Gli attacchi analizzati da Kaspersky e riportati il 16 settembre 2026 mostrano un quadro molto chiaro: per entrare in azienda non servono sempre tecniche fantascientifiche, spesso bastano credenziali VPN compromesse, server Microsoft Exchange esposti e una rete interna poco segmentata. Anche se i bersagli osservati sono imprese russe, il metodo interessa da vicino qualsiasi PMI italiana che usi Active Directory, accessi remoti e posta on-premise.
Il punto che conta per chi dirige un’azienda è questo: i criminali e i gruppi ostili stanno combinando accesso iniziale, movimento laterale, furto di credenziali e cifratura o distruzione dei dati in un’unica catena operativa. Quando succede, il danno non è solo tecnico: si fermano uffici, produzione, amministrazione e rapporti con clienti e fornitori.
Cosa è emerso dai report
Secondo più report di Kaspersky, tre diversi cluster di minaccia — NightEagle, Hacking Cat e Toy Ghouls — hanno preso di mira aziende in Russia con obiettivi e tecniche differenti, ma con alcuni elementi comuni: accesso remoto abusato, persistenza silenziosa e capacità di espandersi all’intera infrastruttura.
Il primo gruppo, NightEagle, noto anche come APT-Q-95 e attivo almeno dal 2023, si distingue per un lavoro metodico su persistenza e movimento laterale. In molti incidenti, l’accesso iniziale è avvenuto tramite credenziali valide compromesse usate per entrare nelle VPN aziendali. Le connessioni osservate provenivano da indirizzi IP nel segmento russo collegati a tunnel Cloudflare WARP e da infrastrutture virtuali europee.
Il secondo gruppo, Hacking Cat, descritto come entità hacktivista pro-Ucraina con attività note almeno da febbraio 2024, avrebbe cambiato passo negli ultimi mesi: non più solo defacement e violazioni con furto dati, ma anche attacchi di cifratura e distruzione. Nei report si cita inoltre la collaborazione con altri collettivi hacktivisti, fattore che complica l’attribuzione e rende meno prevedibili strumenti e tattiche.
Il terzo cluster, Toy Ghouls, è menzionato nel quadro complessivo delle campagne contro le imprese russe. Anche senza entrare qui in dettagli tecnici non presenti nell’estratto disponibile, la presenza di più gruppi attivi contemporaneamente conferma una tendenza importante: le aziende non affrontano una singola minaccia, ma un ecosistema di attori con motivazioni, strumenti e livelli di distruttività diversi.
NightEagle: accesso con credenziali rubate e conquista della rete interna
Il caso NightEagle merita attenzione perché riflette uno schema molto realistico anche in contesti europei. L’attore, una volta ottenuto l’accesso alla VPN con credenziali valide, punta a consolidarsi e a raggiungere i sistemi centrali dell’infrastruttura Windows.
Kaspersky collega queste operazioni all’uso di GhostContainer, una backdoor modulare già nota, capace di fornire accesso completo a un Microsoft Exchange Server compromesso. Da lì gli operatori possono eseguire codice arbitrario, gestire file, caricare moduli aggiuntivi e persino usare il malware come tunnel o strumento di redirezione del traffico. Per passare inosservato, il componente si camuffa da normale elemento del server.
Un aspetto interessante è la composizione della minaccia: GhostContainer incorpora componenti tratti da progetti open source pubblici, tra cui Neo-reGeorg, un exploit per CVE-2020-0688 e la classe GhostWebShell dell’utility ysoserial. Questo non significa che l’open source sia il problema; significa piuttosto che gli attaccanti assemblano rapidamente strumenti già disponibili per costruire catene d’attacco efficaci e difficili da distinguere dal traffico legittimo.
Il metodo esatto con cui GhostContainer viene distribuito sui server Exchange, in questi casi, non è stato confermato. L’ipotesi riportata da Kaspersky è un abuso delle chiavi crittografiche del server estratte dalla configurazione ASP.NET, seguito dalla manipolazione del parametro VIEWSTATE e dall’iniezione di un payload eseguito direttamente in memoria.
