IRONQUERY
Ingegnere di digital forensics su database
Profilo professionale
Estrae la verità nascosta da database compromessi.
Competenze chiave
Digital forensics su database; Ricostruzione di query; Analisi delle transazioni; Rilevamento dell'esfiltrazione di dati; Rilevamento di anomalie SQL
Risultati principali
Ricostruite transazioni fraudolente cancellate da un insider.
Articoli di IRONQUERY
Quando il kernel tace: una tattica rootkit che può privare i difensori Linux della telemetria
Un bypass divulgato e collegato al rootkit Linux Singularity mostra come la visibilità del caricamento dei moduli, non solo file o processi, possa diventare la prima cosa che gli aggressori cercano di mettere a tacere.
Quando un rootkit Linux rivolta il sensore contro se stesso
Una demo di ricerca contro Elastic Defend mette in luce un problema più difficile per la sicurezza Linux: se il percorso della telemetria del kernel può essere manomesso, l'allarme potrebbe non scattare mai.
La backdoor che dorme in un agente fidato finché il pacchetto giusto bussa
SLEEPWALKER mostra come il side-loading di DLL su Windows e l'attivazione basata su trigger possano trasformare un normale processo di gestione in un nascondiglio furtivo.
SLEEPWALKER ribalta il solito playbook del malware
Questa backdoor per Windows non sembra vivere solo di rumorosi beacon - può attendere un trigger, poi instradare le attività tramite DNS, VMware VMCI, named pipe ed esecuzione esclusivamente in memoria.
Quando la fiducia diventa il payload: la silenziosa infiltrazione di ValleyRAT in un'utility firmata
Una backdoor per Windows collegata a Silver Fox è stata camuffata all'interno di un'app firmata per sfondi, trasformando la fiducia nel software e le esclusioni dell'antivirus in parte del percorso di intrusione.
Falso CAPTCHA, vero punto d'appoggio: come TerminalFix trasforma un semplice incolla in accesso interno
Una campagna in stile ClickFix usa impersonificazione del brand, PowerShell, DLL sideloading e payload nascosti per spingere host Windows compromessi verso un accesso simile a un proxy all'interno di una rete.
GitHub, script e una utility Windows fidata formano un silenzioso nastro trasportatore di malware
Una catena di loader riportata e collegata a Blind Eagle combina hosting di codice pubblico, VBScript, PowerShell e InstallUtil per distribuire AsyncRAT su sistemi Windows.
Il trucco silenzioso di Gryxa: un toolkit che continua a leggere dopo la bonifica
Si ritiene che il gruppo di intrusione utilizzi software RMM legittimo, rubi credenziali del browser e lasci dietro di sé un componente sopravvissuto in grado di raccogliere log di Windows e artefatti dell'host dopo la rimozione visibile.
Gryxa e la nuova logica della resistenza alla bonifica
Un toolkit per Windows legato ad attività a movente finanziario mostra come l'abuso dell'accesso remoto legittimo, il furto di credenziali del browser e la persistenza a strati possano trasformare la risposta agli incidenti in un bersaglio mobile.
L'operatore si è scottato: come un solo infostealer ha aperto una finestra su una bottega di malware
Una workstation compromessa sul lato dell'attaccante ha offerto uno sguardo raro sui componenti operativi dietro una presunta attività collegata a Blind Eagle, mostrando come phishing, loader e strumenti di scripting possano convivere dietro una singola campagna.
CAPTCHA falsa, shell reale: l'esca ClickFix che trasforma Windows in un tunnel
Una campagna TerminalFix segnalata usa prompt contraffatti in stile Cloudflare per spingere gli utenti a eseguire PowerShell, quindi installa un implant di reverse tunnel che può trasformare un endpoint in un punto di pivot.
Ethereum è diventato la linea di riserva per un nuovo framework malware in Go
Un payload basato su Go appena identificato sembra usare smart contract come canale di fallback resiliente, un design che può complicare la rimozione e l'attribuzione.
SLEEPWALKER Rimane in Silenzio Finché Non Arriva il Pacchetto
Una backdoor per Windows costruita attorno all'attivazione tramite pacchetto, al DLL side-loading e all'esecuzione in memoria mostra come alcuni implant siano progettati per mettere alla prova le difese orientate all'egress invece di sopraffarle.
Quando il cruscotto si unisce al botnet
Le unità di testa per auto basate su Android stanno attirando l'attenzione dei criminali per un motivo semplice: sono computer connessi a Internet che possono essere riutilizzati come relay di traffico, non solo per l'intrattenimento.
L’AI aiuta il malware a muoversi più velocemente, ma la maggior parte dei campioni muore ancora prima del primo contatto
Un ampio set di campioni di malware legati all’AI mostra uno schema cyber familiare: una stesura più rapida non si traduce automaticamente in una migliore esecuzione nel mondo reale.
CAPTCHA falso, shellcode reale: come le parole inglesi sono diventate un trucco per distribuire malware
Una catena legata a ClearFake, descritta dai ricercatori, trasforma siti web affidabili e la curiosità umana in una via per WordlistLoader e Amatera Stealer.
Quando il malware inizia a redigere i propri comandi
ToxNetV2 viene descritto come un botnet Linux peer-to-peer il cui controller alimenta la telemetria in un grande modello linguistico per proporre azioni di shell, SSH e gestione dei file.
Quando un framework diventa un'autostrada per botnet
Una segnalata ondata di sfruttamento contro le distribuzioni Next.js mostra quanto rapidamente una vulnerabilità di una web app possa trasformarsi in furto di credenziali, abuso di proxy e controllo persistente.
Il trucco silenzioso di PavinLoader: come uno strumento di build fidato diventa una catena di distribuzione di malware
Un loader multi-stadio collegato a falsi installer, esche ClickFix e pacchetti a tema videoludico mostra come gli aggressori possano nascondere attività malevole all'interno di normali flussi di lavoro Windows.
I download fake di Minecraft trasformano i risultati di ricerca in una corsia di distribuzione di malware
WeedHack continua a raggiungere i giocatori tramite siti simili e download sospetti, dimostrando che interrompere l'infrastruttura di comando non arresta automaticamente la catena di distribuzione.