Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium indaga su SystemBC, una botnet su larga scala di tipo “ proxy ” che sfrutta un’infrastruttura di server privati virtuali (VPS) compromessa per supportare operazioni criminali informatiche, tra cui attacchi ransomware e furti di credenziali. Successivamente, il team esamina ShinyHunters, un gruppo dedito all’estorsione di dati a scopo di lucro che ora sta prendendo di mira le applicazioni cloud aziendali.
È inoltre inclusa una panoramica su una sofisticata campagna di phishing denominata “ ” ( ), che ha utilizzato codice generato dall’intelligenza artificiale per occultare payload dannosi all’interno di file SVG, con l’obiettivo di eludere i metodi di rilevamento tradizionali.
La botnet SystemBC prende di mira l’infrastruttura VPS
Il team di Black Lotus Labs di Lumen Technologies sta fornendo nuovi dettagli sulla botnet SystemBC, tra cui la sua vasta portata, le infezioni persistenti e l’integrazione con i servizi di diversi attori malintenzionati.
La botnet SystemBC è attiva da anni e infetta quotidianamente migliaia di sistemi. In particolare, secondo Black Lotus Labs, predilige le infrastrutture VPS — che rappresentano la maggioranza delle sue vittime — per massimizzare la larghezza di banda e la persistenza.
Come nel caso di altre botnet, queste vittime vengono trasformate in proxy per il traffico dannoso. Secondo Black Lotus Labs, SystemBC utilizza sistemi VPS anziché indirizzi IP residenziali per «offrire proxy con volumi ingenti per periodi di tempo più lunghi».
I ricercatori hanno osservato che tali proxy vengono utilizzati da diverse reti. Uno dei principali utilizzatori della botnet è una rete di tipo “ proxy ” denominata REM Proxy. Negli ultimi anni questa rete è stata collegata ad autori di attacchi ransomware e offre ai propri utenti tre diversi pacchetti, di cui quello di fascia più alta presenterebbe, a quanto pare, bassi tassi di rilevamento. Il rapporto contiene un’analisi approfondita su REM Proxy per chi fosse interessato.
Sebbene non sia stato possibile identificare un vettore di accesso iniziale, Black Lotus Labs ha scoperto che ciascuna vittima presentava circa 20 vulnerabilità CVE non corrette, di cui una o più di natura critica.
Telemetria globale e analisi delle vittime
Gli attori che utilizzano questa rete proxy inizieranno a coinvolgere C2 indirizzi IP appartenenti a SystemBC. In questo modo l'utente verrà reindirizzato verso una delle vittime della botnet. I dati di telemetria indicano che SystemBC gestisce quotidianamente circa 1.500 bot attivi, con una concentrazione del 80% distribuita tra cinque principali fornitori di VPS. Tale concentrazione contribuisce a prolungare la durata delle infezioni, con quasi il 40% dei sistemi che rimangono compromessi per oltre un mese.
Non è stato osservato alcun modello specifico di selezione tra i fornitori di VPS. Tuttavia, Black Lotus Labs ha accertato che la maggior parte di essi presentava vulnerabilità facilmente sfruttabili. I ricercatori hanno ricondotto numerosi attacchi a un unico indirizzo IP che sembra essere utilizzato per reclutare le vittime.
Analisi dei proxy
Gli operatori e i clienti della botnet SystemBC non sembrano attribuire particolare importanza all’evasione e alla discrezione, come dimostra il fatto che gli indirizzi IP non vengono alternati né occultati. La botnet privilegia il volume.
La maggior parte degli utenti della botnet è costituita da operatori che utilizzano la rete per effettuare attacchi di forza bruta alle credenziali di WordPress, potenzialmente al fine di rivenderle a scopo di lucro. La botnet è inoltre al servizio di un importante servizio russo di web scraping, di un servizio di " VN5Socks proxy " con sede in Vietnam e di REM Proxy.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come sottolinea Black Lotus Labs, SystemBC ha dimostrato una notevole resilienza nel corso degli anni ed è diventato un «vettore persistente nel panorama delle minacce informatiche».
L'utilizzo da parte di SystemBC di un'infrastruttura VPS compromessa segna un cambiamento nella strategia delle botnet, che privilegia la stabilità e la larghezza di banda rispetto alla discrezione. Ciò rende più difficile l’ Detecte, ma potenzialmente più facile il monitoraggio una volta identificato.
