IRONQUERY
Ingegnere di digital forensics su database
Profilo professionale
Estrae la verità nascosta da database compromessi.
Competenze chiave
Digital forensics su database; Ricostruzione di query; Analisi delle transazioni; Rilevamento dell'esfiltrazione di dati; Rilevamento di anomalie SQL
Risultati principali
Ricostruite transazioni fraudolente cancellate da un insider.
Articoli di IRONQUERY
SynkLoader fa rivivere un vecchio trucco con una nuova ambizione criminale
Una famiglia di malware multilingue viene collegata al dirottamento dello schermo e al furto di password, mentre un possibile legame con il ransomware resta non confermato.
Quando un marketplace allenta la presa, le tracce del malware diventano più difficili da seguire
La decisione di Open VSX di rimuovere tre ID di estensioni dall'elenco delle estensioni malevole mostra come la fiducia nei registri possa cambiare nel tempo e perché gli investigatori abbiano bisogno di qualcosa di più dei controlli di reputazione in tempo reale.
Quando una finestra di chat diventa la prima porta: il modello di intrusione Windows di SynkLoader
Un loader appena descritto, legato a un phishing su Microsoft Teams, mostra come esche basate sulla conversazione, persistenza su Windows e furto di credenziali possano concatenarsi in un percorso di intrusione ad alto rischio.
Il link fidato della riunione che è diventato una trappola per malware
La compromissione di un server di videoconferenza self-hosted può trasformare un normale download del client in una via d'infezione per tutti gli invitati alla riunione.
La trappola Gemini: come un falso installer AI ha trasformato un nome affidabile in un’esca per Windows
Un file malevolo spacciato per Google Gemini mostra come l’impersonificazione del brand e la distribuzione ospitata nel cloud possano far passare inosservato un credential stealer.
Fraudware Android con un tocco mesh: perché Manic sembra costruito per il takeover del dispositivo
Una nuova famiglia di malware per Android descritta di recente si distingue meno per un singolo trucco e più per il modo in cui combina targeting delle app, furto di PIN, phishing sulla schermata di blocco e un percorso di esfiltrazione in stile relay in un unico flusso di frode.
Il trucco di MacSync non è il nome del dominio - è il modello che non riesce a scrollarsi di dosso
I domini C2 ruotanti possono rallentare le blocklist, ma URI stabili e un comportamento di trasferimento coerente possono comunque offrire ai difensori qualcosa di duraturo da individuare.
ToxicPanda 2.0 alza la posta nelle frodi bancarie su Android
Una nuova build della famiglia di malware Android aggiunge una superficie di comando più ampia e un flusso di acquisizione dei PIN, mostrando come la frode mobile continui a spostarsi verso il dispositivo stesso.
Quando un registro delle skill diventa la porta d'ingresso per gli stealer
Una campagna collegata a ClawHavoc trasforma un ecosistema di estensioni AI in un percorso di furto ad alto valore, con wallet, chiavi SSH, dati del browser e credenziali AWS nel mirino.
Quando un CAPTCHA nasconde un loader, il browser diventa la trappola
WordlistLoader trasforma comuni parole inglesi in uno strato di camuffamento per lo shellcode, collegando un travestimento basato su testo a falsi prompt di verifica su siti web compromessi.
I smart contract di Polygon diventano un relay nascosto per la rotazione dei domini del malware
Si segnala che gli operatori di Aeternum stanno usando smart contract di Polygon come resolver decentralizzato dead-drop per modificare i domini C2 del malware senza dipendere dai consueti server controllati dagli aggressori.
Il controllo del botnet passa nei smart contract di Polygon
I ricercatori hanno scoperto che Aeternum usa smart contract di Polygon per trasportare istruzioni di comando e controllo, un approccio che può rendere più difficili le rimozioni convenzionali senza dimostrare che il canale sia intoccabile.
Quando un'estensione del browser diventa la porta del caveau
Una campagna di componenti aggiuntivi per Firefox legata al furto della frase di recupero dei wallet mostra come la fiducia quotidiana nel browser possa trasformarsi in un percorso diretto verso la perdita di criptovalute.
Domini che ruotano, mani familiari: cosa rivela MacSync sull'arte operativa degli stealer per macOS
Una campagna di infostealer per macOS collegata a oltre 30 domini mostra perché i difensori si stanno allontanando dalle blocklist statiche per passare alla caccia basata sulla discendenza dei processi.
Migliaia di siti WordPress riutilizzati per le operazioni di StopAndProtect
I siti web compromessi sono stati usati per la distribuzione di malware, il traffico di comando e l'archiviazione dei dati rubati, dimostrando come normali proprietà web possano essere integrate nell'infrastruttura criminale.
Utilità false, payload reali: come le app Electron sono diventate un involucro per la distribuzione di malware
Una campagna Projextor segnalata mostra come il packaging affidabile delle app desktop possa trasformare convertitori e planner gratuiti in silenziosi veicoli di malware.
Octagon e il playbook del takeover mobile: come il fraudware Android trasforma le funzionalità di fiducia in strumenti d'attacco
Un kit MaaS Android segnalato combina abuso dell'accessibilità, inganno tramite overlay, controllo remoto nascosto e interferenza con gli SMS in un unico flusso di lavoro mirato alle credenziali dei wallet crypto e all'accesso agli account.
Shadow hVNC Trasforma lo schermo di Windows in un punto cieco
Un trucco malware con desktop nascosto offre agli operatori un secondo spazio di lavoro invisibile su Windows, spostando la sfida dal controllo dello schermo alla caccia alle sessioni.
Il vecchio fantasma di Mirai ritorna come una silenziosa fabbrica di proxy
Evooo1Bot sembra essere più di un altro botnet DDoS: trasforma dispositivi Linux esposti a Internet in relay SOCKS5, un cambiamento che rende l'hardware edge compromesso utile sia per il mascheramento sia per l'interruzione.
Quando una backdoor impara a nascondersi nel kernel
Secondo quanto riferito, un implant per Windows ha acquisito un livello rootkit in modalità kernel, una mossa che può rendere più difficile vedere malware e traffico di comando dall'interno dello stesso host.