Ricostruzione. L'accesso iniziale sarebbe passato da un prodotto di network management esposto, sfruttato pre-auth (ATT&CK T1190), con successivo movimento laterale verso gli apparati di routing via credenziali di servizio e impianto di web shell firmate (T1505.003). Attività orientata alla raccolta, non al sabotaggio: un attore allineato a uno Stato.
Dalla supply chain al routing: ricostruzione tecnica con IOC, mappa ATT&CK e indicatori resi pubblici.
Living-off-the-land, binari legittimi (LOLBins) e assenza di malware: perché il rilevamento fallisce.
Overlap di infrastruttura, riuso di codice, errori OPSEC e fusi orari di compilazione.
Root cause, versioni affette, indicatori e regola di detection per il gateway SSL-VPN.
Architettura a plugin, offuscamento, COM hijacking e C2: analisi con regola YARA.
Catena d'attacco dall'accesso iniziale alla cifratura, con IOC e contromisure.
Cosa cambia per TLS, firme e PKI quando RSA-2048 ed ECDH P-256 andranno in pensione. Migrazione a ML-KEM (Kyber) e ML-DSA (Dilithium).
Object lock, air-gap e 3-2-1-1-0: perché la resilienza del ripristino conta più della prevenzione.
Threat intelligence settimanale: le minacce che contano, filtrate dal rumore. CVE, campagne APT, TTP e detection. Niente clamore, solo ciò che serve sapere.