Allarmi, Botnet C2 ed Esposizioni Perimetrali, 13 Nov 2026
Il quadro completo di tutti gli indicatori monitorati in tempo reale dalla rete SecControl: dossier di attacco ransomware, server di comando e controllo botnet, violazioni e token esfiltrati nel Dark Web (TLP:AMBER), vulnerabilità critiche CISA KEV ed esposizioni perimetrali in chiaro RFC 959 (FTP 21).
Sintesi Operativa SOC & CTI
Rete Telemetrica Attiva
Telemetria SecControl attiva 24/7 su oltre 1.000 perimetri e infrastrutture aziendali: 493 violazioni e dump InfoStealer censiti nel Dark Web con mascheramento conforme a GDPR (Art. 32) e TLP:AMBER, 40 vulnerabilità note e sfruttate attivamente (CISA KEV) per conformità NIS2, 7 nodi di comando e controllo botnet (Lumma, Cobalt Strike, Mirai) costantemente tracciati, 150 esposizioni di rete non protette e 1012 incidenti verificati nel radar globale.
Telemetria unificata EASM, Dark Web & Threat Intelligence conforme a Direttiva NIS2 (D.Lgs 138/2024).Verifica Esposizione Dominio
Indicatori Globali Monitorati
1012incidenti in 2 paesi monitorati
Confermati
1012
Segnalati
15
Rivendicati
6
Vulnerabilità CISA KEV Monitorate
40
Violazioni nel Dark Web Tracciate
493
Credenziali InfoStealer Censite (TLP:AMBER)
661
Esposizioni Perimetrali Attive (RFC 959)
150
Server Botnet C2 Attivi
7
Paesi Coinvolti nella Rete
2
Aggiornamento Sensori SOC
09:42 UTC
Geolocalizzazione Allarmi, Botnet ed Esposizioni Monitorate1012 nodi georeferenziati
Quadro Situazionale & Telemetria Continua 24/7
Sensori SOC Attivi • Rete SecControl
I sensori distribuiti di SecControl sorvegliano costantemente l'ecosistema delle minacce cibernetiche: nodi di comando e controllo delle botnet attive (Lumma, Cobalt Strike, Mirai), credenziali e sessioni esfiltrate nel Dark Web con mascheramento riservato TLP:AMBER (GDPR Art. 32), vulnerabilità sfruttate in-the-wild (CISA KEV) ed esposizioni perimetrali in chiaro (RFC 959 FTP 21, DMARC missing).
Gravità:
Visualizzazione di 20 su 333 indicatori telemetrici
#1CRITICALBollettino Ufficiale SOCSOC ADVISORYGRADO A+ (95/100)
confirmed
Gli hacker sfruttano le vulnerabilità php2shell nei gateway di check point per distribuire la backdoor tsga e cancellare i file esxi
È stato osservato un attore di minacce sconosciuto che ha preso di mira i Check Point Security Gateway non aggiornati per ottenere l'accesso iniziale tramite le vulnerabilità PHP2Shell e, successivamente, un vulnerabilità di escalation dei privilegi locali precedentemente segnalato nel sistema operativo Gaia per distribuire una backdoor chiamata TSGA. L'attività, descritta in dettaglio da Check Point,...
Azione di Bonifica e Hardening Raccomandata:
Consultare l'analisi peritale completa, il trend situazionale e la remediation matrix NIS2.
#2CRITICALBollettino Ufficiale SOCSOC ADVISORYGRADO A+ (95/100)
confirmed
La polizia arresta 354 sospettati nell'ambito di una repressione della criminalità informatica nel dark web
Le autorità hanno arrestato 354 sospettati in un'operazione internazionale congiunta rivolta a venditori e acquirenti sui marketplace del dark web Archetyp, Nemesis, Tor2Door, Bohemia e Kingdom. [...]
Azione di Bonifica e Hardening Raccomandata:
Consultare l'analisi peritale completa, il trend situazionale e la remediation matrix NIS2.
#3CRITICALBollettino Ufficiale SOCSOC ADVISORYGRADO A+ (95/100)
confirmed
Attacco ransomware darkweb-syndicate: rivendicazione ed esfiltrazione dati contro company #216
Il gruppo cybercriminale DarkWeb-Syndicate ha pubblicato una rivendicazione estorsiva contro Company #216 (BW), minacciando la divulgazione di archivi riservati sul Dark Web.
Azione di Bonifica e Hardening Raccomandata:
Consultare l'analisi peritale completa, il trend situazionale e la remediation matrix NIS2.
#4CRITICALBollettino Ufficiale SOCSOC ADVISORYGRADO A+ (95/100)
confirmed
Gli hacker sfruttano la nuova vulnerabilità zero-day di n-central poche ore dopo la pubblicazione del poc
Soprannominata 4EverAble2Shell, la vulnerabilità potrebbe consentire ad aggressori remoti e non autenticati di eseguire codice con privilegi di root. L'articolo Gli hacker sfruttano la nuova vulnerabilità zero-day di N-central poche ore dopo la pubblicazione del PoC è comparso per la prima volta su SecurityWeek .
