Un nuovo framework malware chiamato Avalon, individuato e descritto il 3 luglio 2026, mostra quanto siano cambiati gli attacchi informatici contro le aziende: non si limita a cifrare i file, ma unisce in un unico strumento furto di credenziali, movimento laterale, accesso remoto, sabotaggio del ripristino e ransomware. Per un’impresa questo significa una cosa molto concreta: anche un’email apparentemente plausibile può trasformarsi in una compromissione completa della rete, con danni che vanno ben oltre il blocco dei documenti.
L’aspetto più importante, per chi gestisce un’azienda o un ufficio, è che Avalon sembra progettato per aggirare i controlli tradizionali e sfrutta una catena di attacco credibile dal punto di vista operativo. In altre parole, non è il classico malware “rumoroso”: è costruito per entrare, raccogliere informazioni utili, espandersi e solo alla fine passare all’estorsione.
Che cos’è Avalon e perché è diverso dal solito ransomware
Secondo i ricercatori citati da The Hacker News, Avalon è un framework malware modulare finora non documentato pubblicamente. Il termine “framework” è importante: non parliamo di un singolo file malevolo con una funzione specifica, ma di una piattaforma composta da più moduli che possono svolgere compiti diversi durante le varie fasi dell’attacco.
Il componente ransomware interno è stato denominato CrownX, ma ridurre Avalon a “un ransomware” sarebbe fuorviante. La cifratura dei file è solo la fase finale. Prima, il malware può:
- raccogliere credenziali;
- ottenere accesso remoto al sistema compromesso;
- muoversi lateralmente nella rete;
- estrarre dati utili all’attaccante;
- compromettere i meccanismi di ripristino;
- cancellare tracce utili alle indagini.
Questo approccio riflette una tendenza ormai chiara: gli attacchi moderni non puntano solo a bloccare i file, ma a massimizzare la pressione sull’azienda. Se prima ti rubano password, dati e accessi, poi cifrano i sistemi e infine ostacolano il recupero, la vittima si trova in una posizione molto più fragile.
Come inizia l’attacco: una catena phishing a più stadi
La diffusione di Avalon avviene attraverso una catena di phishing multi-stage, cioè composta da più passaggi successivi. L’innesco descritto dai ricercatori parte da una email che imita un documento legale, quindi un’esca perfettamente plausibile per amministrazione, direzione, ufficio acquisti o segreteria.
L’utente viene indirizzato a un archivio protetto da password ospitato su Proton Drive. Qui c’è un dettaglio tecnico che ha una ricaduta pratica importante: il contenuto malevolo non viene allegato direttamente alla mail, ma inserito in una immagine ISO. Questa scelta riduce la probabilità che i controlli sul livello email rilevino subito la minaccia.
Dentro l’immagine compare un collegamento con nome da documento PDF, ad esempio “Secure Document CA-283505.pdf.lnk”. Se l’utente lo apre, parte una sequenza che porta all’installazione di Avalon. Il collegamento avvia infatti un progetto MSBuild presente nella ISO, che carica a sua volta un componente .NET incorporato. Da lì il malware altera il normale funzionamento di Event Tracing for Windows (ETW) per ridurre la visibilità forense e scarica via HTTPS il payload successivo che avvia il framework.
Per un responsabile aziendale il punto non è memorizzare ogni sigla tecnica, ma capire il messaggio: l’attacco è costruito per sembrare legittimo e per nascondersi bene fin dai primi minuti.
Cosa fa Avalon una volta entrato
Le capacità osservate sono ampie e toccano aree molto sensibili per qualsiasi azienda.
Sul fronte del furto di informazioni, Avalon può raccogliere dati da browser basati su Chromium e da Mozilla Firefox, inclusi credenziali, cookie, cronologia e segnalibri. Può inoltre prendere informazioni da applicazioni molto diffuse nel lavoro quotidiano, come Discord, Slack, Teams, OpenVPN e WireGuard, oltre a elementi conservati nel Windows Credential Manager.
Il malware cerca anche informazioni utili a espandere il perimetro della compromissione, come host SSH conosciuti, connessioni RDP salvate, profili Wi‑Fi e artefatti delle Group Policy Preferences. In pratica, non punta solo al PC della prima vittima: prova a capire dove può andare dopo.
I dati raccolti vengono inviati a un server remoto, indicato nelle analisi come helloxcherry[.]com, dal quale il malware può anche ricevere ulteriori comandi. Questo conferma che la macchina compromessa non è solo “infetta”, ma può diventare un punto di appoggio operativo sotto il controllo dell’attaccante.
La fase finale: CrownX e il danno oltre la cifratura
Quando arriva il momento dell’estorsione, entra in scena CrownX. Il ransomware cifra file legati alle operazioni aziendali, allo sviluppo software, all’ingegneria, allo storage dati e persino all’infrastruttura virtuale, utilizzando la Windows Cryptography API. Alla fine compare una nota di riscatto con istruzioni di pagamento e un timer che indica quando l’importo richiesto aumenterà.
Ma il vero problema, come sottolineano i ricercatori, è che quando compare la richiesta di riscatto il danno è già in corso da tempo. A quel punto potrebbero essere già stati sottratti account, dati, credenziali di accesso e informazioni utili a ulteriori intrusioni.
