Cyberattacchi colpiscono supply chain, sanità, porti e retail

🛡️ Executive Summary

• Head Mare compromette server TrueConf non aggiornati e sostituisce gli installer ufficiali con versioni trojanizzate contenenti PhantomCore e PhantomGraph.
• Unlimited Technology Systems comunica un data breach sanitario che coinvolge 3.803.750 persone e informazioni mediche, assicurative e identificative.
• North Carolina Ports subisce interruzioni operative, mentre Levi Strauss conferma l’esfiltrazione di dati aziendali dopo social engineering contro tre dipendenti.

Una compromissione della supply chain software, un data breach sanitario da 3,8 milioni di persone, un attacco che rallenta tre strutture portuali e un’intrusione ottenuta attraverso il social engineering contro dipendenti aziendali descrivono quattro superfici differenti dello stesso rischio. Head Mare ha sfruttato server TrueConf non aggiornati per distribuire installer infetti ai partecipanti alle videoconferenze; Unlimited Technology Systems ha confermato l’esposizione di informazioni personali e sanitarie; North Carolina Ports ha dovuto ricorrere a procedure manuali; Levi Strauss & Co. ha invece rilevato l’accesso e l’esfiltrazione di dati corporate da tre computer aziendali compromessi. Quattro incidenti che mostrano come un singolo punto iniziale possa propagarsi verso utenti, clienti, infrastrutture o dati sensibili.

Head Mare trasforma TrueConf in un canale di distribuzione malware

Kaspersky ha ricostruito una nuova campagna di Head Mare nella quale gli attaccanti sfruttano due vulnerabilità ancora identificate internamente come KLCERT-26-057 e KLCERT-26-058 contro server TrueConf non aggiornati. Nella ricerca tecnica dedicata alla compromissione di TrueConf, i ricercatori descrivono una catena che parte dalla porta TCP 4307, aperta di default, e permette una connessione senza autenticazione verso le versioni vulnerabili del server. La prima falla consente l’esecuzione di uno script all’interno dell’ambiente isolato di TrueConf, mentre la seconda permette di uscire dalla sandbox e raggiungere il sistema operativo con privilegi NT AUTHORITY\SYSTEM. Il passaggio porta alla sostituzione di locale.php con una web shell e ricorda il precedente attacco PhantomCore contro server TrueConf, oltre alla precedente Operation TrueChaos contro TrueConf e ambienti governativi. La rilevanza della nuova campagna sta però nella fase successiva: il server compromesso non serve soltanto come punto di persistenza, ma diventa una piattaforma capace di infettare automaticamente altri sistemi.

Gli installer TrueConf legittimi vengono sostituiti con PhantomCore

Dopo avere ottenuto il controllo del server, Head Mare accede al database TrueConf e sostituisce il pacchetto originale destinato ai client Windows con un installer privo della firma digitale del produttore e contenente la backdoor PhantomCore. Gli utenti che si collegano al server compromesso per partecipare a una riunione possono quindi ricevere l’aggiornamento trojanizzato direttamente attraverso un’infrastruttura che considerano affidabile. Kaspersky avverte che il pericolo riguarda anche aziende che non possiedono internamente un server TrueConf, perché i dipendenti possono collegarsi ai sistemi compromessi di partner e controparti e scaricare da questi il pacchetto infetto. La tecnica costituisce una forma di supply chain attack particolarmente efficace, simile per logica alle compromissioni già osservate con AsyncAPI su npm e il malware Miasma e con repository GitHub falsi usati per distribuire BoryptGrab. TrueConf aveva già distribuito il 18 giugno le versioni 5.3.9, 5.4.9 e 5.5.5, indicando nel proprio aggiornamento di sicurezza ufficiale la necessità di installarle immediatamente. Restano quindi esposti soprattutto i server che non hanno applicato l’update.

PhantomGraph usa OneDrive e punta anche alle credenziali LSASS

La compromissione non termina con PhantomCore. Head Mare distribuisce anche PhantomGraph, backdoor composta dai moduli SysExcSvc.dll e SysReadSvc.dll, che utilizza un account Microsoft OneDrive come infrastruttura di comando e controllo. Il primo modulo recupera i comandi e restituisce i risultati, mentre il secondo li esegue sul sistema compromesso. Gli operatori hanno utilizzato la backdoor per attività di ricognizione, reverse SSH tunnel e dumping della memoria del processo LSASS, passaggio finalizzato al recupero delle credenziali Windows. L’abuso di servizi cloud legittimi come canali C2 amplia le difficoltà di rilevamento già osservate nelle operazioni Mirage Kitten basate su tunnel WebSocket e nelle campagne nelle quali Chaos ha nascosto msaRAT nel browser attraverso WebRTC. Kaspersky riferisce di campagne Head Mare attive contro organizzazioni russe nei settori strumentazione, elettronica, trasporti, energia, IT e sviluppo software e raccomanda, oltre all’aggiornamento, di verificare che ogni installer TrueConf distribuito internamente possieda una firma digitale valida. Lo stesso gruppo era già emerso negli attacchi Head Mare e Twelve contro organizzazioni russe, confermando una continuità operativa che va oltre la singola vulnerabilità.

