(in)sicurezza digitale

2026-05-23 20:58:09

Webworm evolve: i backdoor EchoCreep e GraphWorm trasformano Discord e Microsoft Graph in canali C2

Quando un gruppo APT decide di nascondere le proprie comunicazioni malevole dentro le API di prodotti Microsoft o nei canali Discord, il confine tra traffico legittimo e operazione di spionaggio si fa quasi invisibile per i tradizionali strumenti di sicurezza di rete. È esattamente la scelta operativa che ha compiuto Webworm, gruppo di allineamento cinese attivo da almeno il 2022, che nel 2025 ha arricchito il proprio toolkit con due nuovi implant: EchoCreep e GraphWorm.

Chi è Webworm: storia e attribuzioni

Webworm è stato documentato pubblicamente per la prima volta da Symantec (ora parte di Broadcom) nel settembre 2022. Il gruppo prende di mira agenzie governative e aziende nei settori IT, aerospaziale ed energia elettrica, con un focus geografico che comprende Russia, Georgia, Mongolia e diverse nazioni asiatiche ed europee. I ricercatori hanno identificato sovrapposizioni operative significative con cluster tracciati come FishMonger (alias Aquatic Panda), SixLittleMonkeys e Space Pirates — tutti threat actor con legami all’intelligence cinese.

La scelta dei bersagli — istituzioni governative, operatori di infrastrutture critiche e fornitori di servizi IT — è coerente con gli obiettivi strategici di raccolta intelligence attribuiti agli attori state-sponsored cinesi. Le recenti campagne hanno ampliato il raggio d’azione verso l’Europa, segnalando un’evoluzione geopolitica degli interessi del gruppo.

EchoCreep: Discord come infrastruttura C2

EchoCreep è il componente più semplice — ma non per questo meno insidioso — del nuovo arsenale. Utilizza Discord come canale di Command and Control, sfruttando le API della piattaforma di messaggistica per ricevere comandi dagli operatori e restituire output dalle macchine compromesse. Le funzionalità documentate dai ricercatori includono:

• Upload e download di file arbitrari verso/dal sistema vittima
• Esecuzione di comandi tramite cmd.exe con restituzione dell’output agli operatori
• Persistenza tramite canale Discord dedicato, non esposto pubblicamente

L’analisi del canale Discord utilizzato da EchoCreep rivela che i primi comandi risalgono al 21 marzo 2024: ciò significa che l’implant era già operativo in campagne reali ben prima della sua scoperta pubblica, probabilmente inosservato per oltre un anno.

La scelta di Discord come C2 non è casuale. Il traffico verso discord.com è quasi universalmente consentito nelle policy di rete aziendali, il protocollo è HTTPS e il volume di traffico legittimo è enorme — condizioni ideali per mascherare comunicazioni malevole nel rumore di fondo.

GraphWorm: Microsoft OneDrive come dead drop

GraphWorm è il componente più sofisticato del nuovo toolkit. Utilizza Microsoft Graph API — la stessa infrastruttura usata da milioni di applicazioni enterprise — per le comunicazioni C2, sfruttando specificamente gli endpoint di OneDrive. La tecnica del “cloud dead drop” — usare servizi cloud legittimi come proxy per i comandi — è in crescita tra gli APT più avanzati, ma GraphWorm la porta a un livello di granularità operativa notevole.

Per ciascuna vittima compromessa, GraphWorm crea una directory dedicata su OneDrive, permettendo agli operatori di gestire in modo indipendente le operazioni su target diversi senza interferenze. Le capacità documentate includono:

• Spawn di nuove sessioni cmd.exe per l’esecuzione interattiva di comandi
• Avvio di processi arbitrari sul sistema vittima
• Upload e download di file da/verso OneDrive tramite Graph API
• Self-termination controllata su segnale degli operatori, per ridurre le tracce forensi

Il traffico verso graph.microsoft.com è considerato trust implicito nella maggior parte degli ambienti enterprise Microsoft 365, rendendo il rilevamento basato sul blocco dei domini o sull’ispezione superficiale del traffico del tutto inefficace.

