Panoramica CTI: DragonForce, Qilin, Water Saci

Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza DragonForce, un gruppo di tipo “ ” che opera nel settore del ransomware-as-a-service (RaaS) e che si è dimostrato estremamente versatile e pericoloso. Analizziamo inoltre l’evoluzione di Qilin fino a renderlo una delle minacce ransomware più diffuse a livello globale. Infine, esaminiamo una campagna attualmente in corso denominata “Water Saci”, che prende di mira gli utenti di WhatsApp.

I DragonForce ampliano la propria influenza

L’ultimo rapporto “Ransomware Spotlight” di Trend Micro, disponibile all’indirizzo , analizza in dettaglio DragonForce: un gruppo RaaS individuato per la prima volta nel 2023 e ora considerato uno degli attori più aggressivi dell’ecosistema. Il gruppo si è evoluto rapidamente, passando da attacchi basati su build trapelate a un modello interamente guidato dagli affiliati.

Conosciuto con il nome di Water Tambanakua, DragonForce impiega tecniche di evasione avanzate quali il “bring your own vulnerable driver” (BYOVD) e supporta attacchi multipiattaforma su Windows, Linux, ESXi e NAS. Sfrutta payload multivarianti, riutilizzando i builder di LockBit e Conti trapelati, anziché fare affidamento su un’unica famiglia di ransomware. Gli affiliati ricevono fino al 80% dei proventi dei riscatti, oltre a strumenti per la gestione e la personalizzazione degli attacchi.

Nel 2025, DragonForce si è riorganizzato come cartello di ransomware, incoraggiando gli affiliati a creare i propri marchi pur utilizzando risorse condivise. In giugno 2025, il gruppo è stato collegato ad alcuni casi di violazioni dei dati di grande risonanza nel settore della vendita al dettaglio nel Regno Unito . Nel mese di agosto, ha lanciato un servizio di analisi dei dati che crea materiale ricattatorio su misura, quali copioni per le telefonate e relazioni pseudo-legali, rivolto alle organizzazioni con un fatturato annuo pari ad almeno 15 milioni di dollari.

Tendenze e obiettivi principali

Trend Micro ha stabilito che i DragonForce hanno avuto un impatto maggiore negli Stati Uniti rispetto a qualsiasi altro Paese. Tra i settori maggiormente interessati figurano l' e manifatturiero, l'edilizia e l'informatica. Le vittime spaziano dalle piccole imprese alle grandi aziende, il che riflette l’approccio opportunistico del gruppo.

Cronologia dei DragonForce

• 2023: Primi attacchi che utilizzano il builder LockBit 3,0 trapelato
• Metà del 2024: lancio del programma di affiliazione “ ”; rilascio di un proprio ransomware, seguito da una variante denominata “ Linux ”
• Giugno 2025: Il gruppo “ ” è stato collegato agli attacchi ai negozi nel Regno Unito
• Marzo 2025: Passaggio al modello di cartello
• Agosto 2025: Lancio del servizio di analisi dei dati per gli affiliati

Catena di contagio e dettagli tecnici

DragonForce sfrutta vulnerabilità note (ad esempio, Ivanti Connect Secure, Log4Shell) per ottenere l’accesso iniziale, spesso tramite Scattered Spider in qualità di broker di accesso iniziale. Il ransomware è in grado di crittografare unità fisse, rimovibili e di rete e dispone di un elenco di stringhe ed estensioni che verrà ignorato durante la crittografia.

Utilizza inoltre account amministrativi compromessi per garantire la persistenza, l’impersonificazione dei token per l’escalation dei privilegi e strumenti quali PsExec, WMI e SimpleHelp RMM per il movimento laterale.

[Anticipate le minacce emergenti: scoprite come le nuove dashboard “ SMB ” e “RMM” di Tanium Guardian garantiscono visibilità in tempo reale sui rischi e azioni correttive]

È noto che DragonForce disattivi, tra le altre cose, strumenti e servizi di sicurezza al fine di eludere i sistemi di difesa, e che utilizzi strumenti per l’estrazione delle credenziali quali Mimikatz e LaZagne.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

Il passaggio del gruppo dall’utilizzo di versioni di sviluppo trapelate alla creazione di un proprio ransomware e di una struttura simile a quella di un cartello evidenzia una tendenza verso la professionalizzazione nell’ecosistema del ransomware, rendendo più difficili l’attribuzione della responsabilità e l’interruzione delle attività.

È probabile che DragonForce riesca a mantenere il proprio successo e la propria rilevanza grazie ai generosi compensi corrisposti agli affiliati e all’utilizzo di tecniche quali il BYOVD, che si riscontrano solitamente nelle campagne APT più avanzate.

