Sommario
La settimana 14-20 settembre 2026 è stata segnata da tre filoni distinti. Il primo è la conferma di un attacco ransomware a un’azienda italiana — lo Studio Notarile Costantino & Favarato di Follina (TV) — pubblicata sul leak site di Emperador. Il secondo è l’ondata di vulnerabilità riportate da CERT-GARR nel bollettino GCSA-26221 (Microsoft Edge) e GCSA-29194 (OpenSSL), con decine di CVE segnalate in un unico avviso. Il terzo è l’attività quotidiana del CSIRT-Italia, che ha pubblicato avvisi IOCs su quasi ogni giorno della settimana, coprendo Emotet, QuasarRat, SystemBC, Cobalt Strike, GuLoader, DanaBot, PoshC2 e una campagna di phishing che maschera l’Agenzia delle Entrate con la minaccia di un “bonus vacanze”.
Le notizie principali
CERT-GARR: vulnerabilità multiple in Microsoft Edge e OpenSSL
Il bollettino GCSA-26221 di CERT-GARR ha segnalato una serie di vulnerabilità in Microsoft Edge, con CVE che spaziano da CVE-2026-87610 a CVE-2026-87658. Il bollettino GCSA-29194 ha contemporaneamente segnalato dieci vulnerabilità in OpenSSL (CVE-2026-63072, 63073, 63074, 63075, 63076, 14456, 14457, 18798, 54874, 75803). I CVSS non sono stati riportati nei dati OpenCTI. (Fonte: CERT-GARR)
CSIRT-Italia: campagna di phishing contro Agenzia delle Entrate
Il CSIRT-Italia ha classificato come evento MISP una campagna di phishing che maschera l’Agenzia delle Entrate con la minaccia di un “bonus vacanze”. L’attacco mira a raccogliere dati personali e finanziari attraverso email ingannevoli. (Fonte: CSIRT-Italia)
CSIRT-Italia: avvisi IOCs quotidiani
Per quasi ogni giorno della settimana (14-20 settembre), il CSIRT-Italia ha pubblicato avvisi contenenti indicatori di compromesso per una gamma ampia di malware: Emotet, QuasarRat, SystemBC, Cobalt Strike, Nanocore, RedLine Stealer, Agent Tesla, NJRat, Remcos, Raccoon, GuLoader, DanaBot, Qakbot, Meterpreter, DeimosC2, PoshC2, SocGholish, Formbook e Lokibot. (Fonte: CSIRT-Italia)
Malware: PureLogsStealer, ConnectWise e OverlordRAT
Abuse.ch MalwareBazaar ha registrato la comparsa di nuove famiglie di malware: PureLogsStealer (17 settembre), ConnectWise e OverlordRAT (20 settembre). Tutti e tre sono stati osservati in associazione con dropper denominati “Remus” e “Offloader”. (Fonte: Abuse.ch MalwareBazaar)
Ransomware e gang attive
Attacco a un’azienda italiana: Studio Notarile Costantino & Favarato
Lo Studio Notarile Associato Salvatore Costantino e Anna Favarato, con sede a Follina (TV), è stato pubblicato sul leak site di Emperador. Il gruppo ha dichiarato di avere accesso a diversi migliaia di documenti, tra cui dati di clienti e dipendenti. Il settore classificato è “Finance, Other”. (Fonte: OpenCTI)
Panoramica globale
La settimana ha visto un’attività ransomware molto diffusa, con numerose vittime annunciate da diverse gang. Tra le vittime più rilevanti per dimensione o settore:
- Emperador: Electrolux Group (svedese, elettrodomestici), Cassias MG Government (Brasile, ente governativo), Studio Notarile Costantino & Favarato (Italia), Alabama Woman’s Health Care (USA, sanità)
- N0n: PayPal support operations / Transcom WorldWide (86.7M record di connessioni, infrastruttura completa), Fanatics (piattaforma e-commerce sportiva, 46.902 file d’ordine), Ministero dell’Istruzione argentino, STOKR (piattaforma titoli digitali, Lussemburgo)
- EndZone: AT&T (telecom, 125.6 miliardi di dollari di ricavi), Accela (software governativo, 50 GB estratti)
- MetaEncryptor: Beckman Coulter Diagnostics (diagnostica medica, Danaher), AECOM (ingegneria infrastrutturale), ProMantra (healthcare RCM)
- Akira: Vetta Digital (gestione energetica industriale), Practice Management (healthcare FQHC, 43 GB), Javep Chevrolet (vendita auto)
- Qilin: Zorlu Holding, ShopDunk, KMLS, Touring Club Suisse
- Panzer: Universität Hamburg (42.000 studenti), Stim France (sorveglianza video), Inovapy (software LatAm)
- Storm: First Secure Community Bank, The State Bank Group, First Secure Bank and Trust (banche Illinois), American Casting Company (aerospace/medical), Johnson Investment Counsel
- Rhysida: MPA Pharma (2.9 MB, 5.8 TB di dati)
- Altre gang: Bravox (TOWILL), Orova (Euramex, Siddhi Green), Krybit (ACIL India), Incransom (Kendall Hunt Publishing, Roan Luxury Camping), Chaos (expresspros.com), BrainCipher (aecom.com), Anubis (Quest Group), Cry0 (Young Injury Law), Unsafe (voltgames.io), Arcusmedia (AKAZZO), Nightspire (Great Bay Bio), Securotrop (Prefix Corp), SilentRansomGroup, Spirals (ANYTHINGIT)
Vulnerabilità rilevanti per il contesto italiano
L’ondata CERT-GARS GCSA-29194 su OpenSSL è particolarmente rilevante per il contesto italiano, dato che OpenSSL è una dipendenza critica per server web, servizi cloud e infrastrutture di rete diffuse in Italia. Le CVE coprono diverse classi di vulnerabilità (nessuna descrizione dettagliata disponibile nei dati OpenCTI). (Fonte: CERT-GARR)
La campagna di phishing del CSIRT-Italia che maschera l’Agenzia delle Entrate rappresenta un vettore di ingresso diretto per il targeting di aziende e professionisti italiani. La combinazione di ingegneria sociale (minaccia di bonus) con impersonificazione istituzionale è un pattern classico di early-stage access. (Fonte: CSIRT-Italia)
La presenza quotidiana di IOCs per Emotet, QuasarRat, SystemBC, Cobalt Strike e GuLoader nei bollettini CSIRT-Italia indica che questi tool sono ancora ampiamente distribuiti e attivi nel panorama italiano, probabilmente attraverso infostallation iniziale e movimento laterale. (Fonte: CSIRT-Italia)
Prospettiva
La settimana mostra un pattern coerente con l’ultimo trimestre: le gang ransomware continuano a pubblicare vittime con volumi di dati crescenti (Transcom con 86.7M di record, MPA Pharma con 5.8 TB, Accela con 6 milioni di richieste utente), mentre il CSIRT-Italia mantiene un ritmo di avvisi IOCs quasi giornaliero. La vulnerabilità di OpenSSL è un moltiplicatore di rischio strutturale — non è una CVE isolata, ma un insieme di flaw in una libreria che sostiene gran parte dell’infrastruttura web italiana. La priorità operativa resta la patching di OpenSSL e la verifica dei tenant Edge, unita alla formazione anti-phishing per contrastare le campagne di impersonificazione istituzionale.
Scritto da P.E.P.P.E.R. (Public Engagement & PR Protocol for External Reporting)
Revisionato da Andrea Serratì