Una volta dentro, NightEagle non si limita al server iniziale. Per spostarsi nella rete interna usa strumenti di tunneling e reindirizzamento del traffico via RDP, inclusi Microsoft dev tunnels e il programma open source rdp2tcp. Per ottenere privilegi più elevati e avanzare lateralmente, sfrutta vulnerabilità di Active Directory. Tra queste viene citata CVE-2019-0708, nota come BlueKeep, utilizzata per creare un account locale e aggiungerlo ai gruppi Administrators e Remote Desktop Users.
Inoltre, gli operatori hanno tentato di impersonare il domain controller tramite un attacco DCSync. L’obiettivo finale è tipico delle intrusioni più gravi: persistenza duratura, raccolta degli hash delle password di dominio, uso di ticket Kerberos longevi per accedere in modo apparentemente legittimo alle risorse e, infine, compromissione dei domain controller e dell’intera infrastruttura Active Directory.
Hacking Cat: da hacktivismo a ransomware e wiper
La seconda storia importante riguarda Hacking Cat. Il punto chiave non è solo l’identità del gruppo, ma il cambio di tattica. Quando un collettivo passa da azioni dimostrative a cifratura e distruzione dei sistemi, il rischio per le aziende cresce drasticamente.
Secondo Kaspersky, il gruppo ha sfruttato vulnerabilità di Exchange Server, tra cui CVE-2021-26855 e CVE-2026-42897, per distribuire Gorilla RAT, un trojan di accesso remoto sviluppato in Go. Questo malware può creare tunnel di traffico per consentire agli operatori di accedere alla rete interna della vittima. Dopo l’avvio, si collega a un server remoto, registra il sistema compromesso e resta in attesa di istruzioni per eseguire comandi, elencare processi, raccogliere informazioni di sistema, caricare o scaricare file e aprire o chiudere un tunnel TCP.
Accanto al RAT, il gruppo distribuisce varianti del ransomware Monkey scritte in Rust, .NET, C++ e Golang, con capacità multi-piattaforma su Windows, Linux e VMware ESXi. Il primo campione noto, secondo il report, risale alla fine dell’estate 2025.
Qui emerge un elemento particolarmente preoccupante per le aziende: alcune varianti non si comportano come ransomware “classico”, ma come veri e propri wiper. In pratica cifrano o rendono irrecuperabili i dati senza conservare in modo utile la chiave, pur lasciando una nota di riscatto. In altre parole, il pagamento non garantisce affatto il recupero. È un dettaglio cruciale per chi ancora immagina il ransomware come un’estorsione puramente economica con una possibile via d’uscita.
Le funzionalità descritte da Kaspersky rafforzano questa lettura. Una variante Rust genera una chiave di 32 byte e usa ChaCha20-Poly1305. La variante .NET genera anch’essa una chiave di 32 byte, la invia al server di comando e controllo e usa AES-256-CBC per cifrare i file. Inoltre può elevare i privilegi, disattivare i meccanismi di recupero di Windows, estrarre credenziali di Microsoft Outlook e trasmetterle al C2, cancellare file con estensioni di backup come .bak, .backup, .bkf e .bck, e rimuoversi dopo l’esecuzione.
Questo significa che l’obiettivo non è soltanto bloccare i dati, ma indebolire il ripristino, ostacolare l’analisi e lasciare l’azienda con meno possibilità operative.
Perché questa vicenda riguarda anche le PMI italiane
Sarebbe un errore leggere la notizia come qualcosa di lontano perché i bersagli osservati sono in Russia. Le tecniche descritte sono estremamente comuni anche negli attacchi contro organizzazioni europee di piccole e medie dimensioni.
I punti di ingresso citati — VPN, Microsoft Exchange, credenziali compromesse, vulnerabilità note, tunnel remoti e Active Directory — sono tecnologie diffuse in tantissime aziende italiane. Inoltre, il pattern operativo è lo stesso che si vede spesso nei casi reali: accesso iniziale silenzioso, uso di strumenti apparentemente legittimi, espansione interna e colpo finale su server, virtualizzazione e backup accessibili dalla rete.
