Hacker cinesi bucano Linux per 10 anni e Google combatte le truffe AI da Pechino

Due vicende emerse quasi contemporaneamente mostrano come il panorama delle minacce informatiche stia evolvendo lungo direttrici differenti ma convergenti. Da una parte il gruppo cinese Velvet Ant viene collegato a una campagna di persistenza estremamente sofisticata che ha permesso di mantenere accesso a sistemi Linux per quasi un decennio attraverso la compromissione diretta dei meccanismi di autenticazione. Dall’altra Google ha avviato una nuova offensiva giudiziaria contro una rete di cybercriminali cinesi accusata di utilizzare Gemini AI per automatizzare la creazione di infrastrutture di phishing e campagne di smishing su larga scala. I due casi sembrano appartenere a mondi diversi. Uno è riconducibile a operazioni di spionaggio e accesso persistente contro infrastrutture critiche, l’altro a una rete criminale specializzata nel furto di dati finanziari e personali. In realtà condividono una caratteristica fondamentale: entrambi dimostrano come gli attaccanti stiano sempre più privilegiando l’abuso di strumenti legittimi e infrastrutture fidate rispetto allo sfruttamento diretto di vulnerabilità software. Velvet Ant non ha bisogno di zero-day quando può sostituire i moduli di autenticazione di Linux. Outsider Enterprise non deve sviluppare complessi framework proprietari quando può sfruttare modelli di intelligenza artificiale per generare rapidamente siti fraudolenti convincenti. In entrambi i casi il risultato è una minaccia più difficile da individuare, più resiliente alle contromisure tradizionali e potenzialmente più dannosa per utenti e organizzazioni.

Velvet Ant trasforma PAM e OpenSSH in strumenti di accesso clandestino

L’operazione identificata dai ricercatori di Sygnia con il nome di Highland rappresenta uno degli esempi più sofisticati di persistenza su sistemi Linux osservati negli ultimi anni. A differenza di molte campagne attribuite ad attori statali o gruppi APT, Velvet Ant non si limita a installare malware aggiuntivo dopo la compromissione iniziale. Il gruppo modifica direttamente i componenti responsabili dell’autenticazione degli utenti, trasformando software normalmente considerato affidabile in una piattaforma di accesso permanente per gli aggressori. Le analisi hanno identificato almeno nove varianti differenti di componenti compromessi distribuiti nel corso di quasi dieci anni di attività. Alcune versioni consentivano l’accesso attraverso password segrete hardcoded, mentre altre intercettavano e registravano in modo invisibile le credenziali legittime inserite dagli utenti durante il login. Il livello di sofisticazione emerge soprattutto dall’approccio adottato. Invece di introdurre nuovi processi o servizi facilmente individuabili dagli strumenti di sicurezza, gli aggressori alteravano programmi già presenti e considerati essenziali dal sistema operativo. In questo modo l’attività malevola si confondeva con il normale funzionamento dell’infrastruttura Linux. È una tecnica che ricorda alcune delle campagne di spionaggio più avanzate degli ultimi anni e che dimostra una profonda conoscenza delle architetture Unix-like e dei processi di autenticazione enterprise.

La compromissione di PAM rende inefficaci molte difese tradizionali

Il bersaglio principale dell’operazione Highland è il framework PAM (Pluggable Authentication Modules), componente fondamentale utilizzato dalla maggior parte delle distribuzioni Linux per gestire l’autenticazione. Alterando questi moduli, Velvet Ant ottiene un vantaggio strategico enorme. Qualunque applicazione o servizio che si affidi a PAM per verificare le credenziali diventa automaticamente sotto il controllo degli aggressori. Questo approccio produce conseguenze particolarmente gravi durante le attività di risposta agli incidenti. In molti casi, quando viene rilevata una compromissione, le organizzazioni reagiscono reimpostando password, terminando sessioni attive e rafforzando i controlli di accesso. Tuttavia, se il sistema che valida le credenziali è già compromesso, queste contromisure perdono gran parte della loro efficacia. Gli aggressori continuano infatti a osservare o manipolare direttamente il processo di autenticazione. È proprio questo il punto più critico evidenziato dai ricercatori. La persistenza non risiede in un malware esterno ma nel meccanismo stesso che dovrebbe garantire la sicurezza degli accessi. Per eliminare completamente la minaccia non basta modificare le credenziali. È necessario verificare l’integrità dei componenti PAM confrontandoli con versioni note e affidabili, un’operazione molto più complessa soprattutto in ambienti di produzione dove errori nella sostituzione possono provocare interruzioni operative significative.