Tooling, proxy custom e TTP completi

Webworm integra i propri backdoor con un ecosistema di strumenti offensive collaudato. Per la fase di ricognizione, il gruppo usa tool open source come dirsearch e nuclei per eseguire brute-force dei path su web server delle vittime e identificare vulnerabilità sfruttabili. Sul lato infrastrutturale, Webworm ha sviluppato una suite di proxy custom: WormFrp, ChainWorm, SmuxProxy e WormSocket. Questi strumenti non si limitano a cifrare le comunicazioni: supportano il chaining su host multipli — sia interni che esterni alla rete bersaglio — permettendo la costruzione di tunnel multi-hop difficili da tracciare. Il gruppo utilizza inoltre SoftEther VPN per un ulteriore layer di offuscamento dell’infrastruttura C2.

Indicatori di compromissione (IoC)

# Webworm - EchoCreep / GraphWorm IoC (maggio 2026)
# Tool legittimi usati in contesto malevolo
TOOL: dirsearch (github.com/maurosoria/dirsearch)
TOOL: nuclei (github.com/projectdiscovery/nuclei)
# Custom proxy tools Webworm
TOOL: WormFrp
TOOL: ChainWorm
TOOL: SmuxProxy
TOOL: WormSocket
# Patterns comportamentali da monitorare
BEHAVIOR: cmd.exe spawned by non-standard parent process
BEHAVIOR: Unusual OneDrive API calls (graph.microsoft.com) with file creation in per-victim dirs
BEHAVIOR: Discord API traffic with binary/encoded payloads
BEHAVIOR: SoftEther VPN client installation/execution
# Cluster correlati
ALIAS: FishMonger / Aquatic Panda
ALIAS: SixLittleMonkeys
ALIAS: Space Pirates

Due righe per i difensori

L’abuso di servizi cloud legittimi per il C2 richiede un cambio di paradigma nel rilevamento. Il blocco a livello di dominio è inefficace — occorre spostare l’attenzione sul comportamento. I blue team dovrebbero implementare analisi comportamentale del traffico verso API cloud note, cercando pattern anomali di upload/download non correlati all’attività utente attesa. È fondamentale monitorare la creazione di directory insolite su OneDrive enterprise tramite i log di Microsoft 365 Defender e correlare gli accessi OAuth a Microsoft Graph con i baseline comportamentali degli account di servizio. Sul piano degli endpoint, qualsiasi processo che spawni cmd.exe con parent process inusuali dovrebbe attivare alert ad alta priorità. Infine, regole Sigma per i pattern di traffico Discord e Graph API anomali, combinate con threat intelligence sui cluster Webworm, permettono un rilevamento proattivo di queste campagne.

(in)sicurezza digitale

2026-05-23 17:51:48

Whatsapp compromesso su iPhone, la ricerca di Forenser sullo 0-click

Una premessa prima di iniziare: se hai un iPhone con iOS inferiore a 16.7.12, aggiorna, è già tardi e un miracolo che non sia ancora successo niente di brutto.

Detto questo, per anni l’ecosistema Apple è stato raccontato come una fortezza quasi inespugnabile. “Se hai un iPhone sei al sicuro” è diventato uno dei mantra più ripetuti anche fuori dalla bolla tech. Poi arrivano casi come quello documentato da Forenser e improvvisamente quella narrativa inizia a incrinarsi. Non perché iPhone sia diventato improvvisamente insicuro, ma perché il punto debole — come spesso accade — non è il dispositivo in sé. È la catena completa: notifiche, sessioni, social engineering, bug, sincronizzazioni cloud e fiducia implicita dell’utente.

La ricerca pubblicata da Forenser fotografa infatti una serie di compromissioni WhatsApp osservate su dispositivi Apple rimasti fermi a iOS 16 (specificatamente sotto il famoso aggiornamento alla 16.7.12). Non si parla di semplici tentativi di phishing “artigianali”, ma di account effettivamente presi in controllo, con accessi alle chat e utilizzo dell’identità digitale delle vittime per colpire ulteriori contatti.

