Minacce della settimana: infostealer con AI, zero-day su switch industriali e valanga di CVE nel kernel Linux

Introduzione

L’ultima settimana ha messo a dura prova i team di sicurezza con un’ondata di minacce che spaziano dagli infostealer potenziati dall’intelligenza artificiale alle catene di exploit su infrastrutture critiche, passando per un rilascio record di vulnerabilità nel kernel Linux. Tra i fatti più rilevanti figurano la scoperta di Dolphin X da parte di Varonis, una tripla vulnerabilità zero-day negli switch Siemens ROX II individuata da Palo Alto Networks, lo sfruttamento attivo di una falla in Zimbra da parte dell’APT russo Laundry Bear e la pubblicazione di ben 432 CVE del kernel in sole 24 ore. Completano il quadro un allarme su dispositivi antifurto per auto Acrisure e altri episodi di violazioni e operazioni delle forze dell’ordine. Di seguito l’analisi approfondita.

Analisi tecnica

Dolphin X: l’infostealer che sceglie le vittime con l’AI

I ricercatori di Varonis Threat Labs hanno isolato un nuovo malware, battezzato Dolphin X, che introduce una pericolosa innovazione: un modulo di profilazione comportamentale basato su intelligenza artificiale. Il codice infetta prevalentemente sistemi Windows e analizza oltre 300 applicazioni installate (dai software di produttività agli IDE, fino a wallet di criptovalute). In base all’attività e alla presenza di strumenti sensibili, assegna un “punteggio di valore” alla macchina, decidendo se e quali credenziali esfiltrare: password del browser, chiavi SSH, token cloud, frasi seed di wallet. Particolare insidiosa è la capacità di colpire postazioni di sviluppo: una singola infezione su un ambiente di CI/CD può aprire la porta all’intero ecosistema produttivo.

Siemens ROX II: tre zero-day per il controllo root persistente

Palo Alto Networks Unit 42 ha documentato una catena di tre vulnerabilità zero-day negli switch industriali Siemens ROX II, ampiamente utilizzati in ambito OT. Le falle – CVE-2025-40948, CVE-2025-40947 e CVE-2025-40949 – consentono a un attaccante, una volta ottenuto un accesso di rete, di leggere file arbitrari, iniettare comandi con privilegi elevati e infine abusare dello scheduler della gestione web per mantenere la persistenza anche dopo un riavvio. L’exploit garantisce un accesso root persistente, permettendo il controllo totale del dispositivo e del traffico di processo che lo attraversa.

Pioggia di CVE nel kernel Linux

In una giornata senza precedenti, sono state pubblicate 432 vulnerabilità a carico del kernel Linux. La quantità record mette sotto pressione i team di sicurezza, costretti a un triage d’emergenza per identificare le falle che riguardano le proprie distribuzioni e infrastrutture. Le tipologie spaziano da escalation di privilegi locali a denial of service ed esecuzione di codice arbitrario, con un rischio proporzionale all’esposizione dei sistemi.

Laundry Bear e lo spionaggio via Zimbra (CVE-2025-66376)

Un advisory congiunto di CISA e partner internazionali segnala lo sfruttamento attivo della CVE-2025-66376 in Zimbra Collaboration Suite da parte del gruppo APT russo Laundry Bear. La vulnerabilità è di tipo “view-based”: la semplice visualizzazione di un’email malevola (senza alcun click) è sufficiente a innescare l’esfiltrazione dell’intera casella postale della vittima. La campagna, silente e mirata, prende di mira enti governativi e commerciali occidentali a scopo di spionaggio.

Auto a rischio: chiave Bluetooth hardcoded nei dispositivi Acrisure

Un team della UC San Diego ha individuato una chiave di accoppiamento Bluetooth fissa e immutabile nei dispositivi aftermarket KARR e SWDS prodotti da Acrisure, installati su oltre 2,2 milioni di veicoli (principalmente in California). Un aggressore nel raggio di 4-5 metri può sfruttarla per sbloccare le portiere. Nonostante l’azienda abbia rilasciato una patch, il rischio di furto d’auto o di oggetti all’interno dell’abitacolo rimane concreto per chi non ha ancora aggiornato il sistema.

