Dopo quasi un anno, ritorna in Italia una campagna in lingua inglese mirata a diffondere un infostealer avvistato per la prima volta nell’ottobre 2023.

Lo scorso 13 ottobre il CERT-AGID ha rilevato una campagna malware in linuga inglese (ma che ha coinvolto anche caselle di posta italiane) volta a veicolare un nuovo infostealer. La campagna utilizza un loader scritto in VBS che non sembra avere ancora un nome. Negli ultimi mesi questo loader ha fatto il suo debutto anche in campagne italiane (insieme ad IDAT Loader, precedentemente assente nel panorama italiano).

È recentemente emerso un dataset di credenziali compromesse di dispositivi Fortinet, denominato FortiBleed. Il dataset è stato originariamente scoperto dal ricercatore Bob Diachenko su un server accessibile pubblicamente, contenente un archivio strutturato di credenziali riferite a interfacce SSL VPN e pannelli di amministrazione di apparati FortiGate distribuiti a livello globale.

L’evoluzione di “The Gentlemen” dimostra come l’intelligenza artificiale e l’agilità strategica consentano alle gang criminali di superare i vecchi limiti logistici e di sicurezza. Quando un data leak ha esposto le loro chat interne nel maggio 2026, il gruppo ha reagito all’istante, migrando l’intera infrastruttura di comunicazione verso piattaforme decentralizzate. Questa capacità di riorganizzarsi e sviluppare tool in tempi record azzera i tempi morti degli attaccanti, riducendo drasticamente la finestra temporale per difendersi. Di conseguenza, la semplice reazione all’incidente non è più sufficiente: diventa indispensabile una difesa proattiva basata su tre azioni immediate.

Il presente report ha lo scopo di fornire un quadro sintetico su statistiche e numeri relativi alle principali campagne malevole osservate dal CERT‑AGID nel corso del 2025. L’analisi si concentra esclusivamente su attività che hanno interessato il territorio italiano, con particolare attenzione a quelle rivolte contro soggetti pubblici e privati afferenti alla propria constituency.

Le campagne basate sulla tecnica ClickFix sono ormai una tendenza consolidata: da circa un anno questo metodo viene sfruttato sempre più spesso per distribuire malware attraverso inganni che spingono l’utente a eseguire manualmente comandi dannosi.

In Italia la prima evidenza documentata risale al gennaio di quest’anno, quando la tecnica è stata utilizzata per diffondere Lumma Stealer, uno dei principali infostealer in circolazione. Da allora, pur essendo stati osservati diversi tentativi, nel nostro Paese non si sono registrate campagne massive mirate, a differenza di quanto accade in altri contesti internazionali dove il fenomeno è molto più diffuso.

Dopo una lunga pausa estiva, nella giornata di ieri è stata osservata una nuova campagna MintsLoader, la prima dopo quella registrata lo scorso giugno.

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 68 campagne malevole, di cui 38 con obiettivi italiani e 30 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 576 indicatori di compromissione (IoC) individuati.

Registrata una nuova ondata della campagna malevola MintsLoader, la nona rilevata dall’inizio del 2025, che evidenzia come gli attori malevoli sappiano ben adattarsi ai calendari lavorativi italiani.

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 69 campagne malevole, di cui 28 con obiettivi italiani e 41 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 824 indicatori di compromissione (IoC) individuati.