Le vittime, infatti, non riportano comportamenti compatibili con il classico phishing. Nessun link cliccato volontariamente, nessuna installazione di applicazioni sospette, nessun QR code scansionato deliberatamente, nessuna richiesta di OTP condivisi. Eppure gli account risultano violati.

È questo il dettaglio che ha acceso l’interesse della comunità forense.

Secondo quanto riportato nell’analisi di Forenser, gli utenti colpiti avrebbero ricevuto messaggi specifici poco prima della compromissione. Messaggi che, in alcuni casi, sembrano avere un comportamento anomalo lato client. La ricostruzione tecnica suggerisce che il vettore d’attacco possa sfruttare una vulnerabilità legata alla gestione dei contenuti ricevuti da WhatsApp su iOS 16, permettendo l’esecuzione di operazioni malevole senza necessità di interazione diretta dell’utente.

In altre parole: il semplice ricevere il messaggio potrebbe essere sufficiente ad attivare la catena di compromissione.

È questo il vero significato di 0-click. Nessun tap. Nessun consenso. Nessun comportamento “sbagliato” da parte della vittima.

Nel mondo mobile moderno, questo tipo di attacco rappresenta uno degli scenari più pericolosi in assoluto, perché elimina completamente il principale livello difensivo su cui si basa gran parte della sicurezza consumer: l’utente stesso. Le campagne di phishing tradizionali funzionano solo se qualcuno sbaglia. Gli exploit 0-click invece trasformano il dispositivo in un bersaglio passivo.

La ricerca di Forenser suggerisce inoltre un elemento fondamentale: il problema sembrerebbe concentrarsi su device ancora fermi a certe release superate di iOS 16. Questo potrebbe indicare la presenza di vulnerabilità già corrette nelle versioni successive di iOS, ma ancora sfruttabili sui terminali non aggiornati. Ed è qui che emerge uno dei problemi più sottovalutati dell’ecosistema Apple: l’idea che “se hai un iPhone allora sei automaticamente al sicuro”.

In realtà il modello di sicurezza Apple funziona in maniera estremamente efficace proprio grazie agli aggiornamenti continui. Restare bloccati su una major release precedente significa esporsi progressivamente a vulnerabilità già note, studiate e potenzialmente weaponizzate.

Dal punto di vista operativo, un attacco del genere è devastante perché estremamente difficile da rilevare. Non lascia i classici indicatori di compromissione associati al malware tradizionale. Non rallenta necessariamente il dispositivo. Non mostra finestre sospette. Non installa applicazioni visibili. Tutto avviene all’interno di una superficie software considerata “trusted”: l’app di messaggistica stessa.

E WhatsApp rappresenta un bersaglio ideale.

Dentro quell’applicazione oggi transitano conversazioni personali, documenti, codici OTP, messaggi vocali, relazioni professionali e spesso persino elementi di autenticazione indiretta per servizi bancari o aziendali. Compromettere WhatsApp non significa più soltanto leggere chat private: significa ottenere accesso a una porzione enorme dell’identità digitale della vittima.

L’aspetto forse più interessante dell’indagine di Forenser è che porta l’attenzione su una categoria di minacce spesso percepite come lontane dal mondo reale. Quando si parla di exploit 0-click si pensa immediatamente ad attori statali, intelligence offensive e spyware da milioni di euro. Ma la linea che separa il cyberespionage dal cybercrime si sta assottigliando sempre di più. Tecniche un tempo esclusive delle operazioni governative iniziano lentamente a comparire anche in scenari meno sofisticati.

Ed è esattamente questo a rendere il caso così importante.

Perché al netto dei dettagli tecnici ancora da chiarire completamente, la ricerca di Forenser mostra un cambiamento preciso nel panorama delle minacce mobile: gli smartphone non vengono più attaccati soltanto inducendo l’utente a commettere errori. Sempre più spesso, basta semplicemente raggiungerli.

