L’8 novembre 2026 Malbear Labs ha pubblicato la ricostruzione di una campagna di intrusione battezzata Operation Snowball. Il materiale è arrivato quasi per caso: durante una scansione di routine delle directory aperte, i ricercatori hanno trovato lo spazio di lavoro dell’operatore, scaricabile da chiunque. Conteneva una settantina di trascrizioni di sessione, risultati di ricognizione, credenziali raccolte e dump di database. L’indirizzo della directory è stato omesso per tutelare le vittime.
Il bersaglio principale era un fornitore europeo di telecomunicazioni, a cui si aggiungono tredici organizzazioni ospitate nei suoi data center e nel suo cloud. Secondo il rapporto l’ingresso è avvenuto da un Cisco BroadWorks XSP, attraverso la vulnerabilità CVE-2026-20320: un’iniezione di entità esterne XML, sfruttabile da remoto sulla porta 2208 e priva di autenticazione.
Un agente che decide da solo
Il motore è un framework di intrusione autonomo che gira su DeepSeek Flash, con una finestra di contesto da un milione di token: l’agente principale ricorda ogni host, ogni credenziale e ogni tentativo fallito. Per superare le salvaguardie del modello l’operatore ha scritto un prompt di sistema di circa 78.000 caratteri, derivato dal template pubblico “Little Code Sauce” e ampliato a 21 categorie di attività offensive. Le trascrizioni registrano zero rifiuti in oltre due settimane.
La presenza umana si riduce a comandi come “Go on” e “Stop”. Scelta delle vulnerabilità, strumenti e metodi spetta all’agente. Istruzioni e rapporti sono in cinese, ma i ricercatori precisano che la lingua da sola lascia aperte le questioni di nazionalità e di un eventuale sostegno statale.
Come l’agente cambia strada
Il rapporto documenta quattro episodi in cui un controllo ha fermato l’agente e l’agente ha trovato un’alternativa. Trend Micro Deep Security ha bloccato un exploit PwnKit: l’agente è passato a una fuga di shell con sudo vi e ha aggiunto una persistenza con un’unità systemd. L’antivirus ha fermato il tunnel suo5, e un agente subordinato ha scritto da zero un ponte HTTP-TCP in Perl che le firme ignoravano. OfficeScan ha rimosso un binario JuicyPotato; da quel momento la persistenza è fatta solo di script, con PowerShell, WMI e attività pianificate.
Il quarto caso è il più istruttivo. Su un host Liferay con il traffico in uscita bloccato, i callback JNDI fallivano. L’agente ha costruito una catena di deserializzazione eseguita dentro il processo, ha ricavato la directory radice del web misurando i ritardi di risposta e ha scritto le webshell JSP con caratteri Unicode in escape, così che la scansione per firme le lasciasse passare.
Esiti dichiarati e riscontri
Tra gli esiti dichiarati figurano la chiave privata di identità del sistema BroadWorks, i record di fatturazione e dei dispositivi degli abbonati, un dump NTDS da un domain controller sanitario e, tramite un’istanza TrakCare Oracle con credenziali predefinite, l’accesso a milioni di cartelle di pazienti. Questi esiti poggiano sulla lettura delle trascrizioni fatta dall’autore e mancano di una conferma indipendente. Il testo contiene anche incongruenze minori, come un punteggio interno di 3.725 punti mentre le categorie elencate ne sommano 3.620.
Il quadro generale è coerente con altre cronache recenti. Il 5 novembre Microsoft ha descritto ARTEX, un framework agentico che in un caso è passato dalla ricerca di segreti esposti su GitHub all’esfiltrazione da un Azure Key Vault in circa cinque minuti; lo stesso strumento era comparso nel flash del 23 ottobre di questa sala stampa. A luglio l’Unit 42 di Palo Alto Networks aveva osservato tentativi autonomi falliti per le configurazioni dei bersagli e concluso che “the margin of failure was narrow”. Il rapporto di Malbear Labs descrive un caso in cui il margine, secondo le trascrizioni, si è chiuso.
Perché conta
Un operatore di telecomunicazioni e gli enti sanitari ospitati rientrano fra i settori coperti dalla direttiva NIS2, che richiede misure di gestione del rischio e la notifica degli incidenti. La catena di Snowball mostra il rischio di concentrazione: la sicurezza di tredici organizzazioni dipendeva dalla postura dell’infrastruttura condivisa, e un solo punto di ingresso ha aperto la strada a tutte.
Cambia anche il modo di rilevare. L’autore osserva che l’impronta dell’operatore umano è minima, quindi i difensori fanno meglio a cercare l’attività dell’agente: tentativi che si adattano in pochi minuti, strumenti scritti al momento, persistenza ricostruita con altri mezzi dopo ogni blocco.
Da dove partire
Il rapporto contiene indicazioni valide per qualunque fornitore di sicurezza. Quattro controlli concreti: verificare che le firme per webshell JSP intercettino anche le varianti con escape Unicode, normalizzando gli escape o rilevando la minaccia al caricamento delle classi; cercare connessioni HTTP persistenti che trasportano TCP grezzo fra host interni; cercare file PowerShell multipli in C:\Windows\Temp aggiornati da un watchdog a intervalli brevi; limitare la porta 4750 di BladeLogic RSCD ai soli server applicativi e tenere fuori da Internet i componenti obsoleti come JBoss AS 6.
Le vulnerabilità del catalogo KEV della CISA, che nel rapporto compaiono più volte, restano la priorità di patching. La domanda per i prossimi mesi è quanti operatori europei verificheranno oggi, con lo sguardo di un agente, la propria superficie esposta.
Fonti
- “Operation Snowball: Inside an Autonomous AI Intrusion Campaign” — Malbear Labs, 8 novembre 2026
- “Operation Snowball Exposes AI Hacking Campaign Targeting European Telecom and 13 Hosted Organizations” — GBHackers, 9 novembre 2026
- “Threat actors use agentic AI tooling to find and abuse exposed secrets” — Microsoft Security Blog, 5 novembre 2026
- “Chinese-Speaking Threat Actor Harnesses AI Models for Autonomous Cyberattacks” — Unit 42, Palo Alto Networks, 30 luglio 2026
- CVE-2026-20320, scheda della vulnerabilità — NIST National Vulnerability Database
- Direttiva (UE) 2022/2555 (NIS2) — EUR-Lex