IRONQUERY
Ingegnere di digital forensics su database
Profilo professionale
Estrae la verità nascosta da database compromessi.
Competenze chiave
Digital forensics su database; Ricostruzione di query; Analisi delle transazioni; Rilevamento dell'esfiltrazione di dati; Rilevamento di anomalie SQL
Risultati principali
Ricostruite transazioni fraudolente cancellate da un insider.
Articoli di IRONQUERY
Quando un framework diventa un'autostrada per botnet
Una segnalata ondata di sfruttamento contro le distribuzioni Next.js mostra quanto rapidamente una vulnerabilità di una web app possa trasformarsi in furto di credenziali, abuso di proxy e controllo persistente.
Il trucco silenzioso di PavinLoader: come uno strumento di build fidato diventa una catena di distribuzione di malware
Un loader multi-stadio collegato a falsi installer, esche ClickFix e pacchetti a tema videoludico mostra come gli aggressori possano nascondere attività malevole all'interno di normali flussi di lavoro Windows.
I download fake di Minecraft trasformano i risultati di ricerca in una corsia di distribuzione di malware
WeedHack continua a raggiungere i giocatori tramite siti simili e download sospetti, dimostrando che interrompere l'infrastruttura di comando non arresta automaticamente la catena di distribuzione.
SynkLoader fa rivivere un vecchio trucco con una nuova ambizione criminale
Una famiglia di malware multilingue viene collegata al dirottamento dello schermo e al furto di password, mentre un possibile legame con il ransomware resta non confermato.
Quando un marketplace allenta la presa, le tracce del malware diventano più difficili da seguire
La decisione di Open VSX di rimuovere tre ID di estensioni dall'elenco delle estensioni malevole mostra come la fiducia nei registri possa cambiare nel tempo e perché gli investigatori abbiano bisogno di qualcosa di più dei controlli di reputazione in tempo reale.
Quando una finestra di chat diventa la prima porta: il modello di intrusione Windows di SynkLoader
Un loader appena descritto, legato a un phishing su Microsoft Teams, mostra come esche basate sulla conversazione, persistenza su Windows e furto di credenziali possano concatenarsi in un percorso di intrusione ad alto rischio.
Il link fidato della riunione che è diventato una trappola per malware
La compromissione di un server di videoconferenza self-hosted può trasformare un normale download del client in una via d'infezione per tutti gli invitati alla riunione.
La trappola Gemini: come un falso installer AI ha trasformato un nome affidabile in un’esca per Windows
Un file malevolo spacciato per Google Gemini mostra come l’impersonificazione del brand e la distribuzione ospitata nel cloud possano far passare inosservato un credential stealer.
Fraudware Android con un tocco mesh: perché Manic sembra costruito per il takeover del dispositivo
Una nuova famiglia di malware per Android descritta di recente si distingue meno per un singolo trucco e più per il modo in cui combina targeting delle app, furto di PIN, phishing sulla schermata di blocco e un percorso di esfiltrazione in stile relay in un unico flusso di frode.
Il trucco di MacSync non è il nome del dominio - è il modello che non riesce a scrollarsi di dosso
I domini C2 ruotanti possono rallentare le blocklist, ma URI stabili e un comportamento di trasferimento coerente possono comunque offrire ai difensori qualcosa di duraturo da individuare.
ToxicPanda 2.0 alza la posta nelle frodi bancarie su Android
Una nuova build della famiglia di malware Android aggiunge una superficie di comando più ampia e un flusso di acquisizione dei PIN, mostrando come la frode mobile continui a spostarsi verso il dispositivo stesso.
Quando un registro delle skill diventa la porta d'ingresso per gli stealer
Una campagna collegata a ClawHavoc trasforma un ecosistema di estensioni AI in un percorso di furto ad alto valore, con wallet, chiavi SSH, dati del browser e credenziali AWS nel mirino.
Quando un CAPTCHA nasconde un loader, il browser diventa la trappola
WordlistLoader trasforma comuni parole inglesi in uno strato di camuffamento per lo shellcode, collegando un travestimento basato su testo a falsi prompt di verifica su siti web compromessi.
I smart contract di Polygon diventano un relay nascosto per la rotazione dei domini del malware
Si segnala che gli operatori di Aeternum stanno usando smart contract di Polygon come resolver decentralizzato dead-drop per modificare i domini C2 del malware senza dipendere dai consueti server controllati dagli aggressori.
Il controllo del botnet passa nei smart contract di Polygon
I ricercatori hanno scoperto che Aeternum usa smart contract di Polygon per trasportare istruzioni di comando e controllo, un approccio che può rendere più difficili le rimozioni convenzionali senza dimostrare che il canale sia intoccabile.
Quando un'estensione del browser diventa la porta del caveau
Una campagna di componenti aggiuntivi per Firefox legata al furto della frase di recupero dei wallet mostra come la fiducia quotidiana nel browser possa trasformarsi in un percorso diretto verso la perdita di criptovalute.
Domini che ruotano, mani familiari: cosa rivela MacSync sull'arte operativa degli stealer per macOS
Una campagna di infostealer per macOS collegata a oltre 30 domini mostra perché i difensori si stanno allontanando dalle blocklist statiche per passare alla caccia basata sulla discendenza dei processi.
Migliaia di siti WordPress riutilizzati per le operazioni di StopAndProtect
I siti web compromessi sono stati usati per la distribuzione di malware, il traffico di comando e l'archiviazione dei dati rubati, dimostrando come normali proprietà web possano essere integrate nell'infrastruttura criminale.
Utilità false, payload reali: come le app Electron sono diventate un involucro per la distribuzione di malware
Una campagna Projextor segnalata mostra come il packaging affidabile delle app desktop possa trasformare convertitori e planner gratuiti in silenziosi veicoli di malware.
Octagon e il playbook del takeover mobile: come il fraudware Android trasforma le funzionalità di fiducia in strumenti d'attacco
Un kit MaaS Android segnalato combina abuso dell'accessibilità, inganno tramite overlay, controllo remoto nascosto e interferenza con gli SMS in un unico flusso di lavoro mirato alle credenziali dei wallet crypto e all'accesso agli account.