Account WhatsApp compromessi su iPhone con iOS 16: l’attacco 0click che bypassa i dispositivi collegati - Forenser Srl

Un weekend tranquillo, di fine maggio: il tempo passa senza problemi fino a quando non iniziano ad arrivare messaggi ambigui sull’applicazione di WhatsApp

^{forenser (Forenser Srl)}

404 Media

2026-05-23 13:00:55

‘Corpse Point’ In the Arctic Is Melting, Disturbing Centuries-Old Bodies

Welcome back to the Abstract! Here are the studies this week that felt the heat, left their mark, survived a cataclysm, and watched cows watch TV.

First, the bones of long-dead whalers are spilling out their Arctic graves due to human-driven climate change. Then: a trip to “where the snakes lost life,” an ur-moon in the ashes, and the facial recognition abilities of cows.

As always, for more of my work, check out my book First Contact: The Story of Our Obsession with Aliens or subscribe to my personal newsletter the BeX Files.

The thaw at “Corpse Point”

Loktu, Lise, and Brødholt, Elin Therese. “Skeletons in the permafrost: Exploring climate-driven heritage loss and occupational health at the early modern whaling burial site of Likneset, Svalbard.” PLOS One.

The battered bones of beleaguered whalers buried centuries ago in the Arctic are melting out of their permafrost graves due to human-driven climate change, according to a new study. The remains of these men, who lived in the 17th and 18th centuries, reveal the physical toll of whaling on sailors, and highlight the urgent need to preserve cultural heritage as global temperatures rise.

Climate change is an obvious danger to future generations, but it also threatens our link to the past by accelerating the erosion and degradation of its material remains. This problem affects all kinds of different archaeological sites, from ancient artifacts preserved in vanishing Mongolian glaciers to the oldest rock art on record in Indonesia, which is rapidly decaying in the heat 45,000 years after it was painted.
Graves at “Corpse Point” showing some of the textiles have eroded in recent decades. Image: Loktu, Lise, and Brødholt, Elin Therese
Nowhere is more affected by warming trends than the Arctic, where temperatures are rising nearly four times faster than the global average. Now, a pair of researchers has examined the remains of European whalers at the Likneset whaling burial site on Norway’s Svalbard archipelago, also known as “Corpse Point.” The team discovered significant degradation of many burials since they were first documented in the 1970s, a loss that has been sped up by climate change.

“The site has been excavated repeatedly over more than three decades, providing a rare opportunity to examine both preservation change and human skeletal evidence through time and across contrasting burial environments within a single site,” said authors Lise Loktu of the Norwegian Institute for Cultural Heritage Research and Elin Therese Brødholt of Oslo University Hospital.

“In several cases, coffin lids had collapsed and sideboards were displaced, resulting in partial disturbance of skeletal remains and textiles,” the team said. “One grave (Grave 214) is classified as completely destroyed, with coffin elements and skeletal remains dispersed downslope.”
Textiles were in a better state of preservation in less exposed graves. Image: Loktu, Lise, and Brødholt, Elin Therese
These whalers just can’t get any peace, even in death. Their lives were short and filled with physical hardships, according to the team’s re-examination of the bones. Many individuals endured physical trauma due to chronic strain, and 18 out of 19 of the studied sailors suffered from scurvy. Most of the bones belong to men who died in their 20s or early 30s.

“The predominance of healed injuries indicates survival after traumatic events and suggests that mortality within the assemblage was more closely related to cumulative physiological stress than to acute fatal trauma,” according to the study.

“The results from Likneset…call into question the long-term viability of in situ preservation and managed decay under warming permafrost conditions,” the team concluded. Future work to address this problem “should be guided by clearly defined knowledge priorities: which information must be documented and analysed before it is irretrievably lost?”

In other news…

The mystery of Ndalambiri

Mesfin, Isis et al. "A new archaeological chrono-cultural sequence for the rock art site of Ndalambiri, Cuanza Sul, Angola" Journal of Archaeological Science: Reports.

For at least 45,000 years, humans have gathered at Ndalambiri, a rockshelter in Angola thought to be named for an Umbundu phrase that means, “This is where snakes lost life.” Its interior wall is adorned with an immense fresco of roughly 1,200 figures painted in white, red, and black, including many anthropomorphic and geometric designs left over the past 2,000 years.