La persistenza delle infezioni e la mancanza di rotazione degli indirizzi IP suggeriscono o una negligenza operativa o una scelta deliberata, in cui gli autori delle minacce danno priorità alla produttività e all’accessibilità rispetto all’elusione, puntando sulla lentezza della risposta dei difensori.
ShinyHunters si rivolge alle applicazioni cloud aziendali
Secondo EclecticIQ, il gruppo ShinyHunters sta prendendo sempre più di mira le applicazioni cloud aziendali per sottrarre dati sensibili e costringere le vittime a pagare un riscatto. ShinyHunters ricorre ora a tattiche quali il phishing vocale basato sull’intelligenza artificiale, gli attacchi alla catena di approvvigionamento e gli insider malintenzionati per sferrare i propri attacchi.
ShinyHunters è apparso per la prima volta nel 2020 ed è attivo su Telegram e sui forum di criminali informatici di lingua inglese. EclecticIQ ha individuato quelli che ritiene essere tre dei membri più attivi del gruppo 2025, sottolineando che tali membri hanno legami vaghi con altri gruppi quali Scattered Spider, The Com e Lapsus$.
Si ritiene che una delle socie, Yukari, faccia parte sia degli ShinyHunters che degli Scattered Spider. EclecticIQ ritiene che questo membro sia responsabile della violazione iniziale, degli attacchi di SIM swapping e del voice phishing di tipo “ ”. Il leader di ShinyHunters, ShinyCorp, probabilmente recluta nuovi membri tramite soggetti coinvolti in reati informatici. In generale, sembra che i membri di ShinyHunters operino spesso in più gruppi.
Agenti vocali basati sull’intelligenza artificiale e una rete di affiliazione denominata “Scattered Spider”
ShinyHunters ha utilizzato servizi di chiamata basati su VoIP per condurre attacchi di vishing e piattaforme di chiamate vocali basate sull’intelligenza artificiale per automatizzare le chiamate di ingegneria sociale di tipo “ ”. Ad esempio, il gruppo utilizza l’intelligenza artificiale Bland per «adattare dinamicamente le proprie narrazioni e tattiche in tempo reale, personalizzando le risposte in base alle reazioni delle vittime durante le telefonate». L'autore dell'attacco può modificare lo stile vocale per renderlo più simile a quello umano, e il modello adatta il proprio tono e le proprie risposte per conferire maggiore credibilità.
Secondo il leader di ShinyHunters, la parte degli attacchi relativa alle chiamate vocali viene condotta dai membri di Scattered Spider, sebbene alcuni di essi abbiano utilizzato The Com. ShinyHunters sta attivamente reclutando nuove persone per attività di phishing tramite chiamate vocali attraverso gruppi Telegram.
Attacchi di vishing contro gli utenti di applicazioni cloud
EclecticIQ ritiene che il gruppo abbia inoltre condotto attacchi di vishing per compromettere le applicazioni Salesforce, spacciandosi per membri del personale IT e indurre le vittime a inserire codici di connessione e ad autorizzare applicazioni controllate dall’autore dell’attacco. Nel 2025, è stato inoltre osservato che ShinyHunters si spacciava per le pagine di accesso di Okta e SSO al fine di sottrarre le credenziali.
Si ritiene che ShinyHunters abbia sottratto le chiavi API di BrowserStack per prendere di mira gli ambienti di sviluppo aziendali. EclecticIQ sospetta inoltre che il gruppo abbia preso di mira le risorse Zero Trust di Cloudflare.
Esperti nel settore del reclutamento
Alla fine di agosto, un canale Telegram denominato “scattered LAPSUS$ hunters 4,0” ” ha diffuso un messaggio di reclutamento alla ricerca di informatori all’interno di organizzazioni in grado di fornire accesso a sistemi quali Okta, Microsoft , SSO, Citrix VPN e GitHub. Il post offriva un compenso economico in cambio dell’accesso.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I servizi cloud configurati in modo errato e una scarsa gestione delle identità sono diventati un bersaglio facile per gli autori delle minacce, a dimostrazione del fatto che gli ambienti cloud devono essere trattati con lo stesso rigore delle infrastrutture tradizionali.
Il ricorso da parte del gruppo a credenziali rubate sottolinea l’importanza di solide strategie di protezione dell’identità, tra cui l’autenticazione a più fattori (MFA) , le politiche di accesso condizionato e il monitoraggio continuo, ed evidenzia come l’identità rappresenti il nuovo perimetro di sicurezza.
