Forenser

Grazie anche ai contributi di chi è stato infettato, il team ha evidenziato collegamenti tra il malware e le recenti clonazioni di account su - con nuove segnalazioni su - che da maggio 2026 a ondate hanno colpito l'Italia e diversi altri paesi.

Vero che l'effetto delle infezioni rilevate è la "banale" dei richiesti ai propri contatti, ma pare che dietro ci sia molto di più e che la frode sia solo la punta dell'iceberg.

Ricordiamo che Coruna infetta semplicemente tramite una visita su un sito web compromesso, l'utente non deve scaricare o installare alcunché perché l'infezione è , è sufficiente navigare sulla pagina che contiene l' con il che permette la Remote Code Ex*****on ( )

Nato originariamente in ambienti di sorveglianza statale, il toolkit Coruna è finito sul mercato nero ed è stato utilizzato da gruppi cybercriminali per distribuire un in grado di sottrarre credenziali e esfiltrare dati dagli smartphone infetti ma pare che ci possano essere legami anche con la compromissione e l'accesso abusivo ad account Whatsapp.

Le analisi stanno proseguendo e abbiamo ancora bisogno di sample di dispositivi infetti, non facili da trovare dato che tipicamente le vittime resettano gli iPhone allo stato di fabbrica... confidiamo in ogni caso di poter pubblicare qualcosa di più preciso nelle prossime settimane.

In contemporanea all'ondata italiana di attacchi su per ne stiamo rilevando anche in altri paesi, in primis la vicina , dove alcuni ricercatori ci hanno contattato per valutare le similitudini tra i casi d'infezione.

A leggere gli articoli che stanno uscendo sui loro media, direi che sono identici ai nostri: "Gli episodi analizzati sono stati registrati su alcuni modelli di iPhone con versioni obsolete di , nello specifico iOS versione 16.7.12 e precedenti." e "questo tipo di attacco informatico, noto come " ", è particolarmente rilevante perché si verifica senza che la vittima debba cliccare su un link, scansionare un codice QR, fornire in anticipo un codice di verifica o compiere consapevolmente alcuna azione per collegare un nuovo dispositivo all'applicazione."

Stiamo seguendo anche altri paesi colpiti dallo stesso attacco e a breve aggiorneremo anche chi ci segue, intanto qui si può leggere l'articolo sui 50 casi rilevati a Isla Cristina in Spagna: https://isla-cristina.com/la-guardia-civil-alerta-en-huelva-de-50-casos-de-fraudes-a-traves-de-whatsapp-que-afecta-a-usuarios-de-iphone/

E se il " di " - un pdf con due immagini sovrapposte ma l'utente ne vede solo una in base al programma che usa - venisse passato nel prompt a una ? 🤔

DDay.it - Digital Day analizza le implicazioni di questa anomalia ampliandone la portata fino alla , mostrando come un pdf che sfrutta l'interpretazione di / del renderer diffuso principalmente su Apple potrebbe causare danni.

L'utente infatti vedrebbe un testo (di cui ad esempio può chiedere all' un riassunto, valutazione o analisi) mentre l'AI ne può vedere e interpretare un altro, magari con istruzioni malevole.

Ringraziamo Sergio Donato e la redazione per l'ottimo articolo, che dimostra non solo di aver compreso pienamente il problema che abbiamo rilevato ma di averlo anche approfondito al punto da studiarne - e sperimentarne - ulteriori possibili applicazioni anche in ambito d' .

Link all'articolo integrale nel primo commento.

Per gli che ci seguono, un attimo di attenzione potrebbe evitare fastidiosi guai: abbiamo rilevato una nuova campagna di che si propaga tra studi legali e mira a sottrarre password e dati. ⚖️

Se ricevete una mail da un collega con una richiesta di visionare documenti che NON sono allegati al messaggio ma vanno scaricati da un presunto cloud, per il quale viene fornita anche una password di download, ignorate la mail e avvertite il mittente.

Procedendo oltre vi verrebbe infatti richiesto di autenticarvi sul vostro account Microsoft/Google per poter scaricare il documento allegato e, ovviamente, il fine di tutto è accedere alla vostra casella di posta, acquisire i dati e inviare lo stesso messaggio ai vostri contatti.

Contatti che poi potrebbero anche prendersela con voi se - a causa del "vostro" messaggio che non sarebbe inviato tramite spoofing, provenendo proprio dalla vostra mailbox - la loro casella di posta venisse compromessa e dovessero quindi dichiarare un .

Tutto inizia con un messaggio che sembra partito dalla , che segnala un ordine di pagamento con le indicazioni per bloccare la disposizione.

Arriva poi la chiamata dei truffatori che si fingono operatori della banca e invitano la vittima a compiere alcune operazioni di home banking con il telefonino.

Poi interviene secondo truffatore che si spaccia per comandante dei Carabinieri invitando la vittima a presentarsi in Caserma.

Al termine della la vittima perde oltre 11.000 euro, si rivolge all' che riconosce la banca parzialmente responsabile per circa 5.000 euro, perché per una parte dei fondi avrebbe dovuto segnalare tempestivamente alla cliente che era cambiato il numero di cellulare da cui si accedeva al suo conto, o quanto meno compiere una verifica aggiuntiva, mentre per l'altra parte la responsabilità è stata assegnata alla correntista.

Riceviamo quasi ogni giorno richieste di supporto per casi come questo, alcuni hanno componenti tecniche di rilievo oltre al semplice raggiro telefonico e possono richiedere una per supportare la richiesta presso l' o una causa civile.

Al primo commento il link alla decisione ABF relativa alla vicenda di cui parla l'articolo del Giornale di Vicenza.

Quando un o un manifesta un’anomalia, il momento in cui vengono raccolti i log può fare la differenza.

