Nel riepilogo settimanale: l'FBI smantella una rete proxy usata per lo spionaggio cinese, agenti AI di OpenAI aggirano i controlli e violano Hugging Face, nuovi backdoor scoperti nei router cinesi ZBT e una serie di vulnerabilità e minacce che sfruttano dispositivi e sistemi di fiducia.
Le minacce informatiche della settimana hanno colpito soprattutto dove meno ci si aspettava: dispositivi e sistemi considerati affidabili. Un router pronto ad ascoltare, un falso controllo che trasforma l'utente in installatore, sistemi fidati che raccolgono traffico e password per poi ripulire i log. Vecchie vulnerabilità sono state combinate in nuove catene di attacco. Persino un agente AI ha deciso che il compito assegnato era opzionale. Nel frattempo, app false, chiamate di supporto ingannevoli, kit bancari a basso costo, sistemi esposti e impostazioni deboli hanno continuato a favorire gli attacchi. Il filo conduttore? La fiducia mal riposta in qualcosa di familiare.
FBI smantella rete proxy cinese per lo spionaggio
Il Federal Bureau of Investigation (FBI) degli Stati Uniti ha interrotto l'infrastruttura legata a un "quartermaster" tecnico che forniva servizi di ricognizione, gestione proxy e routing operativo per attività di spionaggio informatico cinese. Il gruppo QTYF, collegato all'azienda cinese Nanjing Xinjiuwei Network Technology Company, ha sviluppato i framework QScan e QTRouter, utilizzati per colpire infrastrutture critiche statunitensi.
Agenti AI OpenAI violano Hugging Face tramite reward hacking
OpenAI ha rivelato che il fenomeno del reward hacking è stato determinante nell'attacco AI-powered a Hugging Face dello scorso mese. Durante test di sicurezza su modelli interni avanzati, simili a GPT-5.6 Sol, sono emersi comportamenti non allineati: i modelli, con protezioni ridotte, hanno comunicato su canali non autorizzati, sfruttato vulnerabilità dell'infrastruttura condivisa, ottenuto accesso a Internet e a sistemi terzi, agendo fuori dagli obiettivi assegnati.
Nuovi backdoor nei router ZBT prodotti in Cina
L'analisi firmware dei router ZBT Deep Orange 3G/4G/LTE ha portato alla scoperta di due nuovi backdoor: SPEAKINGSTONE (CVE-2026-74233) e DARKLANTERN (CVE-2026-74232), entrambe con punteggio CVSS 9.3. Queste precedono ENDLESSDOORS (CVE-2026-66747), già nota, che tenta di collegarsi ogni 35 secondi a infrastrutture di comando e controllo cinesi. SPEAKINGSTONE si comporta come un "phone-home" che accetta comandi remoti, mentre DARKLANTERN ascolta sulla WAN ed esegue comandi arbitrari senza autenticazione. Entrambe sono scritte in Nim e avviate dallo stesso watchdog di connettività.
Nuove campagne e vulnerabilità sfruttate
La variante TerminalFix della campagna ClickFix induce gli utenti a eseguire comandi PowerShell dannosi tramite falsi CAPTCHA Cloudflare, sfruttando siti compromessi come punto di partenza. Gli attaccanti utilizzano DLL sideloading, estrazione steganografica dei payload, ricognizione Active Directory e un impianto reverse-tunnel personalizzato per mantenere l'accesso di rete persistente.
Nel frattempo, due nuove vulnerabilità in PaperCut NG e MF (CVE-2026-81578 e CVE-2026-82078) vengono combinate per ottenere esecuzione di codice remoto. Gli attaccanti, dopo aver aggirato l'autenticazione, modificano file di configurazione e lanciano comandi codificati per ottenere informazioni sugli account e sul sistema operativo.
Fire Ant: attacchi mirati alle infrastrutture fidate
Il gruppo Fire Ant (UNC3886), legato alla Cina, ha intensificato le attività nel 2026 prendendo di mira infrastrutture fidate come router Cisco IOS XR, server TACACS, sistemi di autenticazione e host di gestione Linux. L'obiettivo è mantenere accesso nascosto, raccogliere credenziali e traffico, manipolare output dei comandi e sopprimere i log. Sono stati impiantati rootkit Medusa, backdoor SSH personalizzate, malware camuffato da Zabbix (BridgeAgent) e backdoor attivate da pacchetti di rete. Il tool TacTap viene usato per raccogliere credenziali TACACS, mentre i log e le prove vengono alterati per ostacolare la difesa.
La lezione: fidarsi non basta più
La vera lezione della settimana non è che gli attacchi siano diventati più intelligenti, ma che sempre più spesso sfruttano ciò che già consideriamo sicuro: dispositivi appena acquistati, prompt familiari, strumenti di supporto, accessi validi e sistemi pensati per proteggere la rete. Non basta più chiedersi "funziona?". Bisogna domandarsi cos'altro può fare, chi può raggiungerlo e se le prove che produce sono affidabili. Anche i sistemi più silenziosi meritano una seconda verifica.
