Qilin continua a rappresentare una minaccia per le piccole e medie imprese italiane.

Nuovo allarme del CSIRT Italia per l’aumento degli attacchi ransomware contro le piccole e medie imprese (PMI) riconducibili al gruppo Qilin. Dall’inizio del 2026 ad oggi, queste operazioni si sono moltiplicate e tra le aziende colpite figurano anche importanti fornitori di servizi cloud.

Le analisi degli incidenti evidenziano che l’accesso iniziale alle infrastrutture compromesse avviene prevalentemente attraverso due vettori.

In primo luogo, lo sfruttamento sistematico di vulnerabilità note su apparati perimetrali esposti a Internet (appliance MDM Ivanti e sistemi Fortinet). Dall’altra lato, si segna la compromissione di credenziali di accesso ai servizi VPN, ottenute mediante attacchi di brute force o tramite Initial Access Broker (IAB).

Le fasi di post-compromissione prevedono, infine, l’impiego di ransomware custom sviluppati in Rust. La loro progettazione serve specificamente “per compromettere infrastrutture di virtualizzazione VMware ESXi“. Il tutto, “in combinazione con l’uso di strumenti legittimi, malware commodity, tool open source e componenti personalizzati“.

Analisi delle Vulnerabilità

Lo sfruttamento delle vulnerabilità da parte degli affiliati di Qilin riflette una profonda conoscenza delle tecnologie di difesa perimetrale e dei sistemi di gestione dati. Di seguito le vulnerabilità nelle campagne analizzate:

• Ivanti Endpoint Manager Mobile (EPMM).
• Ivanti Endpoint Manager Mobile (EPMM).
• FortiOS e FortiProxy.
• FortiOS e FortiProxy.
• Veeam Backup & Replication.

Azioni di Mitigazione e raccomandazioni

Dallo studio dei vari casi, si evidenzia come si debbano aggiornare con continuità e tempismo gli edge device, in particolare i sistemi di protezione perimetrale e di gestione dei dispositivi mobili (MDM). Fondamentale, inoltre, la loro configurazione. Il motivo, sottolinea il CSIRT Italia, è che rappresentano la prima linea di difesa di una rete.

Al contempo, “i sistemi di virtualizzazione e le infrastrutture di backup rivestono un ruolo critico nel garantire la continuità dei servizi e le capacità di ripristino“. Conseguentemente, “la protezione di tali asset si configura come un requisito imprescindibile per assicurare la continuità operativa“.

Oltre alle raccomandazioni operative, il CSIRT afferma: “La mancata, parziale o ritardata implementazione di opportune contromisure non deve essere considerata come una consapevole accettazione del rischio. Al contrario, va vista come un significativo aumento della probabilità di compromissione dell’intera infrastruttura“.

Per approfondire

• Leggi il Bollettino completo “Qilin: campagne di sfruttamento sistematico e diffusione del ransomware sul territorio nazionale“.

Vai al sito di Cybersecurity Italia.

L'articolo Ransomware, l’allarme del CSIRT Italia: “Aumentano gli attacchi di Qilin contro le PMI”. Come proteggersi sembra essere il primo su CyberSecurity Italia.