Un affiliato del ransomware Hive e Nefilim è stato condannato a 70 mesi di carcere il 27 ottobre 2026, mentre le autorità statunitensi hanno annunciato il sequestro del dominio di un fornitore di hosting in un caso distinto. Il Dipartimento di Giustizia ha dichiarato che l'operazione ransomware ha interrotto l'attività di aziende e strutture sanitarie. Il sequestro del dominio ha colpito un servizio accusato di aiutare clienti criminali a mantenere online la propria infrastruttura.
Un terzo procedimento riguarda un presunto schema di investimenti in criptovalute con 174 vittime statunitensi identificate. Separatamente, Anthropic ha pubblicato i dettagli di cinque catene di exploit che, secondo l'azienda, un modello di IA interno ha sviluppato contro browser e sistemi operativi, con correzioni segnalate per ciascun bersaglio.
Affiliato ransomware condannato; ricercato il presunto amministratore
L'Ufficio del procuratore federale per il Distretto Orientale di New York ha riferito che la giudice Pamela K. Chen ha condannato Artem Aleksandrovych Stryzhak, cittadino ucraino di 36 anni, a Brooklyn. Nel dicembre 2025 Stryzhak si era dichiarato colpevole di cospirazione per frode, estorsione e attività correlate che coinvolgevano computer. Le autorità spagnole lo hanno arrestato nel giugno 2024, e il 30 aprile 2025 è stato estradato negli Stati Uniti.
Secondo i documenti del tribunale, Stryzhak era un affiliato, cioè un attaccante che distribuisce il ransomware di un gruppo in cambio di una quota dei proventi, sia di Nefilim sia di Hive. Entrò nella cospirazione Nefilim intorno al giugno 2021 e concordò con l'amministratore Volodymyr Tymoshchuk di versare agli amministratori del gruppo il 20% dei riscatti incassati per l'accesso al suo malware.
Nel giugno 2021 Stryzhak sottrasse dati a un'azienda di trasporto di petrolio e gas. Circa una settimana dopo creò gli indirizzi email utilizzati in una richiesta di riscatto inviata all'azienda. La sua attività con Nefilim proseguì almeno fino all'ottobre 2021.
Stryzhak fu inoltre uno dei primi affiliati di Hive. Insieme ai complici, distribuì Hive contro sette vittime, tra cui studi legali, uno studio dentistico e una struttura sanitaria, durante la pandemia di COVID-19. I file cifrati diventavano inaccessibili, e chi attaccava forniva una chiave di decifratura quando la vittima pagava. Durante la sua campagna di disturbo, l'FBI fornì a una delle vittime di Stryzhak una chiave, consentendo il recupero dei dati senza pagare il riscatto.
La cospirazione Hive nel suo complesso ha colpito circa 1.500 vittime in tutto il mondo tra il giugno 2021 e il gennaio 2023, tra cui enti governativi, ospedali e aziende. Quel totale riguarda l'intero gruppo, non le sette vittime di Hive identificate per Stryzhak. Un ospedale ha dovuto curare i pazienti già in cura senza tecnologia digitale e non ha potuto accettare subito nuovi pazienti.
L'ufficio dell'FBI di Springfield ha indagato sul caso Nefilim, mentre quello di Tampa ha seguito il caso Hive. Le autorità continuano a cercare Tymoshchuk e il Dipartimento di Stato offre una ricompensa fino a 11 milioni di dollari per informazioni che portino al suo arresto e/o alla sua condanna o alla sua individuazione.
Sequestrato il dominio di Virtualine per presunto hosting criminale
In un comunicato separato del 27 ottobre, l'Ufficio del procuratore federale per il Distretto Orientale della Virginia ha riferito che le autorità hanno ottenuto l'autorizzazione del tribunale a sequestrare virtualine.net. Il dominio serviva Virtualine, nota anche come Secury, Massgod, Spamhouse, Lanedo e Omegatech.
Gli inquirenti descrivono Virtualine come un fornitore «bulletproof», cioè un servizio di hosting pubblicizzato come resistente alle segnalazioni di abuso e alle azioni delle forze dell'ordine. Offriva server, hosting e acquisto di domini, e pubblicizzava i propri servizi tra i criminali nei forum di cybercrime.
I documenti del tribunale citano un annuncio del settembre 2024 che consentiva attività illegali, tra cui phishing, frodi con carte di pagamento e spam, ma escludeva contenuti di abuso sessuale su minori e terrorismo. Nel marzo 2026 Virtualine ha promosso un piano di protezione aggiuntivo: in risposta a una richiesta ufficiale delle forze dell'ordine, avrebbe spostato l'infrastruttura del cliente su una presunta società di comodo non collegata e riattivato il server.
