Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza un nuovo strumento denominato HexStrike AI, che riduce notevolmente i tempi di sfruttamento delle vulnerabilità, portandoli da giorni a minuti. Successivamente, il team fornisce una panoramica su TinkyWinkey: un keylogger di tipo “ Windows ” che consente operazioni di spionaggio e furto di dati. Infine, esaminiamo una nuova ricerca condotta da Check Point che illustra in dettaglio come il gruppo APT Silver Fox sia riuscito a sfruttare un driver precedentemente sconosciuto, vulnerabile all’ Microsoft, per disattivare le protezioni di endpoint e distribuire il malware ValleyRAT.
Gli autori delle minacce utilizzano HexStrike AI per orchestrare attacchi informatici
Un recente articolo pubblicato da Check Point all’indirizzo illustra in che modo gli autori delle minacce stiano utilizzando un nuovo strumento di intelligenza artificiale denominato HexStrike AI per orchestrare attacchi informatici. Gli autori delle minacce sostengono che HexStrike AI riduca i tempi di sfruttamento da diversi giorni a meno di 10 minuti.
Che cos’è HexStrike AI?
HexStrike AI è stato originariamente progettato come strumento per i red team e i ricercatori nel campo della sicurezza. Subito dopo il suo rilascio, Check Point ha rilevato che alcuni malintenzionati discutevano su come sfruttare lo strumento a fini di attacco. Nel giro di poche ore, alcuni attori stavano già discutendo in modo specifico su come utilizzarlo per sfruttare le vulnerabilità zero-day di Citrix rese note circa una settimana prima.
Architettura AI di HexStrike
Check Point descrive HexStrike AI come un «cambiamento radicale nel modo in cui possono essere condotte le operazioni informatiche offensive». Lo strumento consente a vari modelli di intelligenza artificiale, quali Claude, GPT e Copilot, di eseguire operazioni senza l’intervento né la gestione da parte dell’utente. Introduce inoltre gli agenti MCP, ovvero agenti che comunicano tramite il Model Context Protocol (MCP) e contribuiscono a colmare il divario tra i modelli di linguaggio di grandi dimensioni (LLM) e le capacità offensive nel mondo reale. Check Point ha rilevato che gli agenti di intelligenza artificiale (AI) di sono in grado di eseguire in modo autonomo oltre 150 strumenti informatici, tra cui quelli destinati ai test di penetrazione, all’individuazione, alla ricerca e altro ancora.
Il rapporto mette in evidenza alcuni aspetti fondamentali della progettazione di HexStrike. Il primo è il suo livello di orchestrazione MCP. Il framework configurerà un server FastMCP per la comunicazione tra altri modelli di linguaggio di grandi dimensioni (LLM) e le funzioni dello strumento. Gli strumenti funzionano come componenti richiamabili che l’agente può invocare e che consentono di impartire comandi a livello di programmazione. Check Point sottolinea inoltre la capacità dei propri strumenti di integrarsi su larga scala. Lo strumento è automatizzato e resiliente e sintetizza i comandi in flussi di lavoro, in modo che le azioni siano ripetibili.
Sfruttamento delle vulnerabilità
Check Point evidenzia come gli autori degli attacchi siano riusciti a sfruttare HexStrike AI nel contesto di tre vulnerabilità zero-day che interessavano i dispositivi Citrix NetScaler ADC e Gateway, rese note poco prima.
Nelle 12 ore successive alla divulgazione di tali vulnerabilità, Check Point ha osservato alcuni soggetti discutere su come l’IA HexStrike potesse essere utilizzata per individuare e sfruttare le istanze vulnerabili. Ciò ribadisce come l’intelligenza artificiale possa essere utilizzata per automatizzare attività precedentemente svolte manualmente, come la ricognizione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
HexStrike AI rappresenta un esempio lampante di come l’intelligenza artificiale possa fungere da moltiplicatore di potenza per gli autori delle minacce, riducendo il tempo, le competenze e lo sforzo necessari per sferrare attacchi sofisticati.
Check Point sottolinea la rapidità con cui gli autori delle minacce si sono riversati su questo strumento dopo il suo rilascio e la rapidità con cui se ne è iniziato a discutere come risorsa utile per lo sfruttamento di vulnerabilità zero-day nel mondo reale. La velocità con cui gli autori degli attacchi stanno mettendo in pratica gli strumenti di intelligenza artificiale sta aumentando, il che risulta particolarmente preoccupante poiché l’intelligenza artificiale sta gradualmente diventando uno strumento che può essere sfruttato per condurre operazioni ed eseguire intere catene di attacco.
