← Torna al blog

Briefing sicurezza, 6 maggio 2026: Quasar Linux, supply chain di DAEMON Tools, ricadute Instructure e furto di OTP con CloudZ

Il pattern di questa mattina è l’abuso della fiducia a ogni livello: workstation degli sviluppatori, installer firmati, esportazioni SaaS e ponti tra desktop e telefono sono diventati percorsi d’attacco appena i team hanno dato per sicuri gli strumenti familiari.

---

---

1. Quasar Linux trasforma gli ambienti di sviluppo in rampe per attacchi supply chain

Trend Micro afferma che l’impianto QLNX, finora non documentato, è progettato per una persistenza furtiva negli ambienti developer e DevOps che ruotano attorno a npm, PyPI, GitHub, AWS, Docker e Kubernetes. Il malware compila sul posto componenti rootkit e backdoor PAM, opera in modalità fileless, ripulisce le tracce e ruba proprio le credenziali più vicine alla catena di distribuzione software.

• Date priorità alle rilevazioni di chiavi developer rubate, token cloud e credenziali di pubblicazione dei pacchetti.
• Controllate workstation Linux e host vicini alla CI per persistenza sospetta tramite LD_PRELOAD, systemd, crontab e .bashrc.
• Assumete che la compromissione di un endpoint developer possa diventare compromissione cliente se l’accesso a firma o registry è esposto.

---

2. Il compromesso di DAEMON Tools dimostra che software firmato dal sito ufficiale non basta

Kaspersky ha trovato installer Windows trojanizzati di DAEMON Tools sul sito legittimo del vendor, firmati con i certificati reali dell’azienda. La catena compromessa distribuisce strumenti di profilazione host e una backdoor capace di eseguire comandi e payload in memoria, con migliaia di tentativi d’infezione ma un secondo stadio recapitato in modo selettivo.

• Identificate e isolate gli host Windows con DAEMON Tools 12.5.0.2421 fino a 12.5.0.2434.
• Rivedete traffico in uscita ed esecuzioni all’avvio legate a DTHelper.exe, DiscSoftBusServiceLite.exe e DTShellHlp.exe.
• Trattatelo come un fallimento dell’ancora di fiducia: binari firmati e download ufficiali richiedono comunque verifica comportamentale.

---

3. Le ricadute di Instructure stanno diventando un problema di data governance su scala tenant

BleepingComputer riporta che l’attore dietro l’incidente Instructure sostiene di aver rubato 280 milioni di record collegati a 8.809 scuole, università e piattaforme educative. Non è ancora tutto verificato in modo indipendente, ma la scala dichiarata basta già a imporre una revisione lato cliente, perché il percorso ipotizzato sfrutta funzioni legittime di export e API di Canvas invece di una distruzione evidente del servizio.

• Se la vostra organizzazione usa Canvas, partite da log di export, attività API e accessi anomali al reporting invece di aspettare una cronologia perfetta del fornitore.
• Preparate subito una comunicazione a livello di istituzione, perché l’incertezza corre più veloce dei fatti puliti negli ambienti educativi.
• Rivalutate se le piattaforme di apprendimento abbiano accesso troppo ampio per default a messaggi, dati di iscrizione e attributi identitari.

---

4. CloudZ mostra perché l’OTP via SMS crolla quando l’endpoint controlla il ponte

Cisco Talos afferma che un nuovo plugin CloudZ chiamato Pheno ruba SMS e notifiche degli authenticator abusando di Microsoft Phone Link su host Windows compromessi. L’attaccante non deve prendere pieno controllo del telefono se il desktop possiede già un percorso sincronizzato verso database dei messaggi e notifiche.

• Allontanate gli utenti sensibili dagli OTP via SMS e spingete chiavi hardware o autenticazione resistente al phishing.
• Cercate falsi aggiornamenti ScreenConnect, persistenza via attività pianificate e accessi insoliti ai dati SQLite di Phone Link.
• Ricordate ai responder che “telefono non compromesso” non significa più OTP sicuro se la workstation abbinata è compromessa.

---

Cosa dovrebbero fare oggi i team di sicurezza

1. Controllate prima endpoint developer e sistemi Linux vicini alla CI; il raggio d’impatto è più ampio di una sola macchina.
2. Passate al setaccio l’ambiente Windows per l’esposizione a DAEMON Tools e trattate ogni installer fidato come potenziale incidente se la firma del vendor è stata compromessa.
3. Chiedete ai fornitori edtech e SaaS evidenze specifiche per tenant, non linguaggio generico da incidente, soprattutto su export e accessi API.
4. Riducete la dipendenza dagli OTP via SMS e includete gli strumenti di sync desktop-mobile nel threat modeling dell’identità.

---

---

In sintesi: il rischio di oggi non sono soltanto zero-day esotici, ma sistemi familiari che hanno ereditato in silenzio troppa fiducia. La mossa giusta è verificare il percorso software, il percorso identità e il percorso sync prima che gli attaccanti monetizzino tutti e tre insieme.