Nonostante la restrizione dichiarata, gli inquirenti sostengono che Virtualine abbia ospitato consapevolmente un forum identificato come Vendor 1, che vendeva accesso a immagini e video sessuali di minori e adulti. Il forum promuoveva anche hacker su commissione che violavano gli account delle vittime per ottenere materiale intimo senza consenso.
A gennaio 2026, circa un mese dopo aver assegnato a Vendor 1 un indirizzo IP, Virtualine ha iniziato a ricevere segnalazioni su materiale di abuso sessuale che coinvolgeva minori. Le segnalazioni provenivano da forze dell'ordine di Germania, Canada e Australia, dal National Center for Missing and Exploited Children statunitense e dall'avvocato di una vittima. Secondo l'accusa, Virtualine ha continuato a ospitare il servizio e ha contribuito a realizzare un sito separato per caricare e scaricare file, rimasto online al momento dell'annuncio, nonostante almeno una segnalazione di abuso che riguardava immagini di minori.
Il fornitore accettava pagamenti tramite un'opzione etichettata BTC [NO-AML], utilizzando indirizzi bitcoin non custoditi, pubblicizzati come un modo per evitare che i fondi venissero segnalati come illeciti. Secondo l'accusa, i pagamenti riconducibili a gruppi criminali sono stati successivamente riciclati per nasconderne l'origine.
Hanno indagato l'ufficio dell'FBI di Washington, con l'assistenza della polizia tedesca e olandese, della National Crime Agency britannica, di OverRIPE, di Lumen e dell'Ufficio per gli affari internazionali del Dipartimento di Giustizia.
Estradizione in un presunto schema di riciclaggio da 36,9 milioni di dollari
Il Dipartimento di Giustizia ha annunciato il 23 ottobre che Zheng Zhao, cittadino cinese di 44 anni, è stato estradato dai Paesi Bassi e presentato davanti al tribunale del Distretto Centrale della California. Zhao è accusato di aver partecipato a una cospirazione internazionale per investimenti in criptovalute gestita da centri di truffa in Cambodia.
Secondo i documenti del tribunale, i complici all'estero contattavano le vittime statunitensi tramite messaggi non richiesti sui social media, chiamate, SMS e servizi di incontri. Dopo aver guadagnato la loro fiducia, promuovevano investimenti fraudolenti attraverso siti simili a piattaforme legittime di trading di criptovalute e dicevano falsamente alle vittime che i loro investimenti stavano crescendo di valore.
Secondo gli inquirenti, la rete faceva passare il denaro rubato attraverso società di comodo statunitensi, conti bancari internazionali e portafogli di asset digitali. Più di 36,9 milioni di dollari di fondi delle vittime sono passati da conti bancari statunitensi controllati dai complici a un unico conto presso la Deltec Bank delle Bahamas. Secondo l'accusa, Zhao e altri avrebbero disposto che la banca convertisse i fondi in Tether, la stablecoin indicata come USDT, e li inviasse a un portafoglio controllato in Cambogia. Lì i complici distribuivano l'USDT ai leader dei centri di truffa della regione.
Zhao è stato accusato nell'agosto 2025 di cospirazione per riciclaggio di denaro e rischia una pena massima di 20 anni di carcere in caso di condanna. Le accuse restano tali, e Zhao è considerato innocente fino a prova contraria. Otto coimputati si sono dichiarati colpevoli, tra cui ShengSheng He e Jingliang Su, condannati rispettivamente a 51 mesi e 46 mesi per cospirazione finalizzata alla gestione di un servizio abusivo di trasferimento di denaro.
Il Global Investigative Operations Center del Servizio Segreto sta conducendo le indagini, con l'assistenza di altre agenzie statunitensi e delle autorità olandesi. Il procedimento rientra nella Cyber-Enabled Scam Initiative della Divisione penale. Il Dipartimento invita le vittime di frodi sugli investimenti in asset digitali a segnalarle su IC3.gov.
Anthropic descrive cinque catene di exploit sviluppate con l'IA
In un resoconto tecnico separato, Anthropic afferma che un modello di ricerca interno non rilasciato ha individuato vulnerabilità e, dopo un primo prompt, ha scritto exploit funzionanti contro Chrome, Safari, Android, Windows e Linux. Si tratta dei risultati e delle dimostrazioni riportati dall'azienda.
Per Chrome su macOS, Anthropic descrive una pagina malevola che ha avviato la Calcolatrice in pochi secondi, eseguendo codice al di fuori della sandbox del browser, cioè il confine pensato per contenere i componenti compromessi del browser. La catena combinava la corruzione della memoria nel motore JavaScript V8, l'evasione dalla sandbox a regioni di memoria di V8, una race condition in CacheStorage e una falla use-after-free nella funzionalità di accesso FedCM. Un use-after-free si verifica quando un software accede alla memoria dopo averla rilasciata.