Unlimited Technology Systems espone i dati di 3,8 milioni di persone

Sul fronte sanitario, Unlimited Technology Systems, fornitore statunitense di software per practice management e revenue cycle, ha comunicato un incidente che coinvolge 3.803.750 persone. L’intrusione risale all’ottobre 2025: il 19 ottobre l’azienda ha rilevato attività non autorizzata nel proprio data center commerciale e l’indagine ha stabilito che un soggetto esterno aveva avuto accesso ai file tra il 5 e il 10 ottobre. Una notifica pubblicata da Astera Cancer Care per i propri pazienti conferma che le informazioni coinvolte possono comprendere Social Security number, documenti d’identità, dati assicurativi, numero della cartella clinica, diagnosi, date delle prestazioni, indirizzi, email, numeri telefonici e dati demografici. Non risultano invece coinvolte cartelle cliniche complete, immagini diagnostiche o coordinate bancarie e carte di pagamento. Il caso amplia il quadro già emerso con il breach MCBS e l’esposizione di dati sanitari e con gli attacchi di ShinyHunters contro il settore sanitario, mostrando l’effetto moltiplicatore degli incidenti che coinvolgono fornitori utilizzati contemporaneamente da numerose strutture mediche.

I fornitori sanitari moltiplicano il numero delle vittime downstream

La particolare gravità del caso Unlimited Technology Systems deriva dal rapporto tra vendor e strutture sanitarie clienti. Molte persone coinvolte potrebbero non avere mai avuto un rapporto diretto con UTS, perché i dati vengono elaborati per conto di medici, cliniche oncologiche e provider specialistici che utilizzano le sue piattaforme. Una singola compromissione del fornitore produce quindi un breach downstream distribuito tra organizzazioni differenti e pazienti geograficamente lontani. Unlimited ha coinvolto una società di digital forensics, notificato le autorità e offre agli interessati due anni di monitoraggio dell’identità, mentre non risultano al momento evidenze pubbliche di utilizzo illecito dei dati sottratti. Questo tipo di esposizione mostra perché i fornitori sanitari debbano essere valutati come estensioni della superficie aziendale e non come semplici soggetti esterni, un problema già evidenziato dai data breach che hanno coinvolto EY, Abbott e Coca-Cola e dagli incidenti nei quali Stadler e altre aziende hanno affrontato compromissioni con conseguenze operative e sui dati. Nel sanitario, però, identificatori governativi e informazioni cliniche non possono essere semplicemente sostituiti come una password, aumentando il rischio di frodi e impersonificazione nel lungo periodo.

North Carolina Ports passa alle procedure manuali dopo il cyberattacco

Un terzo incidente ha colpito la North Carolina State Ports Authority il 4 agosto, provocando un’interruzione dei sistemi IT che ha interessato il Port of Wilmington, Port of Morehead City e Charlotte Inland Port. L’autorità ha attivato il proprio Cybersecurity Contingency Plan, coinvolgendo il North Carolina Department of Transportation, il Department of Information Technology e la U.S. Coast Guard. Le operazioni sono proseguite attraverso processi manuali mentre i sistemi venivano analizzati e ripristinati; l’Autorità ha successivamente riportato i gate verso il normale calendario operativo, avvertendo però della possibilità di ritardi. Il sito ufficiale di North Carolina Ports continua a fornire gli aggiornamenti operativi e gli strumenti di accesso ai terminali. Non sono stati comunicati pubblicamente né il vettore iniziale né un eventuale furto di dati e nessun gruppo ha rivendicato l’attacco. L’episodio assume un peso particolare perché i porti rappresentano infrastrutture logistiche nelle quali indisponibilità IT e ritardi digitali producono rapidamente effetti fisici, come già mostrato dagli attacchi alle infrastrutture critiche e ai sistemi di trasporto e dalle operazioni contro telecamere e logistica militare europea.

Levi Strauss perde dati aziendali dopo il social engineering

Levi Strauss & Co. ha invece comunicato alla Securities and Exchange Commission un incidente nel quale un soggetto non autorizzato ha utilizzato tecniche di social engineering contro tre dipendenti, ottenendo accesso ai rispettivi computer aziendali. Nel Form 8-K depositato presso la SEC il 7 agosto Levi Strauss conferma che alcune informazioni corporate sono state consultate ed esfiltrate, ma afferma di avere contenuto e terminato rapidamente l’accesso, senza rilevare coinvolgimento dei dati dei consumatori o interruzioni delle attività. L’indagine rimane aperta e la società non ritiene, sulla base delle informazioni disponibili, che l’incidente possa produrre un impatto materiale sulla propria strategia, sulle operazioni o sulla situazione finanziaria. Il vettore ricorda la crescente efficacia delle finte chiamate IT utilizzate da ShinyHunters contro Salesforce e le campagne nelle quali il vishing ha preceduto compromissioni aziendali e furti di dati. Anche senza una vulnerabilità software, tre endpoint compromessi sono stati sufficienti per raggiungere informazioni aziendali riservate.

Quattro incidenti mostrano dove si sposta il perimetro aziendale

TrueConf, Unlimited Technology Systems, North Carolina Ports e Levi Strauss descrivono quattro forme molto diverse di compromissione, ma tutte mostrano quanto il perimetro di sicurezza sia ormai distribuito. Un server di videoconferenza compromesso può contaminare gli installer inviati agli utenti; un provider sanitario può esporre milioni di record appartenenti ai clienti; un sistema IT portuale può rallentare movimenti fisici di merci e mezzi; un dipendente convinto attraverso social engineering può trasformare il proprio computer in un punto d’ingresso verso dati corporate. La stessa dinamica è emersa nelle campagne di supply chain che utilizzano malware e pacchetti compromessi e nelle intrusioni in cui servizi esposti e credenziali diventano il primo passaggio verso infrastrutture più ampie. Le misure operative cambiano — patch immediate per TrueConf, gestione del rischio dei fornitori nel sanitario, continuità operativa nei porti e protezione delle identità nel retail — ma il principio resta comune: la sicurezza deve seguire il percorso della fiducia tra organizzazioni, software, persone e infrastrutture, perché è proprio nei passaggi tra questi domini che gli attaccanti stanno ottenendo il maggiore effetto moltiplicatore.