Se non altro, ShinyHunters ci ricorda che il SaaS aziendale rappresenta un obiettivo di grande valore.
Una campagna di phishing utilizza codice generato dall’intelligenza artificiale per eludere i sistemi di rilevamento
Microsoft ha recentemente scoperto una sofisticata campagna di phishing che utilizzava codice generato dall’intelligenza artificiale per occultare payload dannosi all’interno di file SVG, al fine di eludere i metodi di rilevamento tradizionali.
Nonostante le tattiche sofisticate, i sistemi di sicurezza basati sull’intelligenza artificiale di Microsoft'sono riusciti a identificare e bloccare la minaccia analizzando i segnali comportamentali e contestuali.
Tattiche e contenuto delle campagne di phishing
Nel mese di agosto, Microsoft ha individuato una campagna di phishing che utilizzava un account di posta elettronica compromesso per inviare messaggi di phishing finalizzati al furto di credenziali. L'autore dell'attacco alla base di questa campagna ha utilizzato una tattica basata sull'invio di e-mail con indirizzo del mittente identico a quello del destinatario, in modo che gli indirizzi del mittente e del destinatario apparissero uguali, nascondendo i veri destinatari del messaggio nel campo CCN.
Nel corpo dell’e-mail di phishing si informava il destinatario che gli era stato condiviso un file e si includeva un presunto allegato contenente tale file. Il file allegato era denominato “ “23mb – PDF – 6 pagine.svg”, un file SVG denominato in modo tale da indurre le vittime a credere che si trattasse di un PDF. L'apertura di questo file reindirizza la vittima a una pagina contenente una finta richiesta CAPTCHA del tipo " " ( ) finalizzata al furto delle credenziali.
Microsoft ha analizzato il codice SVG per individuarne i metodi di offuscamento. Il codice è stato progettato per assomigliare a un dashboard di analisi aziendale, con grafici a barre ed etichette relative ai mesi. Tuttavia, a questi elementi era stata assegnata un’opacità pari a zero e un riempimento trasparente, il che li rendeva invisibili. Anche la vera funzionalità del payload è stata occultata con l’ausilio di strumenti aziendali.
Microsoft Si è stabilito che l'obiettivo fosse quello di reindirizzare gli utenti verso una pagina di destinazione di phishing, identificare il browser e avviare il tracciamento della sessione.
Utilizzo dell'intelligenza artificiale per analizzare la campagna
Microsoft ritiene che l'autore dell'attacco possa aver utilizzato l'intelligenza artificiale per nascondere le funzionalità del payload. Per confermare questa teoria, hanno chiesto a Copilot di analizzare il file e stabilire se fosse stato creato dall’intelligenza artificiale.
Copilot ha indicato che era altamente probabile che il codice fosse sintetico e generato da un modello di linguaggio di grandi dimensioni (LLM) o da uno strumento che ne utilizza uno. Copilot ha fornito in particolare cinque elementi a sostegno di tale affermazione, tra cui:
- Denominazioni eccessivamente descrittive e ridondanti per le funzioni e le variabili
- Struttura del codice modulare ed eccessivamente elaborata
- Osservazioni generali
- Tecniche di offuscamento basate su formule
- Uso insolito di CDATA e della dichiarazione “ XML ”
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L’offuscamento generato dall’intelligenza artificiale segna una svolta nella sofisticazione delle tecniche di phishing. Gli autori degli attacchi non si limitano più a imitare il comportamento umano, ma sfruttano l’intelligenza artificiale per creare codice più difficile da Detect e da sottoporre a ingegneria inversa.
L'uso del gergo aziendale come copertura per il codice dannoso è particolarmente ingegnoso, poiché sfrutta la fiducia riposta nel linguaggio professionale per eludere i filtri euristici e il sospetto umano.
Il successo ottenuto da Microsoft nel rilevamento di tali minacce sottolinea l’importanza dell’analisi basata sul comportamento rispetto all’ispezione statica del codice, soprattutto ora che le minacce generate dall’intelligenza artificiale sono sempre più sensibili al contesto. Microsoft Ha inoltre pubblicato su una serie di raccomandazioni, i rilevamenti di Defender e le query di ricerca per aiutare a identificare questa minaccia.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