La catena aggirava l'address space layout randomization, che nasconde la posizione del codice in memoria, e usava il return-oriented programming, che combina frammenti di codice già esistenti per controllare l'esecuzione. Anthropic afferma che Google ha assegnato 62 CVE, cioè identificativi di vulnerabilità, alle sue scoperte e le ha corrette tutte a partire da Chrome 156. Tutte erano classificate con gravità critica o alta e includevano 13 evasioni dalla sandbox e 21 vulnerabilità che potevano compromettere il renderer, il processo che gestisce il contenuto delle pagine web.
La catena per Safari aggirava la same-origin policy, la regola che separa i dati di un sito web da quelli di un altro. Anthropic afferma che avrebbe potuto leggere la cronologia del browser, i cookie e i database delle sessioni, nonché effettuare richieste autenticate verso altri domini e leggerne le risposte. Un aggressore potrebbe quindi leggere la posta di un utente già autenticato o visualizzare i saldi bancari e tentare bonifici.
Quella catena combinava un use-after-free in JavaScriptCore, un'evasione dall'isolamento della memoria di WebKit chiamato Gigacage e una falla nel meccanismo di comunicazione tra processi della sandbox. Alterava i dati del browser e un flag di sicurezza, anziché eseguire codice arbitrario. Alcuni comportamenti dei componenti diventavano sfruttabili solo se combinati. Anthropic afferma che Apple ha confermato la ricezione della segnalazione lo stesso giorno e ha rapidamente implementato una correzione, ora disponibile per gli utenti.
Per Android, l'azienda riferisce di aver estratto foto e informazioni personali da un telefono bloccato tramite USB. Il lavoro, che comprendeva analisi del codice sorgente, reverse engineering dei servizi Google Play e test su un Pixel 9 fisico, ha prodotto una catena che aggirava le restrizioni di trasferimento sui dispositivi bloccati, l'autorizzazione tra peer e la conferma di abbinamento a sei cifre. Un meccanismo di riserva trasferiva quindi il contenuto dei file, nonostante una restrizione separata sui trasferimenti di file grezzi. Anthropic afferma che Google ha risolto il problema.
La scoperta su Windows, CVE-2026-33096, riguardava una lettura di memoria fuori dai limiti nell'implementazione di QUIC nel kernel, un protocollo di trasporto usato da HTTP/3. Secondo Anthropic, pochi pacchetti potrebbero mandare in crash e riavviare una macchina Windows che risponde a HTTP/3 tramite l'implementazione nativa; richieste ripetute potrebbero tenerla indisponibile. La stima di diversi milioni di server esposti su internet è una stima dell'azienda. Secondo Anthropic, Microsoft ha risolto la vulnerabilità. Il modello l'ha trovata tramite analisi binaria, ricostruendo e confrontando il comportamento del programma prima di esaminare il codice risultante alla ricerca di debolezze.
La catena per Linux prendeva di mira server con un listener multipath TCP. Anthropic afferma che un attaccante remoto non autenticato potrebbe sfruttare un use-after-free dipendente dai tempi per eseguire comandi come root, l'account con i privilegi più elevati, senza interazione dell'utente. Una fase faceva trapelare un puntatore del kernel per rivelare posizioni di memoria; un'altra sovrascriveva un puntatore di callback per reindirizzare l'esecuzione attraverso funzioni del kernel già esistenti. I tentativi falliti potevano lasciare solo un handshake di connessione non riuscito, permettendo tentativi ripetuti. La dimostrazione ha richiesto 48 minuti per far trapelare un puntatore e altri cinque minuti per eseguire un comando.
Anthropic identifica la falla come CVE-2026-98432 e afferma che la correzione è stata integrata a monte e portata indietro su tutti i rami stabili del kernel Linux mantenuti. L'azienda segnala inoltre vulnerabilità di escalation locale dei privilegi in OpenBSD, FreeBSD e Linux, evasioni dalla sandbox e vulnerabilità nelle applicazioni web.
L'azienda afferma di aver segnalato ogni vulnerabilità secondo un processo di divulgazione che concede ai fornitori 90 giorni per la correzione e ulteriori 45 giorni prima di una discussione tecnica più approfondita. La sua piattaforma di ricerca fa girare in parallelo agenti di scansione, tiene traccia della copertura del codice, cerca varianti delle falle confermate e sottopone le scoperte a verifica e valutazione del rischio.
Per i team di sviluppo, Anthropic raccomanda di analizzare il codice al momento della pull request e ha rilasciato un plugin di indicazioni sulla sicurezza per Claude Code. Afferma inoltre che il suo Cyber Verification Program, ampliato, offre a professionisti della sicurezza qualificati funzionalità avanzate e classificatori di blocco meno restrittivi, incluso l'accesso a Claude Opus 5.5, Claude Sonnet 5.5 e Claude Mythos 5.1. La sua raccomandazione pratica è analizzare il codice dei difensori come parte dello sviluppo.
