allo spyware destinato agli utenti mobili. Diversi casi sono iniziati con strumenti o servizi apparentemente ordinari, tra cui link condivisi, estensioni del browser, software di assistenza remota e piattaforme di terze parti.
L’FBI ha attribuito il furto di oltre 6 miliardi di dollari in asset virtuali da Binance al gruppo di hacker nordcoreano TraderTraitor. Il bottino riportato ha raggiunto i 6,43 miliardi di dollari su 11 blockchain, con l’82% degli asset localizzato su Ethereum e Bitcoin. Secondo il rapporto, Tether, Circle, Ripple, Arbitrum e Optimism hanno congelato on-chain 2,85 miliardi di dollari dei fondi rubati.
Il gruppo sponsorizzato dallo Stato cinese Volt Typhoon è stato inoltre collegato a Silent Train, un’infrastruttura di relay costituita da catene in rapida rotazione di dispositivi SOHO, IoT ed enterprise compromessi. La rete è progettata per nascondere l’origine degli attacchi, supportare operazioni selezionate ed essere smantellata dopo l’uso. L’attività segnalata indica tentativi di mantenere l’accesso a comunicazioni, infrastrutture critiche, difesa, logistica e altri sistemi che potrebbero diventare importanti durante tensioni geopolitiche.
La piattaforma di mercati previsionali Polymarket ha temporaneamente sospeso le negoziazioni dopo che gli aggressori hanno compromesso DebugBear, un servizio di terze parti. Il JavaScript malevolo distribuito tramite il servizio ha sottratto circa 2,7 milioni di dollari da 33 portafogli di deposito in meno di un’ora. DebugBear ha dichiarato che i dati del proprio registrar di dominio erano stati compromessi e che, al momento dell’aggiornamento, non aveva trovato prove di un’intrusione nei propri sistemi interni.
I ricercatori di Parameter Labs hanno divulgato una vulnerabilità di ChatGPT corretta, relativa ai link di conversazioni condivise. Un aggressore poteva creare una conversazione malevola e inviare il relativo link di condivisione a un altro utente, facendo eseguire JavaScript all’interno della sessione ChatGPT autenticata della vittima. Lo sfruttamento riuscito poteva esporre gli elenchi delle conversazioni e il contenuto delle conversazioni private, oltre a trasmettere dati a un server esterno.
Cursor ha riferito che due versioni dell’estensione ufficiale Claude Code presenti sul proprio marketplace erano state modificate per installare una backdoor SSH persistente. L’incidente potrebbe aver interessato fino a 5.000 utenti. Cursor ha dichiarato di aver ruotato le proprie chiavi, ricostruito il marketplace e portato offline il server interessato, affermando inoltre che nessun’altra estensione era stata modificata in modo malevolo. Restano interrogativi su come l’estensione alterata sia stata pubblicata a nome di Anthropic e su quale accesso abbia ottenuto l’aggressore.
Il Dipartimento di Giustizia degli Stati Uniti ha annunciato il sequestro di un dominio associato a Virtualine, un provider di hosting bulletproof. Le autorità hanno affermato che il servizio facilitava attività criminali, tra cui la distribuzione di immagini sessualmente esplicite di minori, materiale intimo non consensuale e riciclaggio internazionale di denaro. Il rapporto ha inoltre osservato che precedenti interruzioni delle infrastrutture potrebbero frammentare il mercato spingendo i clienti verso servizi più recenti.
Il produttore di hardware wallet Keystone ha divulgato un incidente di sicurezza che ha coinvolto il proprio sito web e una vulnerabilità in uno strumento di monitoraggio dei dati di terze parti. L’aggressore ha ottenuto informazioni sui clienti e una chiave utilizzata per verificare l’autenticità dei dispositivi. Le informazioni esposte includevano record con nomi, dati di contatto, indirizzi di spedizione e informazioni sugli ordini, oltre ai dati dei checkout. Keystone ha dichiarato che avrebbe distrutto 18.835 dispositivi di inventario contenenti la vecchia chiave e sospeso temporaneamente le spedizioni dal proprio sito ufficiale, passando a un modello di preordine.