Check Point include alcune misure raccomandate dall’ che i responsabili della sicurezza possono adottare in merito a questa minaccia.
Il keylogger TinkyWinkey rappresenta una minaccia per i sistemi dell’ Windows
Cyfirma sta fornendo ulteriori dettagli sul keylogger TinkyWinkey, un malware furtivo basato su Windowsche registra i tasti digitati, monitora le finestre attive e raccoglie dati di sistema utilizzando tecniche avanzate quali l’iniezione di DLL e le chiamate alle API di basso livello. Il suo design modulare e l’esecuzione persistente rendono TinkyWinkey una minaccia significativa per le operazioni di spionaggio e furto di dati.
Panoramica su TinkyWinkey
Cyfirma ha individuato per la prima volta il keylogger TinkyWinkey alla fine dell' giugno 2025. Secondo Cyfirma, i suoi «componenti relativi ai servizi e ai keylogger indicano uno sforzo deliberato volto a garantire flessibilità e occultamento, rendendo più agevole l’aggiornamento o il riutilizzo del malware per diverse campagne».
I due componenti principali di TinkyWinkey sono:
- Il servizio Tinky, , responsabile del lancio e della gestione del keylogger
- Il keylogger Winkey, , che registra i tasti effettivamente digitati
Cyfirma sottolinea che le caratteristiche principali del malware comprendono la raccolta di informazioni di sistema, il keylogging, il monitoraggio delle finestre, la registrazione delle attività di sistema, la gestione dei servizi e la gestione dei processi e delle sessioni.
Analisi statica di TinkyWinkey
In primo luogo, il malware individuerà la directory temporanea del sistema e verificherà che il file di log necessario si trovi lì. Questo file di log è il luogo in cui verranno memorizzati i tasti digitati, nell’ambito della routine di registrazione dei tasti. Successivamente, richiama alcune funzioni specificamente destinate alla raccolta di informazioni relative all’host, quali la versione del sistema operativo, i dati relativi al processore, ecc.
Successivamente, il malware rileverà le caratteristiche del sistema operativo, raccoglierà informazioni sulla CPU, effettuerà l’individuazione dell’identità di rete, rileverà la capacità di memoria e monitorerà la finestra in primo piano per determinare quando l’utente passa da un’applicazione all’altra.
Per quanto riguarda la funzione principale di keylogging, il malware installa un hook da tastiera che acquisisce i tasti digitati. È in grado di monitorare la tastiera attiva, ma può anche registrare l’eventuale cambio di lingua da parte dell’utente. I tasti speciali, quali Esc, Invio o Backspace, vengono sostituiti da indicatori descrittivi nel registro effettivo. Per quanto riguarda i codici non speciali, il malware converte il codice e lo memorizza nel file di log.
Il malware entrerà infine in un ciclo continuo di messaggi, che mantiene attivi la finestra in primo piano e gli hook della tastiera per garantire la propria persistenza.
Analisi dinamica di TinkyWinkey
Una volta eseguito, viene registrato un servizio dannoso di tipo “ Windows ” denominato Tinky. Questo è stato creato per essere richiamato all'avvio a fini di persistenza.
Una volta stabilita con successo la persistenza, viene eseguito il payload secondario, winkey.exe. Questo payload è responsabile del modulo di keylogging.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’uso avanzato da parte di TinkyWinkey delle funzionalità interne di “ Windows ”, l’esecuzione invisibile e la registrazione completa degli eventi ne rendono probabile l’attrattiva per gli autori delle minacce.
Come sottolinea Cyfirma, l’autore del keylogger ha chiaramente separato i componenti relativi al servizio da quelli relativi al keylogger. Questa separazione intenzionale favorirà l'autore del malware in termini di flessibilità e di futuri aggiornamenti del malware stesso. Detto questo, non sarebbe sorprendente assistere in futuro alla comparsa di nuove versioni o varianti di questo malware.
L'APT Silver Fox sfrutta un driver vulnerabile per disattivare le misure di sicurezza dell' endpoint
Un nuovo rapporto di Check Point, intitolato “ ”, spiega come il gruppo APT Silver Fox abbia sfruttato un driver vulnerabile, precedentemente sconosciuto e firmato da Microsoft, per disattivare in modo furtivo le protezioni di endpoint e distribuire il malware ValleyRAT.
La campagna mette in luce le lacune critiche presenti nei modelli di affidabilità dei driver e i limiti delle difese basate sulle firme nell’ambito della sicurezza informatica moderna.
