I ricercatori di sicurezza hanno scoperto una sofisticata campagna di exploitche sfrutta un servizio privato di test di sicurezza delle applicazioni out-of-band (OAST) ospitato sull’infrastruttura Google Cloud. La campagna prende di mira principalmente i sistemi in Brasile e sfrutta oltre 200 vulnerabilità comuni (CVE).

Metodo di attacco

Gli endpoint OAST in genere aiutano gli aggressori a verificare il successo degli exploit per l’esecuzione di comandi, la falsificazione delle richieste lato server (SSRF) e la deserializzazione. La maggior parte degli aggressori utilizza servizi OAST disponibili pubblicamente come toast.fun e interact.sh, ma gli autori di questa operazione di minaccia gestivano un dominio privato chiamato i-sh.detectors-testing.com.

Il sistema di threat intelligence Canary di VulnCheck ha rilevato circa 1400 tentativi di exploit relativi a questa infrastruttura tra il 12 ottobre e il 14 novembre 2025. Questa insolita configurazione OAST privata la distingue chiaramente dalla tipica attività di scansione.

Infrastruttura

Tutto il traffico di attacco osservato proveniva da indirizzi IP di Google Cloud situati negli Stati Uniti. Gli IP di scansione identificati includono: 34.172.194.72, 35.194.0.176, 34.133.225.171, 34.68.101.3, 34.42.21.27 e 34.16.7.161.

Un host OAST dedicato, 34.136.22.26, esegue il servizio Interactsh sulle porte 80, 443 e 389. L’utilizzo dell’hosting di Google Cloud offre un vantaggio tattico. I difensori raramente bloccano completamente il traffico proveniente da grandi provider di servizi cloud, facilitando l’infiltrazione del traffico di attacco nelle comunicazioni di rete legittime.

Caratteristiche dell’attacco

Sebbene VulnCheck distribuisca Canary a livello globale, questa campagna di attacco ha preso di mira solo i sistemi distribuiti in Brasile. Sebbene i report di AbuseIPDB indichino che lo stesso gruppo di IP degli aggressori sia stato segnalato anche in Serbia e Turchia, i dati di VulnCheck confermano che il suo obiettivo era esclusivamente quello di colpire obiettivi brasiliani.

Gli aggressori hanno combinato template Nuclei con versioni precedenti non più mantenute nel repository ufficiale. Ad esempio, l’attacco ha utilizzato il template obsoleto grafana-file-read. Questo template YAML è stato rimosso dal repository nuclei-templates nell’ottobre 2025.

Ciò suggerisce che gli aggressori potrebbero aver utilizzato strumenti obsoleti o scanner di terze parti.

Payload personalizzato

L’attacco ha utilizzato anche un payload personalizzato. L’aggressore ha esposto una directory aperta sulla porta 9000 contenente un file TouchFile.class modificato, progettato per sfruttare una vulnerabilità in Fastjson 1.2.47.

A differenza della versione standard di Vulhub, questo payload personalizzato poteva eseguire comandi arbitrari e avviare richieste HTTP in base a parametri. Le prove suggeriscono che l’infrastruttura di attacco sia operativa almeno da novembre 2024, dimostrando un’insolita persistenza.

Mentre la maggior parte degli scanner sostituisce rapidamente la propria infrastruttura, questo aggressore ha mantenuto una presenza stabile a lungo termine.

Raccomandazioni di sicurezza

Questo attacco evidenzia come gli aggressori stiano utilizzando strumenti di scansione open source come Nuclei per diffondere payload di exploit su larga scala su Internet.

Sono indifferenti al lasciare tracce, purché riescano a individuare rapidamente obiettivi vulnerabili. Per prevenire minacce così persistenti, le organizzazioni dovrebbero monitorare il traffico di rete alla ricerca di callback OAST insoliti, bloccare gli indirizzi IP dannosi noti e assicurarsi che i sistemi esposti vengano tempestivamente aggiornati.

L'articolo Gli hacker trasformano Google Cloud in un bunker segreto. Scoperta un’operazione shock proviene da Red Hot Cyber.