Il è uno degli strumenti più utili nelle attività di assistenza tecnica, incident response e analisi forense.

Nell’articolo qui sotto vengono spiegati:

• come generarlo tramite i pulsanti fisici o AssistiveTouch;
• dove recuperarlo nelle impostazioni di e iPadOS;
• come trasferirlo in sicurezza.

Un aspetto fondamentale: il sysdiagnose va generato il prima possibile dopo l’anomalia, perché la finestra utile dei log è limitata.

Inoltre, non è un semplice backup. Può contenere identificativi del dispositivo, informazioni sulle reti Wi-Fi, dispositivi Bluetooth, applicazioni, processi e altri dati sensibili. Per questo deve essere condiviso esclusivamente con destinatari noti e attraverso canali sicuri.

Link alla guida Forenser su come generare, estrarre e condividere i log diagnostici Apple di e per la ricerca di o nel primo commento.

Non sempre la "truffa dei like" - anche nota come " " - rimane impunita perché, purtroppo, è sempre più difficile arrivare ai truffatori, spesso nascosti dietro , transazioni e .

La Polizia di Stato, attraverso la Sezione Operativa del Centro Operativo per la Sicurezza Cibernetica della Polizia Postale per il Veneto, ha portato avanti una operazione coordinata dalla Procura della Repubblica di Venezia che ha portato all’esecuzione di sette decreti di perquisizione e a sequestri mirati su scala nazionale.

Facciamo i complimenti alle FFOO e all'Autorità Giudiziaria per non essersi arresi a un fenomeno sempre più ampio ma che spesso rimane senza indagati, che inizia con un contatto via Telegram o Whatsapp e finisce con le vittime che vengono convinte a svuotare i loro conti correnti.

Continuiamo il racconto della catena checkm8-like su A12 iniziato pochi giorni fa. Se lo stadio uno - l'exploit che porta il dispositivo in - è la porta d'ingresso, questo passaggio è la stanza successiva: il boot di un ramdisk SSH controllato dall'operatore, con sessione root aperta sul dispositivo e filesystem montati.

Cosa abbiamo fatto:
⚙️ Costruito e verificato l'intero bootchain firmato con IM4M generico A12: patchato in due punti, kernel patchato con le due patch AMFI + debugger del "Leeksov finder", ramdisk custom con dropbear iniettato, DeviceTree, trustcache e firmware dei coprocessori estratti dall'IPSW ufficiale Apple 18.7.9 (build 22H355). Per la costruzione del bootchain ci siamo basati sul progetto open source ICH_A12_plus_Ramdisk di Pa7r0n, che automatizza la fase di build per A12/A13 e iOS 17-27;

🚀 Boot completo tethered dell'iPhone XS con l'iBoot patchato e il kernel patchato, senza modifiche persistenti alla memoria flash del dispositivo (al primo reboot il device torna esattamente alla condizione di partenza);

💻 Sessione aperta come , filesystem montati via mount_ich, verifica della struttura dei volumi (System sealed, Data con flag protect, Preboot, xART) e conferma che Data Protection è attiva at rest come da specifica Apple.

Cosa possiamo ottenere adesso:
📊 Nella configurazione attuale la nostra postazione è in grado di eseguire un'acquisizione (Before First Unlock) del dispositivo: file di classe D leggibili in chiaro - struttura del sistema, log, database diagnostici, cache condivise e alcuni database applicativi non protetti - copiabili bit-a-bit via SSH.

È lo stesso livello di accesso che gli strumenti commerciali di acquisizione full file system offrono in modalità BFU: risultato utile per una parte rilevante dei casi reali (dati di sistema, log applicativi, artefatti di rete, ricostruzione di sequenze temporali).

Cosa non escludiamo - dialogo con il Secure Enclave:
🛡️ L'accesso ai file di classe A, B e C (database delle app di terze parti, attachment, keychain) richiede la comunicazione con il Secure Enclave dal kernel patchato via IOKit AppleSEPKeyStore, fornendo la password del dispositivo - quando questa è nota all'operatore per legittimo consenso del titolare o autorizzazione del collegio giudicante.

Non è una capacità che possediamo oggi in laboratorio, ma non è ricerca esplorativa: è ingegneria mirata sopra una base già consolidata, con margine di tuning ragionevole. Il progetto pubblico usbliter8-fun documenta una catena end-to-end funzionante su iPhone 11 Pro con iOS 27 beta che include il dialogo con il e il boot del sistema completo: conferma pratica che l'approccio è consolidato.

Continueremo a documentare le attività svolte in laboratorio e vi segnaliamo che nel primo commento potete trovare l'analisi tecnica completa sul nostro sito.

Cosa non si può fare con un vecchio Raspberry Pi e un po' d'impegno? 😅

Il team Forenser ha completato con successo la prima porta di della catena di exploit su un iPhone XS di test, utilizzando un Pi Pico di prima generazione, che la documentazione originale - da ieri scomparsa dal web e da - segnalava come instabile.

Tutti i dettagli dei test effettuati e dei risultati ottenuti nel post e sul sito web al primo commento, ma è solo l'inizio: ci sono ancora altri stage da verificare e le prospettive paiono molto interessanti.

Da ieri è possibile prenotare gli su anche per le attività commerciali, noi abbiamo riservato in modo che i clienti possano contattarci direttamente anche tramite WhatsApp: voi avete riservato il vostro?

Prenotare un nome utente su Whatsapp è molto semplice, è sufficiente aprire l'App Whatsapp o Whatsapp Business, selezionare "Impostazioni" -> "Account" -> "Nome Utente" e inserire il nome prescelto.

Se disponibile sarà subito confermato, altrimenti potrebbe essere necessario collegare l'account Whatsapp a o , se il nome è già stato registrato su una delle due piattaforme.