Altri eventi

Brevi note: il gruppo ShinyHunters ha rivendicato un accesso non autorizzato ai sistemi di Cancer Diagnostics di Abbott (senza impatti operativi); Stadler Rail ha respinto una richiesta di riscatto milionaria dopo una violazione a una piattaforma fornitore; smantellata la gang tedesca Kratos dedita al phishing; Google ha lanciato l’anteprima di CodeMender per il rilevamento di vulnerabilità nel codice; un attacco a un provider ha causato interruzioni internet in diverse cittadine del Maine.

Impatto

Il quadro complessivo disegna uno scenario di rischio elevato:

• Dolphin X minaccia il furto mirato di segreti digitali e credenziali, con possibili rimbalzi verso ambienti produttivi e attacchi alla supply chain.
• L’exploit su Siemens ROX II mette a repentaglio le reti industriali: interruzione di processi, manipolazione di dati operativi, spionaggio industriale.
• Le 432 CVE del kernel Linux ampliano la superficie d’attacco per server, IoT e workstation, rendendo critica la gestione del patching.
• L’attacco Zimbra espone interi archivi email di organizzazioni governative e aziendali, favorendo lo spionaggio prolungato.
• La vulnerabilità delle auto agevola furti materiali e mina la fiducia nei dispositivi di sicurezza aftermarket.

Mitigazione

Ecco le principali azioni difensive raccomandate:

• Siemens ROX II: applicare immediatamente le patch rilasciate da Siemens; segmentare le reti OT/IT e limitare l’accesso alle interfacce di management.
• Kernel Linux: eseguire un triage rapido con strumenti di inventory, dando priorità ai sistemi esposti; monitorare i bollettini delle distribuzioni e automatizzare il patching.
• Zimbra: installare senza indugio la patch per CVE-2025-66376; disabilitare l’anteprima automatica HTML nella webmail; verificare log IMAP/POP3 per esfiltrazioni passate.
• Dolphin X: potenziare la difesa endpoint con analisi comportamentale; limitare i privilegi delle macchine di sviluppo e segmentare gli ambienti CI/CD.
• Acrisure: richiedere e applicare l’aggiornamento software per i dispositivi KARR/SWDS ai centri installatori.
• Generale: mantenere visibilità continua sui propri asset, sensibilizzare gli utenti (dove necessario) e testare la resilienza dei piani di risposta.

FAQ

1. Qual è la minaccia più urgente per le aziende questa settimana?
Dipende dal profilo dell’organizzazione. Per chi opera in ambito industriale, la priorità assoluta è la patch degli switch Siemens ROX II (zero-day critici). Per la maggior parte delle aziende IT, le due emergenze sono l’aggiornamento immediato di Zimbra (se in uso) e il triage accelerato delle vulnerabilità del kernel Linux, che potrebbero colpire server e dispositivi esposti.

2. Cosa rende Dolphin X diverso dai comuni infostealer?
Dolphin X impiega un profiler basato su intelligenza artificiale per valutare la “redditività” di una vittima. Invece di raccogliere dati in modo indiscriminato, analizza il software installato e l’attività dell’utente per focalizzarsi su obiettivi ad alto valore (sviluppatori, amministratori, detentori di wallet), aumentando l’efficacia del furto e riducendo il rumore di fondo.

3. Come posso gestire 432 nuove vulnerabilità del kernel in un solo giorno?
L’approccio vincente è il triage basato sull’esposizione reale, non sulla semplice gravità delle CVE. Utilizzate strumenti di asset management per identificare quali sistemi sono effettivamente affetti, quindi date priorità ai sistemi critici e a quelli raggiungibili dall’esterno. Automatizzate il patching appena i pacchetti aggiornati delle distribuzioni (Red Hat, Ubuntu, Debian, SUSE) diventano disponibili, e monitorate i canali ufficiali per eventuali correzioni extra.