OpenSSH diventa una piattaforma di sorveglianza invisibile

Oltre ai moduli PAM, Velvet Ant ha preso di mira anche OpenSSH, il protocollo più utilizzato per l’amministrazione remota dei sistemi Linux. Le versioni compromesse non si limitavano a registrare username e password, ma intercettavano l’intera attività degli utenti. I ricercatori hanno individuato funzionalità capaci di registrare ogni comando eseguito durante le sessioni SSH, creando di fatto un sistema di sorveglianza continuo sugli amministratori e sugli operatori delle infrastrutture colpite. Ancora più interessante è la presenza di meccanismi progettati per evitare il rilevamento. Alcune varianti includevano interruttori nascosti che permettevano agli aggressori di sospendere temporaneamente la registrazione delle attività quando necessario. Questa caratteristica suggerisce un elevato livello di maturità operativa. Il gruppo non era interessato soltanto a raccogliere informazioni, ma anche a minimizzare le tracce lasciate durante le proprie operazioni. L’accesso ottenuto attraverso OpenSSH trasformava inoltre i sistemi compromessi in punti di osservazione privilegiati all’interno delle reti bersaglio. Ogni attività amministrativa, ogni comando di manutenzione e ogni intervento di risposta agli incidenti poteva essere monitorato in tempo reale dagli operatori della campagna.

Le reti isolate non hanno fermato la campagna Highland

Uno degli aspetti più significativi emersi dall’analisi riguarda la capacità di Velvet Ant di operare anche all’interno di ambienti segmentati o privi di accesso diretto a Internet. Molte organizzazioni considerano l’isolamento delle reti una misura efficace per limitare i movimenti laterali degli aggressori. La campagna Highland dimostra però che questa strategia non è sempre sufficiente. Secondo Sygnia, il gruppo utilizzava server web esposti come punti di transito per raggiungere segmenti più protetti. Attraverso strumenti appositamente modificati, gli attaccanti riuscivano a instradare comandi e sessioni remote verso sistemi altrimenti non accessibili dall’esterno. Questa tecnica consente di mantenere il controllo di infrastrutture sensibili senza richiedere connessioni dirette a Internet dai sistemi compromessi. Le tracce più antiche dell’operazione risalgono al 2016, segno che il gruppo ha avuto anni per perfezionare procedure, strumenti e tattiche operative. Le attività osservate nel 2024 confermano inoltre un modello ricorrente: quando un’infrastruttura viene individuata o bonificata, Velvet Ant tende a spostarsi rapidamente verso asset meno monitorati. Tra gli episodi attribuiti al gruppo figurano anche compromissioni di appliance F5 BIG-IP e lo sfruttamento della vulnerabilità CVE-2024-20399 su Cisco NX-OS, utilizzata per impiantare backdoor direttamente sugli switch di rete.

Outsider Enterprise industrializza il phishing con Gemini AI

Mentre Velvet Ant rappresenta il volto più tradizionale dello spionaggio informatico, la rete criminale Outsider Enterprise mostra come l’intelligenza artificiale stia trasformando il cybercrime commerciale. La causa depositata da Google presso un tribunale federale di Manhattan descrive un’organizzazione articolata che avrebbe sfruttato Gemini AI per facilitare la creazione e la distribuzione di campagne di smishing e phishing. Al centro dell’ecosistema si trova un servizio phishing-as-a-service denominato Outsider, commercializzato attraverso canali Telegram e utilizzato da diversi attori criminali. Il modello di business ricorda quello già osservato in altri segmenti del cybercrime moderno. Gli sviluppatori forniscono l’infrastruttura tecnica, altri gruppi raccolgono dati sulle vittime, altri ancora gestiscono la distribuzione dei messaggi fraudolenti e la monetizzazione finale delle informazioni rubate. Ciò che distingue Outsider da molte piattaforme precedenti è l’integrazione dell’intelligenza artificiale nel processo di generazione dei contenuti. Secondo Google, gli operatori utilizzavano prompt apparentemente innocui per ottenere da Gemini codice HTML destinato alla creazione di pagine fraudolente. I risultati venivano poi integrati all’interno dei kit di phishing per generare siti sempre nuovi e più difficili da bloccare attraverso approcci tradizionali basati sulle firme.

