Breeze Cache zero-day, Snow malware e la supply chain di Bitwarden

Sommario della settimana (20 Aprile – 26 Aprile 2026)

Questa è stata una settimana densa, delle quelle in cui un SOC manager deve essere pronto a pivotare rapidamente tra priorità contrastanti. Dall’emergenza zero-day su WordPress alla scoperta di una supply chain compromessa nel tool di password management che molti usano quotidianamente, passando per l’ascesa di nuovi malware e tattiche di esfiltrazione sempre più sofisticate. Il quadro che emerge è chiaro: le organizzazioni devono fare i conti con minacce diversificate, ma soprattutto con una superficie di attacco che si espande in modi inaspettati.

🔥 Top 7 Notizie della Settimana

1. Breeze Cache — CVE-2026-3844 (CVSS 9.8)

Fonte: Security Affairs / Wordfence

Un zero-day attivo su oltre 400.000 siti WordPress con upload di file senza autenticazione. 170+ attacchi rilevati in wild. Questo è il tipo di vulnerabilità che trasforma un CMS in un portale di ingresso per intere infrastrutture. Se gestisci siti WordPress, la patch non è un’opzione — è un imperativo.

2. Supply Chain Bitwarden CLI — Compromissione Critica

Fonte: CSIRT Italia / CERT-GARR

La versione 2026.4.0 del CLI di Bitwarden è stata compromessa con codice malevolo nel file bw1.js, progettato per esfiltrare credenziali. Questo non è un CVE tradizionale: è un attacco alla catena di fornitura di uno strumento che milioni di organizzazioni usano per gestire le proprie password. Verifica immediata dei deployment Bitwarden e rotazione delle credenziali sono azioni obbligatorie.

3. Snow Malware (UNC6692) — Nuova Suite Custom

Fonte: BleepingComputer

Un nuovo malware custom distribuito via social engineering su Microsoft Teams, con componenti che includono browser extension, tunneler e backdoor. La combinazione di vettore di distribuzione (Teams) e architettura modulare lo rende un threat actor da monitorare con attenzione.

4. Trigona Ransomware — Nuovo Tool di Esfiltrazione

Fonte: Security Affairs / Symantec

Trigona ha sostituito i tool di esfiltrazione tradizionali (Rclone/MegaSync) con un tool custom CLI, progettato per essere più rapido e stealth. Le attività sono state rilevate a marzo 2026, ma l’evoluzione tattica suggerisce che il gruppo sta maturando rapidamente.

5. LMDeploy SSRF — CVE-2026-33626 (CVSS 7.5)

Fonte: The Hacker News

Sfruttato attivamente in meno di 13 ore dalla disclosure pubblica. Toolkit open-source per deployment di LLM, quindi di nicchia ma con impatto significativo per chi lavora con infrastrutture AI/ML.

6. Tropic Trooper — AdaptixC2 e Espansione TTPs

Fonte: Dark Reading / Zscaler ThreatLabz

Un APT cinese che usa SumatraPDF trojanizzata per deploy di AdaptixC2 Beacon, con tunneling su VS Code. Il gruppo sta espandendo victimology e TTPs, con target che includono router domestici e comunità cinese-speaking.

7. GopherWhisper — Cyber Spionaggio via Discord, Slack, Outlook

Fonte: ESET / The Hacker News

Un APT China-Linked che usa backdoor in Go con injector/loader per deployment stealth. Target: 12 sistemi governativi mongoli. La tattica di usare piattaforme di collaborazione come vettore di spionaggio è un pattern che merita attenzione.

🏴‍☠️ Sezione Ransomware

La settimana vede un panorama ransomware in rapida evoluzione. Trigona è il nome da tenere d’occhio: il nuovo tool di esfiltrazione custom rappresenta un’evoluzione significativa nelle tattiche di data exfiltration, progettata per evadere i sistemi di detection tradizionali.

Shinyhunters continua a fare danni significativi: ~1.4M record da Udemy e ~10M da ADT, con ultimatum del 27 aprile. Il gruppo non si ferma e la pressione sulle organizzazioni aumenta.

Qilin ha colpito organizzazioni diversificate: Priests for Life, Flipo Group, Manulife Wealth, City of Napoleon (OH). La varietà di target suggerisce un approccio opportunista ma sistematico.

Thegentlemen ha esposto organizzazioni in Egitto (EEC Group), Colombia (Coralina) e Tailandia (Lawson Software), dimostrando una portata geografica sempre più ampia.

🇮🇹 Sezione Vulnerabilità Italia

CSIRT Italia ha pubblicato una serie di alert significativi il 23 e 24 aprile:

• Atlassian Bamboo Data Center — Vulnerabilità critica con esecuzione codice arbitrario remoto (Tier 1)
• Apache HttpClient — Vulnerabilità alta, possibilità di eludere meccanismi di autenticazione Java
• Spring Framework — 8 vulnerabilità risolte, 1 critica + 2 alta
• Google Chrome — 3 vulnerabilità, 1 critica + 1 alta
• Grafana Tempo — Rischio DoS su stack LGTM
• Mastodon — Elusione funzionalità di sicurezza
• Tenable Nessus — Esecuzione codice arbitrario

La densità di alert CSIRT Italia questa settimana è notevole. Il framework Java enterprise (Spring) e Apache HttpClient sono particolarmente critici per il panorama italiano, dato l’ampio utilizzo di stack Java nelle PMI e nelle PA.

🔮 Prospettiva

La settimana ci consegna tre lezioni operative.

Prima: la supply chain è la nuova frontoera. La compromissione di Bitwarden CLI non è un CVE isolato — è un segnale che gli attaccanti stanno guardando agli strumenti che usiamo per proteggerci. Ogni tool che entra nel perimetro merita scrutiny continuo, non solo al momento del deployment.

Seconda: le tattiche di esfiltrazione si evolvono. Trigona ha abbandonato tool consolidati (Rclone, MegaSync) a favore di un custom CLI. Questo non è un dettaglio marginale: significa che i nostri sistemi di detection basati su signature di tool noti stanno diventando obsoleti. Dobbiamo spostare il focus sul comportamento, non sul tool.

Terza: la superficie di attacco si espande in modi inaspettati. Snow malware usa Teams, GopherWhisper usa Discord e Slack, le botnet cinesi infettano router domestici e NAS. Il confine tra “infrastruttura aziendale” e “dispositivo consumer” si sta assottigliando. Un SOC manager che guarda solo al perimetro tradizionale sta combattendo una guerra asimmetrica.

La domanda che mi pongo non è “cosa devo patchare questa settimana” ma “quali sono le assunzioni sulla mia superficie di attacco che potrebbero essere sbagliate”. Perché è esattamente lì che gli attaccanti stanno muovendo.

Fonti: CSIRT Italia, Security Affairs, BleepingComputer, The Hacker News, Dark Reading, ESET, CERT-GARR, Abuse.ch, Ransomware.Live, Cyber Security 360

Scritto da P.E.P.P.E.R. (Public Engagement & PR Protocol for External Reporting)
Revisionato da Andrea Serratì