Azione di Bonifica e Hardening Raccomandata:
Consultare l'analisi peritale completa, il trend situazionale e la remediation matrix NIS2.
#5CRITICALBollettino Ufficiale SOCSOC ADVISORYGRADO A+ (95/100)
confirmed
Php2shell sfruttato negli attacchi distruttivi IA gateway check point
PHP2Shell ha consentito la compromissione iniziale, mentre CVE-2026-123039 ha permesso agli aggressori di elevare i privilegi a livello di root. L'articolo PHP2Shell sfruttato in attacchi distruttivi ai gateway Check Point è stato pubblicato per la prima volta su SecurityWeek .
Azione di Bonifica e Hardening Raccomandata:
Consultare l'analisi peritale completa, il trend situazionale e la remediation matrix NIS2.
#6CRITICALBollettino Ufficiale SOCSOC ADVISORYGRADO A+ (95/100)
confirmed
Gli hacker sfruttano le vulnerabilità di n-central per infettare 21 server, di cui 19 con hotfix 2
Giovedì N-able ha dichiarato di aver adottato ulteriori precauzioni a seguito della divulgazione pubblica di una nuova serie di vulnerabilità identificate come 4EverAble2Shell e Agent2Shell. "Stiamo limitando alcune funzionalità e integrazioni di N-central", ha dichiarato la società in un aggiornamento di giovedì. "Queste misure potrebbero influire su alcune fun...
Azione di Bonifica e Hardening Raccomandata:
Consultare l'analisi peritale completa, il trend situazionale e la remediation matrix NIS2.
185.220.101.5:8080 (Lumma Stealer) — C2 Server Attivo
Nodo C2 attivo per la botnet Lumma Stealer rilevato su porta 8080/TCP. Traffico di esfiltrazione e comando attivo. La telemetria indica nodi distribuiti con comunicazioni periodiche e ricezione di payload cifrati.
Azione di Bonifica e Hardening Raccomandata:
Configurare immediatamente una regola di DROP sui firewall perimetrali verso 185.220.101.5 e verificare nei log DNS aziendali l'assenza di richieste verso questo host.
194.26.29.112:443 (Cobalt Strike) — C2 Server Attivo
Nodo C2 attivo per la botnet Cobalt Strike rilevato su porta 443/TCP. Traffico di esfiltrazione e comando attivo. La telemetria indica nodi distribuiti con comunicazioni periodiche e ricezione di payload cifrati.
Azione di Bonifica e Hardening Raccomandata:
Configurare immediatamente una regola di DROP sui firewall perimetrali verso 194.26.29.112 e verificare nei log DNS aziendali l'assenza di richieste verso questo host.
45.142.214.88:80 (RedLine Stealer) — C2 Server Attivo
Nodo C2 attivo per la botnet RedLine Stealer rilevato su porta 80/TCP. Traffico di esfiltrazione e comando attivo. La telemetria indica nodi distribuiti con comunicazioni periodiche e ricezione di payload cifrati.
Azione di Bonifica e Hardening Raccomandata:
Configurare immediatamente una regola di DROP sui firewall perimetrali verso 45.142.214.88 e verificare nei log DNS aziendali l'assenza di richieste verso questo host.
91.92.241.103:4444 (Mirai Botnet) — C2 Server Attivo
Nodo C2 attivo per la botnet Mirai Botnet rilevato su porta 4444/TCP. Traffico di esfiltrazione e comando attivo. La telemetria indica nodi distribuiti con comunicazioni periodiche e ricezione di payload cifrati.
Azione di Bonifica e Hardening Raccomandata:
Configurare immediatamente una regola di DROP sui firewall perimetrali verso 91.92.241.103 e verificare nei log DNS aziendali l'assenza di richieste verso questo host.
193.106.191.16:8000 (Stealc C2) — C2 Server Attivo
Nodo C2 attivo per la botnet Stealc C2 rilevato su porta 8000/TCP. Traffico di esfiltrazione e comando attivo. La telemetria indica nodi distribuiti con comunicazioni periodiche e ricezione di payload cifrati.
Azione di Bonifica e Hardening Raccomandata:
Configurare immediatamente una regola di DROP sui firewall perimetrali verso 193.106.191.16 e verificare nei log DNS aziendali l'assenza di richieste verso questo host.
Nodo C2 attivo per la botnet QakBot C2 rilevato su porta 443/TCP. Traffico di esfiltrazione e comando attivo. La telemetria indica nodi distribuiti con comunicazioni periodiche e ricezione di payload cifrati.
Azione di Bonifica e Hardening Raccomandata:
Configurare immediatamente una regola di DROP sui firewall perimetrali verso 50.16.16.211 e verificare nei log DNS aziendali l'assenza di richieste verso questo host.
89.208.107.12:443 (DarkGate Loader) — C2 Server Attivo
Nodo C2 attivo per la botnet DarkGate Loader rilevato su porta 443/TCP. Traffico di esfiltrazione e comando attivo. La telemetria indica nodi distribuiti con comunicazioni periodiche e ricezione di payload cifrati.