C’è anche una lezione manageriale: il danno nasce quasi mai da un singolo errore. Più spesso deriva dalla somma di piccoli fattori trascurati nel tempo, per esempio password riutilizzate, MFA assente o incompleta, server non aggiornati, amministratori locali non controllati, backup raggiungibili dagli stessi account compromessi.
Cosa significa per la tua azienda
Per una PMI italiana, la priorità non è inseguire il nome dell’ultimo gruppo di minaccia, ma ridurre i punti deboli che rendono possibile questo tipo di catena d’attacco.
Primo: verificate subito gli accessi remoti. Se usate VPN, controllate chi può entrare, da dove, con quali credenziali e con quale secondo fattore. Le credenziali valide rubate restano uno dei metodi più efficaci per eludere molti controlli.
Secondo: fate un controllo specifico su Microsoft Exchange e sui sistemi esposti. Un server di posta on-premise non aggiornato o amministrato in modo discontinuo è ancora oggi un bersaglio privilegiato. Se non avete monitoraggio e hardening adeguati, è il momento di rivedere la postura di sicurezza con un servizio di sicurezza informatica.
Terzo: trattate Active Directory come il cuore dell’azienda. Account privilegiati, gruppi amministrativi, deleghe, ticket Kerberos, accessi RDP e sincronizzazioni sospette devono essere sotto osservazione. Una compromissione del dominio non è un problema tecnico circoscritto: è un fermo operativo potenziale dell’intera organizzazione.
Quarto: separate e proteggete i backup. Le varianti che cancellano file di backup o ostacolano il ripristino dimostrano che avere “una copia” non basta. Serve una strategia con copie isolate, verifiche periodiche di restore e retention coerente. Se oggi i vostri backup sono sempre online e raggiungibili dalla rete aziendale, vale la pena valutare una soluzione di remote backup.
Quinto: preparate una risposta organizzativa, non solo tecnica. Sapere chi decide, chi isola i sistemi, chi avvisa i fornitori e chi gestisce la comunicazione nelle prime ore fa la differenza tra un incidente contenuto e giorni di caos. Per molte aziende conviene formalizzare controlli ricorrenti e tempi di intervento con un contratto di assistenza informatica.
Infine, ricordate che un attacco che coinvolge credenziali, caselle email, documenti e dati personali può avere anche un impatto normativo. Se il perimetro comprende dati di clienti, dipendenti o fornitori, occorre valutare anche gli obblighi collegati al GDPR.
La tendenza di fondo: attacchi ibridi e sempre meno “recuperabili”
La lezione più importante di questo caso è che il confine tra spionaggio, sabotaggio, ransomware ed hacktivismo si sta assottigliando. Un gruppo può entrare con tecniche da intrusione silenziosa, muoversi come un attore avanzato, poi concludere con cifratura, cancellazione dei dati o distruzione dei sistemi.
Per le aziende questo cambia il modo di ragionare sulla sicurezza. Non basta più chiedersi “come evitare il ransomware”; bisogna chiedersi “quanto rapidamente individuiamo un accesso anomalo”, “quanto è difficile per un intruso muoversi lateralmente” e “quanto siamo davvero in grado di ripartire se dominio, posta e server virtuali vengono colpiti insieme”.
Domande frequenti
Se non opero in Russia, questa notizia mi riguarda davvero?
Sì. I bersagli osservati sono russi, ma le tecniche descritte — credenziali VPN rubate, exploit su Exchange, abuso di Active Directory e ransomware/wiper — sono comuni anche negli attacchi contro aziende europee.
Qual è il rischio maggiore per una PMI?
La compromissione dell’infrastruttura centrale: dominio, posta, file server e virtualizzazione. Quando l’attaccante ottiene privilegi elevati, il problema non è un singolo PC ma la continuità operativa dell’intera azienda.
Il backup basta a proteggermi?
Non sempre. Se il backup è accessibile dalla stessa rete o dagli stessi account compromessi, può essere cifrato o cancellato. Serve un backup separato, verificato e con procedure di ripristino testate.