Principali risultati emersi dal rapporto di Check Point sull’APT “Silver Fox”
A partire dalla fine di maggio, Check Point ha individuato una campagna denominata “Silver Fox” che prendeva di mira i dispositivi Windows tramite un loader personalizzato. Questo caricatore personalizzato ha specificatamente sfruttato in modo improprio i driver del kernel per terminare i processi di sicurezza. Nel rapporto è disponibile un elenco completo dei processi terminati, disponibile all’indirizzo .
Secondo Check Point, questa campagna “ha segnato un cambiamento significativo: si è passati dall’utilizzo esclusivo di driver vulnerabili già noti all’impiego di un driver vulnerabile, firmato e non ancora classificato, in grado di eludere i tradizionali meccanismi di rilevamento”.
Durante l’attacco, Silver Fox ha utilizzato il driver antimalware WatchDog, la cui vulnerabilità non era nota al pubblico e che è legittimamente firmato da Microsoft. Questo driver, insieme a un altro driver in uso di cui era nota la vulnerabilità, consentiva la chiusura arbitraria dei processi. Il payload finale dell’attacco è la backdoor ValleyRAT, in grado di effettuare l’esfiltrazione di dati, l’esecuzione di comandi, ecc., e che ha contribuito ad attribuire l’attacco a Silver Fox.
I C2 server coinvolti nell'attacco erano tutti ospitati in Cina e utilizzavano servizi cloud pubblici o servizi web. Da un punto di vista vittimologico, Check Point ha osservato un modello di attacchi a livello globale.
Il caricatore
Check Point ha individuato diversi campioni di loader “all-in-one” utilizzati dall’APT Silver Fox, ciascuno progettato per garantire occultamento, persistenza e distribuzione del payload. Tali loader includono routine anti-analisi che Detect ambienti virtuali, sandbox e specifici ISP, interrompendo l’esecuzione qualora vengano segnalati. Inoltre, garantiscono la persistenza creando una cartella “RunTime” e registrando i servizi per assicurarne l’esecuzione all’avvio.
Il loader incorpora due driver vulnerabili sotto forma di stringhe di byte codificate: uno progettato per disattivare le difese dell’ endpoint e e un altro per installare la backdoor ValleyRAT. Il driver appropriato viene selezionato in base alla versione di Windows del sistema di destinazione, consentendo al malware di adattarsi ai diversi ambienti eludendo al contempo i tradizionali meccanismi di rilevamento.
EDR/AV killer
Come già osservato, la routine relativa al killer “ EDR/AV” è incorporata nel caricatore. Verrà installato il driver appropriato, a seconda della versione di Windows in esecuzione sul dispositivo infetto.
Indipendentemente dal driver utilizzato, per creare i servizi necessari si ricorre alle funzioni API di Windows . La logica principale “scorrerà un elenco di Base64-encoded processi di destinazione da terminare”, che contiene 192 nomi di processi. In caso di corrispondenza, il processo verrà interrotto.
Nuovo conducente vulnerabile
Check Point ha esaminato più da vicino il driver vulnerabile, la cui vulnerabilità non era nota in precedenza. Questo è il driver antimalware WatchDog, dotato di firma autentica.
Questo driver, basato sull’SDK di Zemana Anti-Malware, è in grado di terminare processi arbitrari senza dover verificare se tali processi siano in esecuzione in modalità protetta, il che lo rende particolarmente adatto alla tecnica denominata “bring your own vulnerable driver”.
Backdoor ValleyRAT
Tutti i campioni analizzati da Check Point hanno portato all’installazione della backdoor ValleyRAT. Per evitare di essere individuato, invierà una richiesta di callback tramite l’API Windows ai processi Detect associati agli strumenti di analisi. Qualora venisse rilevato, ne ritarderà l'esecuzione con una pausa di 20 secondi e continuerà l'enumerazione finché non verranno rilevati strumenti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'uso improprio dei driver firmati con " Microsoft" evidenzia una vulnerabilità sistemica nel modo in cui viene assegnata l'affidabilità negli ambienti Windows . L'idea secondo cui "firmato" equivalga a "sicuro" viene sempre più spesso strumentalizzata dagli autori degli attacchi.
Nel corso di questo attacco, l’autore ha disattivato le soluzioni anti-malware, riuscendo così a eludere il rilevamento senza far scattare alcun allarme. Ciò evidenzia la necessità di un monitoraggio che vada oltre le semplici firme dei file per estendersi ad aspetti quali il comportamento dei driver.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
