CyberVeil Daily #3 — “Bollettino Cybersecurity 17 Aprile 2026”
Sommario
Giornata densa: SafePay ha colpito vittime in USA, Cambogia e Argentina nello stesso minuto — un pattern che suggerisce orchestrazione centralizzata. Il trojan DLL Silverfox è stato rilevato per la prima volta da MalwareBazaar. CERT-GARR ha emesso due alert critici per Google Chrome e prodotti Cisco, rilevanti per le infrastrutture italiane. Quattro gruppi ransomware hanno pubblicato nuove vittime con target prevalentemente europei.
Ransomware: SafePay e l’attacco coordinato su tre continenti
Il dato più significativo di oggi è il pattern temporale di SafePay. Tre vittime su tre continenti diversi, tutte colpite tra le 16:28 e le 16:29 UTC. (Fonte: Ransomware.Live)
| Vittima | Paese |
|---|---|
| bbalawgroup.com | USA |
| firstcambodia.com.kh | Cambogia |
| cheeky.com.ar | Argentina |
Un intervallo di un minuto su tre fusi orari diversi non è casuale — indica una campagna strutturata con infrastruttura di comando centralizzata.
Krybit e Incransom: target europei
Krybit ha colpito due target tedeschi: rhode-hv.de e putzbaer.berlin, entrambi nel settore servizi e gestione immobiliare. Incransom ha preso di mira Mag. Fünder Hausverwaltungs GmbH in Austria, stesso settore. Il pattern geografico è chiaro: Europa centrale, settore property management. (Fonte: Ransomware.Live)
Qilin ha colpito HBX Group nella regione Asia-Pacific, confermando la portata globale dell’attività ransomware odierna. (Fonte: Ransomware.Live)
Nuovo malware: Silverfox (trojan DLL)
Il trojan Silverfox è stato rilevato da Abuse.ch MalwareBazaar con confidenza 100%. La distribuzione come DLL anziché come eseguibile standalone indica un approccio orientato all’evasione: iniezione in processi legittimi e persistenza tramite servizi Windows. (Fonte: Abuse.ch MalwareBazaar)
Tra gli altri malware rilevati nelle ultime 24 ore: AsyncRAT (eseguibile attivo su MalwareBazaar), varianti Mozi per architetture MIPS a 32-bit, e varianti Mirai per ARM/ELF. (Fonte: Abuse.ch)
Campagne Clearfake attive
Tra gli indicatori di compromissione rilevati, diversi domini associati alla campagna Clearfake utilizzano il TLD .in.net come pattern ricorrente. Clearfake distribuisce malware attraverso pagine di aggiornamento browser fasulle — i team SOC dovrebbero monitorare le query DNS verso questo TLD nei propri ambienti. (Fonte: Abuse.ch)
Alert CERT-GARR per l’Italia
Due alert critici per le organizzazioni italiane.
GCSA-26067 — Google Chrome: aggiornamento di sicurezza per le versioni 134 e successive. Le organizzazioni con policy centralizzate sui browser devono distribuire l’aggiornamento con priorità. (Fonte: CERT-GARR)
GCSA-26066 — Prodotti Cisco: vulnerabilità critiche multiple che potrebbero permettere accesso non autorizzato e escalation dei privilegi su dispositivi di rete enterprise. Chi gestisce infrastrutture con router, switch o firewall Cisco deve verificare immediatamente lo stato degli aggiornamenti. (Fonte: CERT-GARR)
Cosa monitorare
Il pattern SafePay merita attenzione particolare: attacchi simultanei su più continenti indicano un livello di maturità operativa elevato. Per i team SOC italiani, la priorità immediata resta l’applicazione degli aggiornamenti Chrome e Cisco segnalati da CERT-GARR. Monitorare le query DNS verso domini .in.net per intercettare eventuali tentativi Clearfake nel proprio ambiente.