Qilin si profila come una delle principali minacce globali legate al ransomware

Cisco Talos sta fornendo ulteriori dettagli sulla trasformazione del gruppo di ransomware Qilin in una delle minacce di ransomware più prolifiche a livello globale, rivelando che nella seconda metà del 2025 si sono registrate oltre 40 vittime al mese. Il gruppo opera secondo un modello RaaS e ricorre alla doppia estorsione, combinando la crittografia dei file con la divulgazione pubblica dei dati.

Qilin, precedentemente nota come Agenda e attiva dal luglio 2022, opera in un’ampia gamma di paesi, concentrandosi in particolare su Stati Uniti, Canada e Regno Unito, con una presenza significativa anche in Francia e Germania. Qilin opera inoltre in diversi settori, in particolare in quello manifatturiero, seguito dai servizi professionali e scientifici e dal commercio all’ingrosso.

Nel mese di ottobre, Qilin, DragonForce e LockBit hanno annunciato un’alleanza strategica. Secondo ReliaQuest, la collaborazione consentirà ai gruppi di condividere tecniche, risorse e infrastrutture, rafforzando le capacità di ciascuno di essi.

Spiegazione delle tattiche, tecniche e procedure (TTP) di Qilin

• Accesso iniziale: Cisco Talos ha valutato, con un grado di certezza moderato, che gli autori dell’attacco abbiano probabilmente sfruttato credenziali trapelate per ottenere l’accesso alla VPN e abbiano forse utilizzato modifiche alle politiche di gruppo di Active Directory per abilitare l’RDP.
  [Non lasciate che le credenziali compromesse diventino una porta aperta: scoprite come rafforzare Active Directory e bloccare gli aggressori prima che possano muoversi lateralmente]
  In un caso specifico, Cisco Talos ha individuato diversi tentativi di autenticazione NTLM contro la VPN appena due settimane dopo che le credenziali erano state divulgate sul dark web. L'autenticazione a più fattori (MFA) non è stata configurata sulla VPN.
• Ricognizione e individuazione: Il gruppo è stato osservato mentre eseguiva i comandi nltest.exe e net.exe per individuare i controller di dominio.
  Cisco Talos ha inoltre osservato l’autore mentre valutava i livelli di privilegio di vari utenti avvalendosi del comando whoami , insieme all’utilizzo di tasklist e netscan per l’individuazione di processi e reti.
• Accesso alle credenziali ed esfiltrazione: Negli incidenti analizzati da Cisco Talos è stata individuata una cartella protetta da password contenente strumenti che potevano essere utilizzati per il furto di credenziali. Cisco Talos non è riuscito a esaminare tutti i file presenti in questa cartella, ma ritiene che ciò «indichi l’utilizzo di Mimikatz, di diverse utility per il recupero delle password pubblicate da NirSoft e di file di script personalizzati».
  Il registro è stato modificato abilitando le voci WDigest UseLogonCredential, il che ha consentito la memorizzazione delle credenziali in chiaro nella memoria. I dati sono stati successivamente consolidati in un unico file di testo e trasferiti su un server SMTP controllato dall’autore dell’attacco.
• Tracce dell’esfiltrazione: Gli autori dell’attacco hanno compresso i dati sottratti utilizzando WinRAR e, durante l’ispezione manuale, hanno fatto ricorso a strumenti open source quali mspaint.exe, notepad.exe e iexplore.exe per esaminare i file e cercare informazioni rilevanti.
  Più recentemente, il gruppo ha utilizzato uno strumento open source denominato Cyberduck per consentire il trasferimento di file verso server cloud, spesso verso Backblaze, avvalendosi di impostazioni di caricamento multiparte per facilitare l’esfiltrazione su larga scala e mimetizzare l’attività all’interno del traffico legittimo.
• Elevazione dei privilegi e movimento laterale: Le credenziali rubate hanno consentito l’accesso a diversi indirizzi IP e condivisioni di rete. Gli autori dell'attacco hanno modificato le impostazioni del firewall e dell'RDP, hanno aggiunto account al gruppo degli amministratori locali e hanno creato condivisioni di rete che garantiscono il controllo completo. Tra gli strumenti RMM rilevati figurano AnyDesk, ScreenConnect e QuickAssist.

