Gli EDR killer non sono più una curiosità riservata ai gruppi APT. In questo primo semestre del 2026, il CERT Santé francese documenta il loro utilizzo come fase preparatoria quasi sistematica prima del dispiegamento di carichi malevoli sui sistemi ospedalieri. ESET conferma la tendenza a livello globale con oltre cento varianti osservate in attacchi reali. Questo cambiamento modifica profondamente la catena di infezione e impone di ripensare la protezione dei terminali.
EDR killer: la neutralizzazione delle difese come prerequisito d’infezione
Lo schema classico di un attacco ransomware o di un trojan presumeva che il payload dovesse eludere l’antivirus o l’EDR. Ora osserviamo un’inversione di logica: l’attaccante disattiva l’EDR prima di dispiegare qualsiasi cosa. Il carico malevolo non ha più bisogno di essere furtivo poiché opera su una macchina la cui layer di rilevamento è stata rimossa.
Leggi anche : Scopri ricette golose e suggerimenti per esaltare la tua cucina ogni giorno
Le varianti degli EDR killer sfruttano driver Windows firmati ma vulnerabili (tecnica nota come Bring Your Own Vulnerable Driver). Il binario malevolo carica un driver legittimo, ottiene accesso al kernel e termina i processi dell’agente di sicurezza. L’operazione richiede pochi secondi e genera solo un evento di caricamento del driver nei log di sistema.
Per i team SOC, la soluzione passa attraverso il monitoraggio dei caricamenti di driver insoliti, il rafforzamento della politica di blocco dei driver vulnerabili tramite la WDAC (Windows Defender Application Control) e l’uso di agenti EDR dotati di meccanismi di autoprotezione a livello di kernel. Pubblicizziamo regolarmente su le notizie del sito Viruslab analisi tecniche di queste varianti non appena compaiono in condizioni reali.
Leggi anche : Scopri le ultime notizie e consigli sulla salute per prenderti cura di te
Ransomware multi-vettori: tre gruppi, tre metodi industrializzati
La tripla estorsione (cifratura, esfiltrazione, minaccia di negazione del servizio) è documentata da diversi anni. Ciò che cambia nel 2026 è l’industrializzazione delle catene di attacco da parte di gruppi strutturati che combinano sfruttamento di vulnerabilità zero-day, compromissione della supply chain software e dispiegamento coordinato su più filiali di una stessa azienda.
Si distinguono tre profili operativi:
- Gruppi che mirano agli editori di software aziendali per compromettere gli aggiornamenti e colpire centinaia di PMI a valle, senza interazione diretta con ogni vittima.
- Operatori che acquistano accessi iniziali su mercati specializzati, poi dispiegano un ransomware in meno di ventiquattro ore, riducendo la finestra di rilevamento a quasi zero.
- Affiliati che combinano phishing mirato e EDR killer per penetrare le reti aziendali del settore sanitario o industriale, dove la tolleranza all’interruzione del servizio è minima.
Il punto in comune: ogni gruppo investe nell’automazione. Gli strumenti di lateralizzazione, esfiltrazione e cifratura sono confezionati, versionati e distribuiti come prodotti software interni.
IA offensiva e deepfake: il phishing cambia scala
L’uso di modelli di linguaggio da parte degli attaccanti non si limita più alla generazione di email di phishing grammaticalmente corrette. Il rapporto Check Point Research AI Security 2026 documenta il passaggio dall’IA come assistente a l’IA come operatore attivo nella catena d’attacco.
In pratica, vediamo emergere campagne in cui un modello genera dinamicamente il contenuto dell’email in base al profilo LinkedIn della vittima, adatta la lingua e il registro, poi produce un file infetto il cui nome e aspetto corrispondono al settore di attività dell’azienda presa di mira. Il tasso di clic su queste campagne supera significativamente quello delle campagne di phishing classiche.
I deepfake vocali aggiungono un ulteriore livello. Casi documentati in azienda mostrano telefonate che imitano la voce di un dirigente per convalidare un bonifico o autorizzare l’installazione di un software di manutenzione remota. La combinazione di voce sintetica e email personalizzata dall’IA rende la rilevazione umana molto difficile.
Le contromisure tecniche includono l’autenticazione multifattoriale sulle convalide finanziarie, la verifica fuori banda (richiamo su un numero noto) e il dispiegamento di soluzioni di rilevamento di contenuti generati da IA sui gateway di messaggistica.
Minaccia quantistica e sovranità digitale: preparare la crittografia post-quantistica
La minaccia quantistica sulla cybersicurezza non è più un argomento teorico riservato ai laboratori. Le agenzie di sicurezza raccomandano alle aziende di iniziare subito l’inventario dei loro asset crittografici e la migrazione verso algoritmi post-quantistici.
Il rischio concreto ha un nome: « harvest now, decrypt later ». Attori statali stanno raccogliendo oggi flussi cifrati (dati sanitari, segreti industriali, comunicazioni diplomatiche) scommettendo sulla futura capacità di un computer quantistico di rompere RSA o le curve ellittiche. Per le aziende che gestiscono dati a lungo termine, la finestra di migrazione si riduce.
Gli standard NIST post-quantistici (ML-KEM, ML-DSA) sono stati pubblicati. La sfida per i CIO è identificare le dipendenze crittografiche nelle loro applicazioni aziendali, nei loro VPN, nei loro certificati TLS e nei loro sistemi di firma elettronica. Un audit di crypto-agilità consente di mappare i punti di attrito prima di pianificare la transizione.
Protezione delle PMI e lavoro da remoto: superfici d’attacco sempre sottovalutate
Le PMI rimangono le vittime privilegiate perché accumulano budget di sicurezza limitati e una superficie d’attacco ampliata dal lavoro da remoto. I dispositivi personali connessi alla rete aziendale tramite VPN costituiscono un vettore d’ingresso che le sole soluzioni cloud non coprono.
Le misure di protezione che fanno la differenza in questo segmento:
- Segmentare la rete per isolare i posti di lavoro da remoto dalle risorse critiche, anche su una rete piatta di piccole dimensioni.
- Dispiegare una soluzione EDR gestita piuttosto che un antivirus classico, verificando che integri una protezione anti-tampering resistente agli EDR killer documentati.
- Formare i collaboratori specificamente sulle campagne di phishing generate da IA, con esercizi di simulazione aggiornati ogni trimestre.
- Implementare un backup offline testato regolarmente, unica difesa affidabile contro un ransomware che ha neutralizzato l’EDR.
La gestione dei rischi digitali per le piccole strutture non passa attraverso l’accumulo di strumenti, ma attraverso la coerenza tra la politica di sicurezza e gli usi reali dei collaboratori. Un firewall mal configurato protegge meno di una macchina correttamente rinforzata con un EDR autoprotetto.