Now, researchers report the first comprehensive excavation of the site in partnership with local communities, an effort that unearthed thousands of artifacts, such as pottery shards, tools, and botanical and faunal remains.
Excavations under the fresco at Ndalambiri. Image: Mesfin, Isis et al.
“The archaeological content of this central rock art and heritage site in Angola has remained poorly documented until now,” said researchers led by Isis Mesfin of the French Museum of Natural History in Paris. “The diversity of archaeological materials discovered at the Ndalambiri shelter makes it a strategic site for raising awareness about heritage preservation and field archaeology training.”

The team discovered the earliest evidence of iron production in Angola in the layers, dating back to the 5th century CE, and speculated that Ndalambiri was often a crossroads of diverse cultural interactions. But despite the wealth of new finds from the excavation, the study noted that “the identity of Ndalambiri’s occupants and painters remains uncertain.”

Though it’s not clear yet who adorned its walls or sought refuge in its space, the rockshelter was clearly a storied gathering place that preserves eerie remnants of untold generations.

Last moon standing

Belyakov, Matthew et al. “Nereid as a regular satellite of Neptune.” Science Advances.

Let’s dispense with human timescales and wind the clock way back to the early solar system, some four billion years ago. There was Neptune, minding its own business, when a pair of Pluto-sized dwarf planets suddenly barged into its way, causing complete orbital chaos.

Neptune gravitationally captured one of the interlopers, which became the moon Triton. But in the fallout of the encounter, Neptune’s original moons were catapulted into deep space or torn into pieces and left to coalesce into a new set of irregular objects.

All, that is, except Nereid. Scientists have discovered that this Neptunian moon, which is about 200 miles in diameter, is likely the sole survivor of this ancient collision of worlds. Using observations from the James Webb Space Telescope, a team found that Nereid doesn’t spectrally match the rest of Neptune’s moons.

“Our proposed regular satellite genesis story for the moon leaves Nereid as the singular intact original satellite of Neptune—Neptune’s innermost moons, such as Proteus, are reaccreted pieces of satellites destroyed by Triton’s capture,” said researchers led by Matthew Belyakov at Caltech. “Future spacecraft exploration of the Neptunian system should search for signs of an early geologic history on Nereid consistent with formation as a regular satellite.”

Talk about a lunar loner. Nereid may offer a rare glimpse of a fleeting era before Triton came crashing into its captured orbit, upending the Neptunian moon system forever.

Cows can tell people apart

Amichaud, Océane et al. “Cows visually discriminate and cross-modally recognise familiar and unfamiliar human faces in videos.” PLOS One.

We’ll end, as all things should, with cows watching TV. To determine whether these animals can recognize human faces, or match voices to faces, scientists played a series of videos for 32 Prim’Holstein cows.

In one experiment, the cows watched a series of muted videos of familiar and unfamiliar male faces. In a second session, the cows watched videos of familiar caretakers speaking in their own voice, or a dubbed version with a different voice. The heart rates of the cows were monitored throughout both experiments.
A graphic demonstrating the experimental setup. Image: Amichaud et al.
The results revealed that “cows looked significantly longer at the unfamiliar person, suggesting that they are able to discriminate between familiar and unfamiliar individuals using only a video of their faces as a cue,” said researchers led by Océane Amichaud of the National Research Institute for Agriculture, Food and Environment in France. “Cows looked significantly longer at the face that matched the voice, indicating that they are able to associate familiar and unfamiliar voices with the corresponding face.”

While the cows were able to distinguish between individuals, there was no difference in their heart rates when presented with familiar caretakers and strangers. The researchers suggested that future work should explore whether any other bovine behaviors are dependent on their human companions. This has been “cows watching TV” news.

Thanks for reading! See you next week.

Indonesia: Climate change destroying world's oldest animal painting

Higher temperatures have accelerated build-up of salts, which causes the art to flake off the walls.

^{BBC News}