In più Avalon prova a inibire il ripristino terminando il servizio Volume Shadow Copy Service ed eliminando le shadow copy. Questo riduce la possibilità di recuperare i file con strumenti locali di Windows. È presente anche un sottosistema anti-forense che punta a cancellare tracce, rendendo più complessa la risposta all’incidente.
Un aspetto particolarmente grave è la capacità di interagire direttamente con strutture del disco, apparentemente con l’obiettivo di danneggiare informazioni di partizione, record di avvio o altre aree critiche. Se sfruttata, questa funzione non si limita a “bloccare i file”: può rendere il sistema inutilizzabile.
Perché i controlli tradizionali possono non bastare
Le analisi riportano che Avalon include meccanismi di evasione pensati per nascondere l’esecuzione e adattarsi agli strumenti di sicurezza presenti sull’host, inclusi prodotti associati a Microsoft Defender, SentinelOne, CrowdStrike, Sophos, Elastic Endpoint, FortiEDR, ESET, McAfee e Bitdefender.
Questo non significa che tali soluzioni siano inutili. Significa, però, che contare solo sull’antivirus o sul filtro email non è più sufficiente. Gli attacchi moderni sfruttano file container, script, componenti di sistema legittimi e fasi in memoria per ridurre gli indicatori più evidenti.
Per un’azienda italiana il messaggio è semplice: la sicurezza non può dipendere da un singolo prodotto, ma da una combinazione di tecnologie, procedure e formazione.
Il tema AI: barriere più basse per gli aggressori
Un altro elemento interessante emerso dalle ricerche è che Avalon mostrerebbe segnali compatibili con uno sviluppo assistito dall’intelligenza artificiale. Il punto non è tanto stabilire con certezza “chi” l’abbia scritto, ma capire la conseguenza pratica: strumenti sempre più capaci possono essere assemblati anche da soggetti con meno esperienza di quanto avremmo immaginato fino a poco tempo fa.
The Hacker News collega questa scoperta a un’altra analisi, pubblicata da Sysdig, che descrive quella che viene definita la prima infezione ransomware agentica documentata pubblicamente dall’inizio alla fine. In quel caso, l’operazione sarebbe stata condotta da un attore denominato JADEPUFFER, entrato tramite una istanza Langflow esposta su Internet sfruttando CVE-2025-3248, per poi arrivare al server database di produzione ed eseguire una strategia di estorsione distruttiva.
La lezione è chiara: la competenza necessaria per lanciare un attacco complesso si sta abbassando. E questo tende ad aumentare il numero di campagne, la velocità con cui nascono nuove varianti e la pressione sulle aziende meno preparate.
Cosa significa per la tua azienda
Per una PMI, uno studio professionale o un ufficio con più postazioni, Avalon è il classico esempio di minaccia che richiede misure pratiche, non solo teoria. Ecco le priorità più utili.
Primo: riduci il rischio sul punto di ingresso, cioè l’email e l’utente. Le esche a tema legale o amministrativo funzionano perché sembrano urgenti e credibili. Serve una formazione periodica su allegati insoliti, link a cloud storage, archivi protetti da password e file con doppia estensione o scorciatoie mascherate da documenti.
Secondo: proteggi gli endpoint in modo centralizzato. Se ogni PC è gestito in modo diverso, aggiornamenti, policy e controlli diventano incoerenti. Una gestione strutturata del parco macchine, come quella prevista nei servizi di desktop IT management, aiuta a standardizzare configurazioni, limitare privilegi locali e ridurre superfici di attacco.
Terzo: assumi che il ripristino locale possa fallire. Se il malware elimina shadow copy e ostacola il recupero, il vero salvagente è un backup separato, verificato e rapido da ripristinare. Per questo è fondamentale avere soluzioni di remote backup con copie non dipendenti dal singolo PC o server compromesso.
Quarto: metti sotto controllo credenziali e accessi remoti. Avalon cerca password, connessioni RDP salvate, profili VPN e altri dati preziosi. MFA, rotazione delle password amministrative, disattivazione degli accessi non necessari e segmentazione minima della rete restano misure ad altissimo ritorno.
Quinto: prepara una risposta all’incidente prima che serva. Se un utente apre un file sospetto, deve sapere chi chiamare e cosa non fare. Se una macchina mostra segnali anomali, bisogna poterla isolare subito. Un buon contratto di assistenza informatica può fare la differenza nei tempi di contenimento, che spesso determinano l’ampiezza del danno.
Infine, non sottovalutare l’impatto normativo. Se un attacco comporta esfiltrazione di dati personali, non si parla solo di fermo operativo ma anche di obblighi organizzativi e valutazioni in ambito privacy. Questo rende ancora più importante avere processi coerenti anche dal lato compliance.
Domande frequenti
Avalon è solo un ransomware?
No. Il ransomware CrownX è la fase finale, ma Avalon include anche furto di credenziali, accesso remoto, movimento laterale, esfiltrazione dati e sabotaggio del ripristino.
Un antivirus aggiornato basta a fermarlo?
Non sempre. Le analisi indicano capacità di evasione e una catena d’attacco costruita per aggirare controlli tradizionali. Servono difese a più livelli, backup e procedure operative.
Qual è il rischio principale per una PMI?
Il rischio maggiore è la combinazione di più danni insieme: blocco dei file, furto di account, compromissione della rete e difficoltà di ripristino. È questo che rende attacchi come Avalon particolarmente pericolosi.