Introduzione
Il recente attacco attribuito a Tropic Trooper, un noto attore minaccioso, ha sollevato preoccupazioni sulla sicurezza delle infrastrutture di comando e controllo. La campagna di attacchi, come riportato da The Hacker News, utilizza un lettore PDF trojanizzato per deployare l'agente post-exploitation AdaptixC2 Beacon. L'attacco finale facilita l'abuso dei tunnel di Microsoft Visual Studio Code (VS Code) per l'accesso remoto, come confermato da Matrice Digitale.
L'abuso dell'infrastruttura di fiducia
Il problema non si limita ai meccanismi tecnici dell'attacco, ma riguarda l'abuso dell'infrastruttura di fiducia, come GitHub, utilizzata come infrastruttura di comando e controllo. Secondo The Hacker News e Matrice Digitale, ciò evidenzia un modello più ampio di attori minacciosi che sfruttano servizi legittimi per scopi malintenzionati, con l'82% degli attacchi nel 2025 che coinvolgono più superfici di attacco, come riportato nel Unit 42 Global Incident Response Report 2026.
La matematica difensiva
Per contrastare tali attacchi, è necessario implementare controlli severi sull'utilizzo dei tunnel di VS Code, condurre audit regolari dei repository di GitHub per attività sospette e migliorare le capacità di rilevamento degli endpoint per identificare software trojanizzato, come SumatraPDF.
Conclusioni
La capacità di rilevare e rispondere all'abuso dell'infrastruttura di fiducia entro 42 ore è fondamentale per prevenire attacchi di questo tipo. Le organizzazioni devono essere in grado di rilevare e rispondere rapidamente alle minacce per proteggere i propri sistemi e dati.