Trezor ha avvertito separatamente della presenza di segnalazioni credibili relative a un sospetto impianto per il furto di criptovalute in un dispositivo Safe 5 venduto dal rivenditore CryptoBilis nel Sud-est asiatico. Ai clienti che avevano acquistato un Trezor da quel rivenditore a partire da marzo 2026 è stato consigliato di trasferire i fondi in un wallet appena creato con un nuovo seed.
I ricercatori hanno identificato uCreator, uno spyware Android commerciale destinato agli utenti di wallet mobili e servizi di messaggistica in Cina e nel Sud-est asiatico. Il malware prende di mira applicazioni tra cui GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber e MoMo e, secondo quanto riferito, può clonare gli account WeChat. Le vittime ricevono applicazioni legittime riconfezionate tramite sideloading o campagne di social engineering. Lo spyware utilizza la virtualizzazione sul dispositivo per strumentalizzare le applicazioni bersaglio e supportare le frodi.
Una campagna chiamata Gheist ha utilizzato token GitHub rubati per inserire un workflow denominato “sync-check” nei repository accessibili. Il workflow stampa i segreti del repository nel proprio log, scarica quel log tramite l’API di GitHub e cancella l’esecuzione poco dopo. Wiz ha dichiarato di aver recuperato oltre 13.500 branch inseriti, collegati a più di 850 account compromessi. La campagna è stata rilevata per la prima volta a metà settembre 2026.
La settimana ha portato anche un ampio insieme di divulgazioni di vulnerabilità che interessano prodotti e progetti tra cui Wasmtime, Fireblocks mpc-lib, COVESA vsomeip, software ASUS, Drupal, EPICS Base, TianoCore EDK II, GoAhead, Apache Camel, Okta, Apache Kafka, Google Chrome, Mozilla Firefox, il kernel Linux, Veeam, Juniper Networks Session Smart Router, TeamViewer, telecamere IP Intelbras, WatchGuard Fireware OS, Apache Tomcat, Canonical LXD, Langflow OSS e TightVNC. L’elenco comprendeva una vulnerabilità di esecuzione di codice da remoto pre-autenticazione in TightVNC e molteplici vulnerabilità che interessano software ampiamente distribuiti.
I ricercatori di sicurezza hanno inoltre segnalato la campagna Searchjacked, che coinvolgeva 319 estensioni di Chrome con un totale di 13,4 milioni di installazioni dichiarate. Le estensioni dirottavano le ricerche attraverso server di tracciamento, acquisivano le query e generavano pagamenti per referral da Bing e Yahoo. Altre estensioni malevole del browser si spacciavano per wallet di criptovalute o applicazioni per documenti, con attività che comprendeva il furto di frasi di recupero, chiavi private e dati di navigazione.
Microsoft ha descritto due intrusioni gestite da esseri umani nelle quali gli aggressori hanno utilizzato messaggi e chiamate di Teams per impersonare il personale IT o dell’help desk. Gli operatori hanno convinto gli utenti a concedere l’accesso remoto, principalmente tramite Quick Assist, quindi hanno predisposto runtime portatili, eseguito attività di ricognizione del sistema e della rete ed esaminato Active Directory Certificate Services alla ricerca di percorsi verso l’autenticazione basata su certificati. Microsoft ha avvertito che una sessione remota approvata dall’utente può portare all’accesso a identità privilegiate e all’infrastruttura del dominio.
Tra gli altri sviluppi figurano il crescente utilizzo delle vulnerabilità per entrare nelle reti aziendali, l’abuso di browser anti-rilevamento come Kameleo, AdsPower e MultiLogin per gestire grandi numeri di account e gli attacchi informatici contro i sistemi di allerta d’emergenza in Ucraina e Russia. L’Ucraina ha segnalato falsi avvisi di raid aerei a livello nazionale, mentre la Russia ha dichiarato che anche la propria applicazione di allerta era stata attaccata, descrivendola come un servizio ausiliario. Il rapporto tra i due incidenti non è stato stabilito.
Fonti: The Hacker News.