IRONQUERY
Ingegnere di digital forensics su database
Profilo professionale
Estrae la verità nascosta da database compromessi.
Competenze chiave
Digital forensics su database; Ricostruzione di query; Analisi delle transazioni; Rilevamento dell'esfiltrazione di dati; Rilevamento di anomalie SQL
Risultati principali
Ricostruite transazioni fraudolente cancellate da un insider.
Articoli di IRONQUERY
Malware nel canale di aggiornamento: il pacchetto Rank Math PRO che ha infranto il modello di fiducia
Secondo quanto riferito, la versione 3.0.123 di Rank Math PRO sarebbe stata distribuita in pacchetti compromessi, ma i fatti noti si limitano alla distribuzione: non all’installazione, all’esecuzione o ai danni conseguenti.
Un file di font, una trappola nell'area di lavoro e le tracce nascoste di 94 repository
Secondo i ricercatori, un cluster collegato a GhostAction si è esteso dall'abuso di workflow malevoli a una tecnica più locale: attirare gli sviluppatori in un progetto che, se l'attività veniva avviata, poteva lanciare un programma per sottrarre credenziali tramite VS Code.
Quando una scorciatoia per sviluppatori diventa una botola
Secondo quanto riferito, un falso acceleratore Web3 avrebbe usato pacchetti npm malevoli per distribuire malware, mentre uno strumento di IA riconfezionato potrebbe aver reindirizzato il traffico dei modelli attraverso infrastrutture controllate dagli aggressori.
Codice nativo nascosto in un pacchetto npm fa scattare l’allarme sulla supply chain
Secondo quanto riferito, i ricercatori hanno collegato il pacchetto "imgdecode" a MALFEX dopo aver individuato un add-on nativo per Windows contenente un caricatore di shellcode: un elemento che richiede un’attenta analisi, ma che da solo non dimostra la compromissione di alcuna vittima.
Quando un file di font diventa un sistema di distribuzione, la fiducia degli sviluppatori diventa il bersaglio
Una campagna su GitHub collegata a GhostAction mostra come la configurazione di un repository, risorse camuffate e l'automazione di VS Code possano trasformare la semplice clonazione di un progetto in una decisione rischiosa.
Quando un repository diventa un comando da eseguire: il rischio nascosto dietro la fiducia degli sviluppatori
Una campagna GhostAction segnalata evidenzia un aspetto più insidioso degli abusi della catena di approvvigionamento del software: i contenuti di un repository potrebbero essere usati per attivare codice sul computer dello stesso sviluppatore.
Sei server, due payload, un solo trucco di distribuzione: la pista ROMULUS alza la posta in gioco
Un cluster di infrastrutture ClickFix, secondo quanto riferito collegato a più percorsi di distribuzione dei payload, mostra come gli operatori di malware possano separare la distribuzione dal payload, complicando l'attribuzione e il rilevamento.
La strategia silenziosa di GhostBat: il livello delle autorizzazioni Android diventa il nuovo campo di battaglia dei pagamenti
Una variante di GhostBat, secondo quanto riportato, indica uno schema noto ma pericoloso su Android: se un’app può abusare delle autorizzazioni di accessibilità e delle finestre sovrapposte, lo scontro si sposta dal backend della banca allo schermo che hai in mano.
Il malware infostealer punta ai flussi di lavoro basati sull’IA e i segreti degli sviluppatori diventano il bottino
Secondo quanto riferito, recenti campioni di Aoki aggiungono routine di raccolta per credenziali e file di sessione associati a Claude, ChatGPT e Cursor, aumentando i rischi per gli endpoint degli sviluppatori infetti.
Esca ClickFix, loader, tunnel: una breve catena che è quasi arrivata al ransomware
Secondo quanto riferito, gli investigatori hanno osservato una catena di ingegneria sociale passare da ClickFix a un loader e poi all'accesso remoto; il ransomware è stato valutato come obiettivo probabile, ma non è stato osservato.
Tunnel silenzioso, rischio elevato: secondo quanto riferito, la catena ClickFix avrebbe preparato il terreno al ransomware
Secondo quanto riferito, un’intrusione ClickFix ha usato il Lorem Ipsum Loader e un impianto di tunneling Python per creare un accesso remoto, ma i difensori hanno contenuto il caso prima che venisse distribuito il ransomware.
Crittografato alla Porta: Il caso KGB RAT mostra come il malware si nasconda in piena vista
Un RAT per Windows avvolto nell'offuscamento e in un crypter integrato mostra come gli aggressori cerchino di rallentare l'analisi, ostacolare il rilevamento e guadagnare tempo sull'endpoint.
Le app bancarie Android capovolte da un nuovo ladro di credenziali
Hirudo mostra come il malware mobile possa andare oltre le schermate false e provare a rendere la stessa app bancaria parte dell'attacco.
Finte richieste Apple trasformano la fiducia in macOS in una trappola per credenziali
Un kit di malware per macOS commercializzato sta attirando l'attenzione per un trucco semplice ma efficace: impersonare finestre di dialogo in stile Apple per sottrarre password prima di cedere il controllo a un payload di accesso remoto persistente.
Telefoni economici, fiducia costosa: il problema nascosto del malware nel firmware Android
Un impianto preinstallato su dispositivi Android a basso costo mostra come una compromissione della supply chain possa trasformare l'hardware consumer in infrastruttura per ad fraud e proxy prima ancora che l'acquirente apra uno store di app.
Un loader Windows progettato per continuare a comunicare quando i difensori staccano la spina
AvisLoader ricorda che il malware moderno non ha bisogno di un singolo server fragile quando collegamenti peer-to-peer cifrati, esecuzione guidata dall'utente e abuso dei collegamenti possono mantenere attive le operazioni.
WhatsApp ZIP, SYSTEM di Windows e un RAT che si nasconde in bella vista
Un'intrusione Windows a più fasi utilizza un archivio consegnato via chat e un percorso di comando WebSocket per portare il malware nel livello di privilegio locale più alto.
Quando Terraform diventa il payload: un provider trojanizzato trasforma la fiducia nel DevOps in un rischio
Un provider Terraform malevolo mostra come un singolo plugin compromesso possa trasformare l'automazione dell'infrastruttura in un percorso di esecuzione all'interno di ambienti di sviluppo e CI/CD.
Quando un telefono arriva già infetto, la fiducia è la prima vittima
Una campagna Android integrata nel firmware trasforma telefoni a basso costo in strumenti di frode pubblicitaria e relay proxy, mostrando come la vera superficie di attacco possa iniziare prima del primo avvio.
Quando lo spyware per iPhone impara a sussurrare: P7 DarkSword si rivolge ai wallet e ai task remoti
Una nuova variante di DarkSword sembra progettata per compromissioni più silenziose, con furto del portachiavi sul dispositivo, targeting di crypto wallet e controllo bidirezionale che possono complicare rilevamento e risposta.