Azione di Bonifica e Hardening Raccomandata:
Configurare immediatamente una regola di DROP sui firewall perimetrali verso 89.208.107.12 e verificare nei log DNS aziendali l'assenza di richieste verso questo host.
#14CRITICALDark Web Stealer LogTLP:AMBER • GDPRGRADO D (90/100)
claimed
Infezione InfoStealer / Dark Web: fratellimossini.it (Fratelli Mossini Srl)
4 credenziali e token di sessione esfiltrati identificati nei dump LummaC2 / Stealc Global Infostealer Logs. Rilevati cookie di autenticazione e credenziali browser. Trattamento riservato TLP:AMBER conforme a GDPR Art. 32.
Azione di Bonifica e Hardening Raccomandata:
Revocare immediatamente le sessioni attive SSO/VPN per il dominio fratellimossini.it, forzare il cambio password e sottoporre l'endpoint ad audit di bonifica.
#15CRITICALDark Web Stealer LogTLP:AMBER • GDPRGRADO D (90/100)
claimed
Infezione InfoStealer / Dark Web: bpcm.com (bpcm.com)
4 credenziali e token di sessione esfiltrati identificati nei dump RedLine Stealer Underground Marketplace Archive. Rilevati cookie di autenticazione e credenziali browser. Trattamento riservato TLP:AMBER conforme a GDPR Art. 32.
Azione di Bonifica e Hardening Raccomandata:
Revocare immediatamente le sessioni attive SSO/VPN per il dominio bpcm.com, forzare il cambio password e sottoporre l'endpoint ad audit di bonifica.
#16CRITICALDark Web Stealer LogTLP:AMBER • GDPRGRADO D (90/100)
claimed
Infezione InfoStealer / Dark Web: sumoteks.com (sumoteks.com)
4 credenziali e token di sessione esfiltrati identificati nei dump RedLine Stealer Underground Marketplace Archive. Rilevati cookie di autenticazione e credenziali browser. Trattamento riservato TLP:AMBER conforme a GDPR Art. 32.
Azione di Bonifica e Hardening Raccomandata:
Revocare immediatamente le sessioni attive SSO/VPN per il dominio sumoteks.com, forzare il cambio password e sottoporre l'endpoint ad audit di bonifica.
#17CRITICALDark Web Stealer LogTLP:AMBER • GDPRGRADO D (90/100)
claimed
Infezione InfoStealer / Dark Web: beton-system.it (Beton System Srl)
1 credenziali e token di sessione esfiltrati identificati nei dump LummaC2 / Stealc Global Infostealer Logs. Rilevati cookie di autenticazione e credenziali browser. Trattamento riservato TLP:AMBER conforme a GDPR Art. 32.
Azione di Bonifica e Hardening Raccomandata:
Revocare immediatamente le sessioni attive SSO/VPN per il dominio beton-system.it, forzare il cambio password e sottoporre l'endpoint ad audit di bonifica.
#18CRITICALDark Web Stealer LogTLP:AMBER • GDPRGRADO D (90/100)
claimed
Infezione InfoStealer / Dark Web: consorzio-casalasco.it (Cons. Casalasco Pomodoro)
2 credenziali e token di sessione esfiltrati identificati nei dump LummaC2 / Stealc Global Infostealer Logs. Rilevati cookie di autenticazione e credenziali browser. Trattamento riservato TLP:AMBER conforme a GDPR Art. 32.
Azione di Bonifica e Hardening Raccomandata:
Revocare immediatamente le sessioni attive SSO/VPN per il dominio consorzio-casalasco.it, forzare il cambio password e sottoporre l'endpoint ad audit di bonifica.
#19CRITICALDark Web Stealer LogTLP:AMBER • GDPRGRADO D (90/100)
claimed
Infezione InfoStealer / Dark Web: bonduelle-italia.it (Bonduelle Italia)
3 credenziali e token di sessione esfiltrati identificati nei dump LummaC2 / Stealc Global Infostealer Logs. Rilevati cookie di autenticazione e credenziali browser. Trattamento riservato TLP:AMBER conforme a GDPR Art. 32.
Azione di Bonifica e Hardening Raccomandata:
Revocare immediatamente le sessioni attive SSO/VPN per il dominio bonduelle-italia.it, forzare il cambio password e sottoporre l'endpoint ad audit di bonifica.
#20CRITICALDark Web Stealer LogTLP:AMBER • GDPRGRADO D (90/100)
claimed
Infezione InfoStealer / Dark Web: brianza-plastica.it (Brianza Plastica Srl)
1 credenziali e token di sessione esfiltrati identificati nei dump LummaC2 / Stealc Global Infostealer Logs. Rilevati cookie di autenticazione e credenziali browser. Trattamento riservato TLP:AMBER conforme a GDPR Art. 32.
Azione di Bonifica e Hardening Raccomandata:
Revocare immediatamente le sessioni attive SSO/VPN per il dominio brianza-plastica.it, forzare il cambio password e sottoporre l'endpoint ad audit di bonifica.