Sommario settimana
La settimana 28 settembre – 4 ottobre 2026 ha visto un’attività ransomware intensa e diffusa, con almeno cinque gang attive contemporaneamente. Lamashtu ha colpito con una serie coordinata di vittime in Germania, Francia, Australia e Argentina, mentre Storm ha colpito principalmente negli Stati Uniti con un cluster di attacchi concentrati. Segnale rilevante anche dal CSIRT Italia: warning su exploit attivo contro Citrix NetScaler ADC e Gateway, con indicatori di compromissione webshell e scanning di rete rilevati su infrastrutture italiane.
Le notizie principali
Citrix NetScaler: exploit attivo su infrastrutture italiane
Il CSIRT Italia ha pubblicato un warning dedicato alla difesa contro lo sfruttamento attivo di vulnerabilità su Citrix NetScaler ADC e Gateway Appliances. Gli indicatori raccolti includono webshell e attività di network scanning, con etichetta “Italy” applicata agli eventi. La segnalazione è classificata come “high” per severità e riguarda direttamente il panorama italiano. (Fonte: CSIRT Italia)
Lamashtu: ondata coordinata di attacchi
La gang Lamashtu ha pubblicato una serie di vittime nella giornata del 30 settembre, colpendo organizzazioni in Germania, Francia, Australia, Argentina e Italia. Tra le vittime segnalate:
- Astidental di Sabbione — distributore italiano di attrezzature dentali con oltre 60 anni di attività (Fonte: Ransomware.Live)
- Becker Logistik — azienda tedesca di logistica e trasporti (Fonte: Ransomware.Live)
- Wilhelm Kühne — società tedesca di facility services e pulizia (Fonte: Ransomware.Live)
- PROJAHN — produttore tedesco di utensili professionali (Fonte: Ransomware.Live)
- Altmannshofer Sicherheits-Videotechnik — installatore bavarese di sistemi di sicurezza (Fonte: Ransomware.Live)
- FIDUCIAL — gruppo francese di servizi contabili e IT (Fonte: Ransomware.Live)
- Virtual Ideas — studio australiano di visualizzazione 3D (Fonte: Ransomware.Live)
- GERLON — azienda francese di prodotti abrasivi (Fonte: Ransomware.Live)
Storm: cluster di attacchi negli Stati Uniti
La gang Storm ha pubblicato almeno otto vittime concentrate nella giornata del 30 settembre, prevalentemente negli Stati Uniti. Tra queste:
- West County Health Centers — provider sanitario nella contea di Sonoma, California (Fonte: Ransomware.Live)
- Silvercup Studios — studio fotografico e cinematografico newyorkese (Fonte: Ransomware.Live)
- Century Management Services — società di property management con sede a New York (Fonte: Ransomware.Live)
- Olnick Rentals — gestione immobiliare residenziale e commerciale (Fonte: Ransomware.Live)
- North Hills Facility Services — servizi di pulizia commerciale e residenziale (Fonte: Ransomware.Live)
- Gardeners’ Guild — azienda di landscaping della Bay Area (Fonte: Ransomware.Live)
Booba Project: attacchi al settore sanitario
La gang Booba Project ha colpito il settore sanitario con diverse vittime, tra cui l’Università dell’Illinois a Chicago (344 GB di dati), Raleigh Family Medicine, Soni Medical Centre e EdgeEndo USA (dispositivi medici). (Fonte: Ransomware.Live)
Akira: vittime in settori strategici
Akira ha colpito Laboratorios Roemmers SAICF, la principale farmaceutica argentina per ricavo con 6.890 dipendenti, e Wesmar, specialista in tecnologia marina. (Fonte: Ransomware.Live)
Wallstreet: World Cup 2034 Saudi
Wallstreet ha rivendicato la compromissione del consorzio China Railway Construction Corporation / Sama Construction, appalto principale per la costruzione dello stadio Jeddah Central Stadium per il Mondiale 2034. La gang riferisce di 17 TB di dati esfiltrati, tra cui documenti contrattuali e certificati di pagamento. (Fonte: Ransomware.Live)
Ransomware e gang attive
Le gang attive nella finestra 28 settembre – 4 ottobre includono:
- Lamashtu — attività più intensa il 30 settembre, vittime in Europa e Sud America
- Storm — cluster di attacchi USA il 30 settembre
- Booba Project — focus su sanità e istruzione
- Akira — vittime in farmaceutica e tecnologia marina
- Wallstreet — attacco di alto profilo al progetto World Cup 2034
- Krybit — vittime in India, Repubblica Ceca e Francia
- Qilin — attivo su più giorni con vittime in Germania, Canada e Giappone
- Emperor — vittime in USA e Venezuela
- Rhysida — vittime in Germania e USA
- Deadlock — vittime in USA e Grecia
- Netrunner — vittime in USA e Canada
- Incransom — vittime in USA
- Safepay — vittime in Belgio e Germania
- N0n — vittime in Canada
- Direwolf — settore software
- Spirals — settore marittimo
- Aurora — vittime in USA e Argentina
- Redact — settore elettrico
- Morpheus — settore industriale taiwanese
- Wallstreet — settore costruzioni e progetti infrastrutturali
Vulnerabilità rilevanti per il contesto italiano
Citrix NetScaler ADC/Gateway — Il CSIRT Italia ha classificato come “high” un warning su sfruttamento attivo con webshell e network scanning. La segnalazione è esplicitamente etichettata “Italy”. Si tratta di un alert operativo da monitorare con priorità, dato che NetScaler è ampiamente utilizzato in Italia come appliance di accesso remoto e application delivery controller.
CSIRT Italia: warning malware ricorrenti
Per tutta la settimana, il CSIRT Italia ha pubblicato warning giornalieri su indicatori di compromissione (IOCs) per le seguenti famiglie malware:
- Agent Tesla (keylogger)
- 404 Keylogger
- Cobalt Strike
- DanaBot / Danabot
- Formbook
- GuLoader
- IcedID
- Meterpreter
- Nanocore RAT
- NetWire
- Quasar RAT
- Remcos
- SocGholish
- AsyncRAT
- Amadey
- GCleaner
- Offloader
- SilentNet
- ValleyRat / SilverFox
La persistenza di questi warning settimanali indica un panorama di malware distribution attivo e continuo, con particolare attenzione ai loader (GuLoader, SocGholish, Amadey) e ai RAT (Remote Access Trojan) più diffusi.
Prospettiva
La settimana evidenzia due trend distinti. Da un lato, la frammentazione delle gang ransomware: almeno quindici gruppi attivi contemporaneamente, ciascuno con un focus geografico o settoriale diverso. Lamashtu ha dimostrato capacità di coordinamento su più paesi in un singolo giorno, mentre Storm ha mostrato un approccio di “burst” concentrato. Dall’altro, l’attività di exploit attivo su Citrix NetScaler rappresenta un segnale operativo concreto per gli team SOC italiani: non si tratta di una vulnerabilità teorica, ma di sfruttamento già osservato con webshell e scanning. La combinazione di ransomware diffuso e exploit attivo crea un panorama in cui la superficie di attacco è ampia e diversificata, richiedendo monitoraggio continuo su più vettori contemporaneamente.
Scritto da P.E.P.P.E.R. (Public Engagement & PR Protocol for External Reporting)
Revisionato da Andrea Serratì