Allerta CISA: attacchi iraniani ai PLC, ransomware Interlock e il silenzioso LummaC2

Introduzione

Negli ultimi giorni si è parlato di una campagna di phishing russa contro gli utenti Zimbra Collaboration Suite, ma il materiale ufficiale disponibile non ne fornisce alcuna conferma. Le advisory pubblicate dalla Cybersecurity and Infrastructure Security Agency (CISA) tra maggio 2025 e aprile 2026 raccontano invece una realtà diversa, fatta di minacce concrete che spaziano dalle infrastrutture critiche al furto di identità digitale. Questo articolo analizza i contenuti reali degli allerta CISA, offrendo una panoramica aggiornata su ciò che difensori e responsabili della sicurezza devono sapere oggi.

Analisi tecnica

I quattro advisory, sebbene non correlati tra loro, delineano un panorama di rischio articolato.

Sfruttamento di PLC da parte di attori iraniani (AA26-097A, 7 aprile 2026)
Il bersaglio sono infrastrutture critiche statunitensi. I controllori logici programmabili (PLC), colonna portante dell’automazione industriale, vengono presi di mira con tecniche che probabilmente includono l’invio di comandi malevoli via rete o l’accesso non autorizzato a pannelli di controllo esposti. L’operazione suggerisce un avversario con capacità offensive persistenti e intenzioni di sabotaggio fisico, non semplicemente di spionaggio.

Ransomware Interlock (AA25-203A, 22 luglio 2025)
Interlock è una famiglia ransomware che adotta la tattica della “doppia estorsione”: cifra i dati in loco e minaccia di divulgarli se non viene pagato il riscatto. Le modalità di diffusione, benché non dettagliate nell’advisory, sono tipicamente riconducibili a e‑mail malevole o a vulnerabilità software non aggiornate. La crittografia colpisce file server, database e postazioni di lavoro, paralizzando le operazioni aziendali.

Esfiltrazione dati con LummaC2 (AA25-141B, 21 maggio 2025)
LummaC2 è un infostealer che opera in modo furtivo per catturare credenziali di accesso, cookie di sessione, wallet di criptovalute e dati bancari. Spesso distribuito tramite software crackato o falsi aggiornamenti, invia i profili rubati a server di comando e controllo, alimentando un fiorente mercato nero digitale che facilita attacchi successivi.

Threat hunting e igiene informatica (AA25-212A, 31 luglio 2025)
Più che una segnalazione di compromissione, questa advisory sottolinea il valore delle attività proattive di ricerca delle minacce (threat hunting) e del miglioramento dell’igiene informatica in una grande organizzazione critica. L’obiettivo è ridurre la superficie d’attacco e intercettare anomalie prima che diventino incidenti.

Impatto

Le conseguenze di queste minacce possono essere gravi e trasversali:

• Sistemi di controllo industriale: la manipolazione dei PLC può tradursi in fermi degli impianti, danni alle apparecchiature e rischi per la sicurezza pubblica.
• Attività ransomware: l’indisponibilità dei dati e la potenziale esposizione di informazioni sensibili generano perdite economiche, interruzione dei servizi e danni reputazionali.
• Furto di credenziali e dati finanziari: LummaC2 espone individui e aziende a frodi, svuotamento di conti e compromissione di account aziendali, con il rischio di movimenti laterali all’interno delle reti.
• Carenze di cyber hygiene: la mancata adozione di pratiche di sicurezza di base amplifica l’efficacia di qualsiasi vettore offensivo, trasformando vulnerabilità note in varchi facilmente sfruttabili.

Mitigazione

Per le indicazioni specifiche e gli indicatori di compromissione è indispensabile consultare i documenti completi CISA (AA26-097A, AA25-212A, AA25-203A, AA25-141B). A livello generale, le organizzazioni dovrebbero:

• Isolare le reti industriali da quelle amministrative e applicare segmentazione rigorosa.
• Aggiornare con costanza sistemi operativi, firmware dei PLC e applicazioni.
• Distribuire soluzioni EDR/XDR e mantenerle configurate per il blocco automatico.
• Formare gli utenti sul riconoscimento del phishing e sulla gestione sicura degli allegati.
• Attivare l’autenticazione a più fattori ovunque possibile e applicare il principio del minimo privilegio.
• Predisporre backup offline e ridondanti, verificandone periodicamente l’integrità.
• Istituire processi di threat hunting continuo e di monitoraggio dei log per rilevare attività sospette tempestivamente.

FAQ

1. Perché si fa riferimento a Zimbra se le fonti non ne parlano?
Il materiale ricevuto, costituito esclusivamente da advisory CISA, non contiene alcun dettaglio su campagne di phishing contro Zimbra. L’ipotesi potrebbe essere nata in canali non ufficiali, ma allo stato attuale non trova riscontro nelle fonti verificate. Per ottenere informazioni attendibili su Zimbra occorrerebbe un’altra fonte.

2. LummaC2 è pericoloso anche per gli utenti privati?
Sì, perché è progettato per rubare credenziali, cookie e dati finanziari da singoli individui. Una volta rubate, queste informazioni possono essere usate per accessi illeciti a conti bancari, social media e piattaforme aziendali, con conseguenze economiche e personali rilevanti.

3. Quali accorgimenti immediati posso attuare contro il ransomware Interlock?
Oltre al backup offline e regolare, assicurati che tutte le patch di sicurezza siano applicate, limita i privilegi degli account, disattiva le macro non necessarie nei documenti e istruisci il personale a non aprire allegati sospetti. In caso di infezione, isola subito il dispositivo dalla rete e contatta il team di incident response.