[Gli hacker non hanno bisogno di malware quando possono ingannare il vostro servizio di assistenza: scoprite come contrastare il social engineering prima che vi apra le porte ai vostri dati]

• Elusione dei sistemi di difesa: L’autore dell’attacco ha utilizzato un file PowerShell offuscato per disabilitare AMSI e la verifica dei certificati TLS , nonché per abilitare i privilegi di amministratore limitati. L'attore ha inoltre tentato di disattivare EDR utilizzando strumenti quali dark-kill e HRSword.
• Impact e ostacolano il ripristino: Cisco Talos ha rilevato che strumenti di accesso remoto quali il loader di Cobalt Strike e SystemBC sono stati utilizzati prima dell’esecuzione del ransomware.
• Ransomware Qilin: Cisco Talos ha inoltre rilevato la variante Qilin.B, che si distingue per la sua strategia di doppia crittografia e per il targeting avanzato della virtualizzazione. Questa variante supporta l’implementazione di due programmi di crittografia:
  1. encryptor_1.exe, che si diffonde tramite PsExec su più host 2. encryptor_2.exe, che viene eseguito da un singolo sistema per crittografare numerose condivisioni di rete

La variante utilizza inoltre i comandi PowerShell per enumerare i nomi host di Active Directory e installare i moduli RSAT; prende di mira in modo aggressivo gli ambienti ESXi modificando le password di root e disabilitando le protezioni dei cluster; modifica infine le impostazioni dei collegamenti simbolici tramite fsutil per ottenere un accesso più ampio ai file.

L'attore procederà quindi a spostarsi lateralmente, ad apportare modifiche al servizio "Volume Shadow Copy", a eliminare tutte le copie shadow e a inserire la richiesta di riscatto in ciascuna cartella crittografata. Ogni richiesta di riscatto include un URL Tor per le trattative e un ID univoco della vittima incorporato nell’estensione del file, che consente l’accesso a un portale dedicato per il pagamento e le istruzioni.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

L’utilizzo da parte di Qilin di doppi crittografi, esfiltrazione basata su cloud e strumenti di accesso remoto quali AnyDesk e ScreenConnect riflette un’architettura di attacco matura e modulare. Inoltre, la loro capacità di adattarsi a diversi ambienti, quali Windows, ESXi e il cloud, dimostra una profonda comprensione dell’infrastruttura aziendale.

Detto questo, non sorprende affatto che Qilin si sia affermata come un gruppo RaaS così attivo e di successo. La loro capacità di individuare oltre 40 vittime al mese è impressionante e rende questa operazione di portata globale e su larga scala.

Il "Water Saci" si diffonde tramite WhatsApp

Trend Micro ha recentemente pubblicato uno studio relativo a una campagna di malware attiva denominata “Water Saci”, che prende di mira le sessioni di WhatsApp Web attraverso una catena di infezione in grado di propagarsi autonomamente. Il malware utilizza loader basati su script (VBS + PowerShell ) per l’esecuzione senza file, dirotta le sessioni del browser e automatizza l’invio di messaggi su WhatsApp per diffondere base64-encoded file ZIP dannosi con nomi casuali a tutti i contatti e i gruppi. È caratterizzato da una persistenza avanzata e dal controllo dei comandi in tempo reale tramite e-mail, con tattiche simili a quelle del trojan bancario Coyote.

Dettagli sulla catena di attacchi

Dall’indagine condotta da Trend Micro è emerso che Water Saci utilizza una catena di infezione altamente strutturata, avviata tramite WhatsApp Web. La campagna ha inizio con il download di file sospetti e si evolve in un dirottamento completo della sessione e in una propagazione automatizzata.

Le fasi principali comprendono:

• Prima fase: L’attacco ha inizio quando una vittima scarica ed estrae un archivio ZIP denominato Orcamento-2025*.zip. Al suo interno è presente un downloader VBS offuscato (Orcamento.vbs) che invia un comando PowerShell per eseguire tadeu.ps1 direttamente in memoria utilizzando New-Object Net.WebClient, consentendo l’esecuzione senza file e ricorrendo ai valori predefiniti hardcoded qualora C2 risultasse irraggiungibile.
• Configurazione ingannevole: Lo script PowerShell visualizza un banner che si presenta come “WhatsApp Automation v6,0”, quindi stabilisce una comunicazione con la propria infrastruttura di comando e controllo (C2) per recuperare elenchi di destinatari, modelli di messaggi e configurazioni temporali. Crea un'area di lavoro temporanea, scarica la libreria di automazione WA-JS dal sito GitHub e salva un payload dannoso per un utilizzo successivo.
• Dirottamento del browser: Il malware verifica la versione installata di Chrome , scarica il ChromeDriver corretto e installa il modulo Selenium PowerShell per l’esecuzione automatizzata delle operazioni nel browser. Termina i processi di Chrome , cancella le sessioni precedenti e copia il profilo Chrome della vittima (cookie e token) per aggirare l’autenticazione di WhatsApp senza la scansione del codice QR. Chrome viene rilanciato con flag di automazione progettati per eludere il rilevamento, e viene iniettato WA-JS per ottenere il controllo completo su WhatsApp.
• Propagazione ed esfiltrazione: Una volta attivata la sessione dirottata, il malware raccoglie tutti i contatti di WhatsApp e li esfiltra verso il C2. Successivamente, distribuisce file ZIP dannosi utilizzando la codifica base64 , nomi di file casuali e messaggi personalizzati, mentre gli autori dell’attacco mantengono il controllo in tempo reale per mettere in pausa, riprendere e monitorare la campagna su tutti i computer infetti.

