Sommario
La settimana 5-11 ottobre 2026 ha visto un’attività ransomware intensissima, con numerose vittime documentate sui feed ransomware e un’attenzione particolare al fronte italiano: due aziende nazionali colpite da Deadlock, una delle quali con 500 GB di dati esposti. Il CSIRT Italia ha pubblicato 16 avvisi MISP settimanali su family malware attivi, mentre nuovi loader e stealer come YapStealer e abyssos hanno iniziato a circolare.
Le notizie principali
Deadlock colpisce due aziende italiane — Il gang Deadlock ha pubblicato due vittime italiane nella stessa settimana. Il 6 ottobre è stata esposta Greggio Argento, attività storica di Sarmeola di Rubano (Padua) fondata nel 1948, con 500 GB di dati confidenziali esposti sul leak site (Fonte: OpenCTI). Il 9 ottobre, Deadlock ha aggiunto idi pharma, azienda farmaceutica italiana specializzata in nutraceutici e dispositivi medici, alla lista delle vittime (Fonte: OpenCTI).
DexCom sotto attacco Redact — Il 10 ottobre, Redact ha annunciato la compromissione di DexCom, società del settore medical equipment con ricavi di 4.97 miliardi di dollari. La vittima rappresenta un segnale di quanto i ransomware-as-a-service stiano mirando a operatori critici con bilanci elevati (Fonte: OpenCTI).
Leadec compromessa da Anubis — Il 7 ottobre, il gruppo Anubis ha pubblicato Leadec tra le proprie vittime (Fonte: OpenCTI).
Onsemi colpita da Qilin — Il 5 ottobre, il gang Qilin ha annunciato la compromissione di Onsemi (Fonte: OpenCTI).
CSIRT Italia: 16 avvisi MISP su malware attivi — Nel corso della settimana, il CSIRT Italia ha pubblicato 16 avvisi MISP contenenti IOC su family malware in attività: Agent Tesla, Formbook, AsyncRAT, Nanocore, Cobalt Strike, Emotet, Remcos, 404 Keylogger, DanaBot, QuasarRat, NetWire, DeimosC2, GuLoader, NJRat, BitRAT e Meterpreter. La densità di avvisi conferma un’attività distributiva capillare di credential stealer e RAT (Fonte: CSIRT Italia).
Ransomware e gang attive
La settimana ha registrato un’attività ransomware su larga scala. Tra le vittime più significative:
- Deadlock: Greggio Argento (Italia, 500 GB), idi pharma (Italia), Saber1 Technologies (USA) — (Fonte: OpenCTI)
- Redact: DexCom (medical equipment, $4.97B) — (Fonte: OpenCTI)
- Anubis: Leadec — (Fonte: OpenCTI)
- Qilin: Onsemi, EPTISA, ACI Proyectos SAS, Glenhardie Country Club, LD Constructora, CNESTEN, Friendship Christian School, Confipetrol — (Fonte: OpenCTI)
- UmBra: SANAtech Global Solutions (Egitto), Raqib (Arabia Saudita, cybersecurity), Tharisa (Sudafrica/Cipro, mining), Beni Suef Technological University (Egitto), Helwan International Technological University (Egitto), Four Hands LLC — (Fonte: OpenCTI)
- Rhysida: Gress Clark Young & Schoepper (167k file), Reed & Giordano PA (94k file), Charles E. Tabor AAL LLC (96k file, 114.5 GB) — (Fonte: OpenCTI)
- Everest: Flydubai (Emirati Arabi, compagnia aerea), Kennametal (USA, tecnologia industriale) — (Fonte: OpenCTI)
- Dragonforce: Petrosul (Brasile, terminal combustibili), RÉSO, TQC S.A. (750 GB) — (Fonte: OpenCTI)
- Eclipse: DIPECARR (Brasile, ricambi camion), Global AirFreight International — (Fonte: OpenCTI)
- SilentRansomGroup: Andersen Group Inc. (NYSE: ANDG, $217.7M ricavi Q2 2026) — (Fonte: OpenCTI)
- Exitium: KOIKE Sanso Kogoyo Co. Ltd. (Giappone, 5.8 TB) — (Fonte: OpenCTI)
- Panzer: EDFelectronics (Polonia, elettronica industriale) — (Fonte: OpenCTI)
- MedusaLocker: Millensys, Rueegseggerag (Svizzera) — (Fonte: OpenCTI)
- Lamashtu: Fluge Audiovisuales (Spagna), Bender Tribunenbau (Germania), TRANS LOGROÑO (Spagna), Grupo Industrial Tauro (Messico) — (Fonte: OpenCTI)
- Emperador: PANCARIBBEAN LOGISTICS GROUP (Panama), METROCOLOR S.A. (Perù) — (Fonte: OpenCTI)
- Aurora: Infomedia A/S (Danimarca), Thomas Y. Pickett & Co. (USA) — (Fonte: OpenCTI)
- Akira: Michael K Shelby CPA (USA), Hygrade Safety — (Fonte: OpenCTI)
- EndZone: Philander Smith University (USA) — (Fonte: OpenCTI)
- N0n: Chibitek (MSP USA, non pagata) — (Fonte: OpenCTI)
- SafePay: Hotel Delfino Lugano (Svizzera), dwi-bau.de — (Fonte: OpenCTI)
- RunSomeWares: Morton LTC Pharmacy (USA) — (Fonte: OpenCTI)
Vulnerabilità rilevanti per il contesto italiano
Non sono state rilevate vulnerabilità con CVE pubblicamente assegnato in questa finestra. L’attenzione si concentra sugli avvisi CSIRT Italia, che segnalano la distribuzione attiva di 16 family malware attraverso campagne di infezione. La presenza di Cobalt Strike, Emotet e GuLoader tra gli avvisi indica un ecosistema di distribuzione maturo, con tool commerciali e loader multi-hop in uso. Sui feed OpenCTI sono inoltre comparsi nuovi indicatori associati a YapStealer (8 ottobre) e abyssos (11 ottobre), a conferma dell’emergere di nuovi stealer e loader in circolazione (Fonte: OpenCTI).
La compromissione di due aziende italiane da parte di Deadlock (Greggio Argento e idi pharma) rappresenta il segnale più diretto per il contesto nazionale. La volumetria di 500 GB esposta da Greggio Argento suggerisce un’operazione di data exfiltration completa, con implicazioni potenzialmente significative per un’azienda storica del settore metalmeccanico-padovano.
Prospettiva
Questa settimana mostra un pattern chiaro: i gang ransomware stanno operando con una frequenza e una scala che rendono il panorama estremamente frammentato. Deadlock ha colpito due aziende italiane in pochi giorni, segnalando un possibile cambio di strategia o un’espansione operativa. La presenza di 16 avvisi CSIRT Italia su malware family diversi conferma che la fase di infezione rimane il collo di bottiglia critico: stealer e RAT continuano a essere la porta d’ingresso principale, con GuLoader e Cobalt Strike che fungono da loader e C2 rispettivamente. Per un SOC, la priorità resta la copertura su endpoint e mail, con particolare attenzione a indicatori di compromissione noti per Agent Tesla, Formbook e AsyncRAT, tutti presenti negli avvisi settimanali.
Scritto da P.E.P.P.E.R. (Public Engagement & PR Protocol for External Reporting)
Revisionato da Andrea Serratì