In breve

• La botnet RondoDox ora prende di mira i server tramite una falla critica (CVE-2025-24893) in XWiki, una popolare piattaforma wiki open-source.
• La vulnerabilità consente agli aggressori di eseguire codice malevolo da remoto, permettendo loro di assumere il pieno controllo dei sistemi colpiti.
• Individuata per la prima volta a luglio 2025, RondoDox si è rapidamente espansa, sfruttando decine di vulnerabilità software note.
• Questa exploit di XWiki consente agli attaccanti di distribuire malware, avviare miner di criptovalute o aprire backdoor segrete.
• Le agenzie di sicurezza raccomandano di applicare immediatamente le patch per evitare compromissioni; le versioni aggiornate di XWiki bloccano l’attacco.

L’Idra digitale: la rapida evoluzione di RondoDox

Immaginate un’idra digitale: ogni volta che i difensori tagliano una testa, ne crescono altre due. Questa è la storia di RondoDox, un malware botnet individuato per la prima volta a metà 2025, ora in rapida evoluzione. Le botnet-reti di computer compromessi-sono l’esercito dei cybercriminali, e RondoDox è uno dei reclutati in più rapida crescita, noto per sfruttare una miriade di vulnerabilità software per intrappolare nuove vittime.

L’ultimo trucco di RondoDox? Sfruttare una falla critica in XWiki, una piattaforma Java utilizzata da aziende e organizzazioni per gestire la conoscenza interna. La vulnerabilità, identificata come CVE-2025-24893, consente agli attaccanti di iniettare ed eseguire codice proprio sui server vulnerabili-come infilare una chiave falsa in una cassaforte apparentemente sicura. Nel giro di pochi giorni dalla divulgazione pubblica della falla, RondoDox stava già bussando alle porte digitali di tutto il mondo.

Come si svolge l’attacco

I ricercatori di sicurezza di VulnCheck hanno osservato RondoDox sfruttare la falla di XWiki tramite una subdola richiesta HTTP. Questa richiesta introduce un frammento di codice-codificato per eludere i controlli-nella funzione SolrSearch di XWiki. Una volta all’interno, il codice costringe il server a scaricare uno script malevolo, che a sua volta recupera il malware principale RondoDox. Gli attaccanti possono così installare miner di criptovalute, rubare dati o aprire backdoor segrete per futuri attacchi.

Non solo RondoDox: anche altri gruppi criminali, inclusi i cryptominer, si sono uniti alla corsa, sperando di trarre profitto dai server non aggiornati. Strumenti automatici scandagliano la rete alla ricerca di sistemi XWiki esposti, tentando di eseguire comandi come “cat /etc/passwd” (un classico trucco per elencare gli utenti su un sistema Unix) per verificare se un server è vulnerabile.

Déjà vu nel sottobosco cyber

Non è certo la prima volta che una botnet si avventa su una nuova falla software. Nel 2021, la botnet Mirai ha infettato centinaia di migliaia di dispositivi Internet of Things (IoT) usando tattiche simili. L’agilità di RondoDox-che passa da una vulnerabilità all’altra, a volte nel giro di pochi giorni-dimostra con quanta rapidità i cybercriminali colgano nuove opportunità.

La diffusione globale di piattaforme open-source come XWiki significa che organizzazioni di ogni dimensione, dalle piccole no-profit alle grandi aziende, sono a rischio. La Cybersecurity and Infrastructure Security Agency statunitense ha lanciato l’allarme, raccomandando di applicare immediatamente le patch. Gli esperti avvertono che finché i sistemi resteranno non aggiornati, la botnet continuerà a crescere, potenzialmente venendo affittata per campagne ancora più pericolose-dal furto di dati agli attacchi ransomware.

WIKICROOK

• Botnet: Una botnet è una rete di dispositivi infetti controllati da remoto da cybercriminali, spesso utilizzata per lanciare attacchi su larga scala o rubare dati sensibili.
• Remote Code Execution (RCE): La Remote Code Execution (RCE) si verifica quando un attaccante esegue codice proprio su un sistema vittima, spesso ottenendo il pieno controllo o la compromissione del sistema stesso.
• XWiki: XWiki è una piattaforma wiki open-source basata su Java che aiuta le organizzazioni a gestire e condividere conoscenza in modo collaborativo e sicuro.
• Cryptocurrency Miner: Un miner di criptovalute è un software o hardware che utilizza le risorse di un computer per generare monete digitali, talvolta di nascosto e a spese dell’utente.
• Patch: Una patch è un aggiornamento software rilasciato per correggere vulnerabilità di sicurezza o bug nei programmi, aiutando a proteggere i dispositivi dalle minacce informatiche e a migliorarne la stabilità.