Backdoor SORVEPOTEL

L'archivio ZIP scaricato contiene i file “ ” e “Orcamento.vbs”, noto anche come backdoor SORVEPOTEL. Questo componente impiega tecniche avanzate di anti-analisi, tra cui controlli linguistici volti a limitare l’esecuzione ai sistemi in lingua portoghese, il rilevamento dei debugger e un mutex basato su WMI per Enforce garantire l’esecuzione in istanza singola. Qualora vengano rilevati strumenti di analisi, il malware avvia una procedura di autodistruzione.

La persistenza viene garantita tramite meccanismi multivettoriali, tra cui modifiche al registro di sistema e attività pianificate che utilizzano una copia salvata denominata “ ”, “WinManagers.vbs” , presente in C:\ProgramData\WindowsManager\.

Trend Micro ritiene che la caratteristica più sofisticata di SORVEPOTEL sia la sua architettura C2 a doppio canale:

• Recupero tramite e-mail: Il malware utilizza connessioni IMAP a account e-mail predefiniti su terra.com.br per ottenere C2 URL di server e dati di configurazione. Tali e-mail contengono diversi tipi di URL (endpoint di dati, server di backup e PowerShell per la trasmissione dei payload). Successivamente, gli autori dell'attacco hanno introdotto l'autenticazione a più fattori (MFA) per questi account, il che ha comportato alcuni ritardi operativi ma ha migliorato la sicurezza della loro infrastruttura.
• Polling HTTP per il controllo in tempo reale: Una volta recuperati gli URL, il malware passa a un polling HTTP aggressivo per l’esecuzione dei comandi in tempo reale. Tale meccanismo consente agli autori degli attacchi di sospendere, riprendere e coordinare operazioni simili a quelle di una botnet tra i computer infetti, garantendo un controllo dinamico e una grande adattabilità durante le campagne.

I comandi supportati includono, tra gli altri, la raccolta di informazioni di sistema, l'esecuzione di comandi “ PowerShell ”, l'acquisizione di schermate, l'enumerazione dei processi, le operazioni sui file e il controllo dell'alimentazione del sistema (riavvio/spegnimento).

L’evoluzione di Water Saci e i possibili legami con Coyote

L'analisi di Trend Micro rivela che Water Saci presenta notevoli somiglianze tecniche e operative con il trojan bancario Coyote, il che suggerisce che entrambe le campagne possano avere origine dallo stesso ecosistema di criminali informatici brasiliani.

Tra le sovrapposizioni principali figurano:

• Utilizzo del dirottamento delle sessioni di WhatsApp Web ai fini dell'autopropagazione
• Automazione del browser tramite ChromeDriver e Selenium, in combinazione con l’iniezione WA-JS
• Tecniche avanzate di anti-analisi, quali i controlli linguistici in portoghese e il rilevamento dei debugger
• Presenza persistente tramite modifiche al Registro di sistema, attività pianificate e script inseriti

Queste sovrapposizioni evidenziano una tendenza più ampia: gli autori delle minacce stanno passando da payload rumorosi e compilati ad attacchi furtivi basati su script che sfruttano profili di browser e piattaforme di messaggistica legittimi.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

Il passaggio a WhatsApp Web come vettore di infezione evidenzia un’evoluzione significativa nelle tattiche di ingegneria sociale di . Gli autori delle minacce stanno ora sfruttando piattaforme di comunicazione affidabili per aggirare le tradizionali difese basate sulla posta elettronica e approfittare della familiarità degli utenti con tali strumenti.

L’utilizzo, da parte della campagna, dell’esecuzione senza file e delle funzionalità di controllo in tempo reale rende inoltre più difficile individuar Detect are e contenere la minaccia. È opportuno tenere d’occhio questa minaccia, soprattutto alla luce della sua evoluzione e delle sue più recenti capacità.

Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.

Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.