Il kit Outsider rende il phishing accessibile a chiunque

Le informazioni contenute nella documentazione giudiziaria mostrano un livello di industrializzazione notevole. Il kit Outsider include oltre 290 template progettati per imitare banche, operatori telefonici, servizi finanziari e marchi riconosciuti. Gli utenti del servizio possono creare rapidamente campagne di phishing personalizzate pagando abbonamenti che partono da circa 88 dollari alla settimana. Le funzionalità offerte ricordano quelle di una moderna piattaforma SaaS. Sono presenti dashboard statistiche, registrazione in tempo reale delle informazioni inserite dalle vittime, strumenti di monitoraggio delle conversioni e sistemi automatizzati per la gestione delle campagne. Questo livello di professionalizzazione abbassa significativamente la barriera d’ingresso nel cybercrime. Attori con competenze tecniche limitate possono acquistare il servizio e lanciare campagne sofisticate senza sviluppare autonomamente infrastrutture o codice. L’intelligenza artificiale amplifica ulteriormente questo fenomeno. La generazione automatica di pagine web consente di produrre rapidamente nuove varianti dei siti fraudolenti, aumentando la resilienza delle operazioni rispetto ai sistemi di rilevamento tradizionali.

Gemini AI diventa un moltiplicatore per le campagne di smishing

Uno degli aspetti più delicati del caso riguarda proprio l’utilizzo di Gemini AI. Google sostiene che gli operatori abbiano aggirato le protezioni del modello formulando richieste apparentemente legittime legate allo sviluppo web. Invece di chiedere direttamente la creazione di pagine di phishing, i criminali avrebbero richiesto codice HTML per siti promozionali, pagine di registrazione o interfacce di riscatto premi. Il contenuto generato veniva successivamente adattato e integrato nelle campagne fraudolente. Questo meccanismo evidenzia una delle principali sfide che coinvolgono oggi i modelli generativi. L’intelligenza artificiale non crea necessariamente il comportamento malevolo, ma può ridurre drasticamente tempi e costi necessari per produrre infrastrutture operative. Secondo Google, tra novembre 2025 e aprile 2026 la rete sarebbe stata collegata a oltre 9.000 siti fraudolenti e circa 1,59 milioni di URL utilizzati nelle campagne. Ancora più impressionanti risultano i dati relativi alle attività recenti: in sole due settimane tra maggio e giugno 2026 sarebbero stati rilevati 55.000 messaggi spam segnalati dagli utenti Android e circa 2,5 milioni di SMS contenenti collegamenti verso siti generati attraverso il kit Outsider.

Google passa dall’interruzione tecnica all’offensiva giudiziaria

La risposta di Google non si limita ai tradizionali interventi di sicurezza. L’azienda ha scelto di combinare strumenti tecnici, collaborazione industriale e azione legale. La causa contro Outsider Enterprise rappresenta infatti la seconda iniziativa giudiziaria di questo tipo avviata contro reti di phishing cinesi in meno di un anno. L’obiettivo non è soltanto ottenere un risarcimento o una pronuncia favorevole del tribunale. Le azioni civili consentono spesso di acquisire informazioni sulle infrastrutture utilizzate dagli attaccanti, ottenere ordini di sequestro o interruzione dei servizi e coinvolgere provider e intermediari nella rimozione delle risorse impiegate per le campagne. Parallelamente Google continua a sviluppare sistemi di rilevamento basati su machine learning integrati nei propri prodotti. Le collaborazioni con operatori come AT&T, T-Mobile e Verizon mirano a bloccare i messaggi sospetti prima che raggiungano gli utenti finali. Questa strategia riflette una trasformazione più ampia del settore della sicurezza. Le grandi aziende tecnologiche non si limitano più a difendere le proprie piattaforme, ma intervengono direttamente contro le organizzazioni che alimentano il cybercrime su scala industriale.

Le due operazioni mostrano il futuro delle minacce informatiche

Sebbene Velvet Ant e Outsider Enterprise perseguano obiettivi differenti, i due casi raccontano una stessa evoluzione del panorama cyber. Le campagne più efficaci non dipendono necessariamente da vulnerabilità sconosciute o tecniche particolarmente rumorose. Sempre più spesso gli aggressori ottengono risultati migliori sfruttando componenti legittimi, processi fidati e strumenti progettati per scopi perfettamente leciti. Velvet Ant compromette PAM e OpenSSH invece di distribuire malware facilmente identificabile. Outsider Enterprise utilizza Gemini AI per accelerare la produzione di infrastrutture fraudolente invece di sviluppare ogni pagina manualmente. Entrambe le strategie riducono la visibilità delle operazioni e aumentano la difficoltà del rilevamento. Per difensori, amministratori e sviluppatori il messaggio è chiaro. La sicurezza non può più basarsi esclusivamente sulla ricerca di codice malevolo o sulla correzione delle vulnerabilità. Diventa essenziale verificare l’integrità dei componenti critici, monitorare i processi di autenticazione, controllare la supply chain software e comprendere come strumenti apparentemente innocui possano essere trasformati in moltiplicatori di attacco. In un contesto nel quale l’intelligenza artificiale e le tecniche di persistenza avanzata diventano sempre più accessibili, la differenza tra infrastruttura legittima e infrastruttura compromessa rischia di diventare sempre più sottile.