Il rapporto Gen Digital H1 2026 svela due campagne sofisticate: una sfrutta caselle email aziendali violate per colpire banche, l’altra sostituisce indirizzi wallet per deviare pagamenti in criptovaluta
Il nuovo Gen H1 2026 Threat Report mette in luce due campagne di attacco informatico che hanno colpito utenti e aziende europee sfruttando tecniche avanzate e infrastrutture legittime. I ricercatori di Gen Threat Labs hanno analizzato nel dettaglio due catene di compromissione: una basata su email aziendali violate per diffondere malware bancario, l’altra focalizzata sul furto di criptovalute tramite la manipolazione degli appunti e l’uso di dati blockchain.
Secondo il rapporto, nel primo semestre 2026 le truffe hanno rappresentato il 46% delle rilevazioni di minacce da parte di Gen, mentre il malvertising ha inciso per quasi il 30%. In totale, sono stati bloccati 114,2 milioni di attacchi a negozi online e 20,3 milioni di tentativi di truffa tramite finti supporti tecnici.
Email aziendali compromesse e attacchi bancari mirati
La prima campagna individuata ha preso di mira utenti in Repubblica Ceca, Slovacchia, Polonia e Lituania. Gli attaccanti hanno sfruttato caselle di posta elettronica aziendali già compromesse per inviare email dall’aspetto autentico, come notifiche di spedizione o fatture. Questi messaggi, provenendo da account reali, superavano i controlli SPF e DKIM e godevano di una reputazione positiva, rendendo difficile distinguerli da comunicazioni legittime.
L’allegato delle email conteneva un dropper JavaScript che, una volta aperto, avviava una catena di esecuzione tramite PowerShell e shellcode, fino a installare un’estensione nel browser e modificare le impostazioni proxy. Queste modifiche permettevano al malware, riconducibile alla famiglia GepyS, di inserirsi nelle sessioni bancarie dell’utente e potenzialmente intercettare o manipolare le operazioni finanziarie.
Analisi statiche hanno evidenziato tecniche di offuscamento come istruzioni inutili, salti in punti non convenzionali e routine di decrittazione, tutte pensate per ostacolare l’analisi dei ricercatori. In Italia, campagne simili hanno sfruttato PDF di fatture false, anche a tema Booking.com, e script ospitati su Vercel e Blogspot, con payload come XWorm e Remcos RAT.
Furto di criptovalute tramite clipper e blockchain
La seconda campagna ha colpito utenti che effettuano pagamenti in criptovaluta, sfruttando un malware scritto in Rust capace di monitorare gli appunti di sistema. Quando l’utente copiava un indirizzo wallet (ad esempio BTC, ETH o LTC), il malware lo sostituiva con uno controllato dagli attaccanti, dirottando così i fondi senza che la transazione apparisse sospetta.
Il malware non comprometteva la blockchain né la crittografia dei wallet: la transazione risultava valida, ma il destinatario era stato modificato localmente prima della firma. La difficoltà di verificare manualmente la correttezza degli indirizzi, spesso lunghi e complessi, favoriva il successo dell’attacco.
Un ulteriore livello di sofisticazione era dato dall’uso della Binance Smart Chain per la risoluzione dell’infrastruttura di comando e controllo tramite la tecnica EtherHiding. Il malware leggeva puntatori a server malevoli da uno smart contract pubblico, rendendo difficile bloccare l’infrastruttura e complicando le attività di indagine e mitigazione.
Implicazioni per la sicurezza e contromisure
Le due campagne evidenziano come la fiducia negli strumenti e nelle procedure abituali possa essere sfruttata dagli attaccanti. Nel caso delle email compromesse, la sola autenticazione del mittente non basta: è necessario correlare eventi come l’apertura di allegati sospetti, l’esecuzione di script e le modifiche a proxy o browser. Le aziende possono ridurre il rischio limitando l’uso di interpreti di script, applicando policy di controllo sulle applicazioni scaricate e monitorando i cambiamenti anomali nelle caselle di posta.
Per quanto riguarda il furto di criptovalute, è fondamentale monitorare i processi che modificano gli appunti e le richieste di accesso a pattern di indirizzi wallet da parte di applicazioni non autorizzate. Gli utenti dovrebbero sempre verificare l’indirizzo completo del destinatario prima di confermare una transazione e utilizzare rubriche o whitelist per ridurre il rischio di errori.
Il Gen H1 2026 Threat Report offre una panoramica ampia sulle minacce digitali emergenti, tra cui truffe, malware, esposizione di identità, privacy e attacchi basati su AI. Le campagne analizzate dimostrano che la catena di fiducia può essere compromessa anche senza violare direttamente i sistemi, sfruttando invece le abitudini e le aspettative degli utenti.
Un aspetto spesso sottovalutato riguarda la rapidità con cui gli indicatori di compromissione possono cambiare, soprattutto quando l’infrastruttura di comando e controllo si appoggia a smart contract pubblici. In questi casi, la sola lista di domini o indirizzi IP sospetti non è sufficiente: è necessario monitorare anche gli indirizzi dei contratti e i metodi di accesso utilizzati dal malware. La capacità di correlare eventi e segnali diversi diventa quindi centrale per una difesa efficace, sia per le aziende sia per gli utenti privati.
