Spegnere l'antivirus è diventata la prima mossa: cosa dice il secondo trimestre del ransomware

Il minuto che avete comprato, e che non c'è più

Ogni investimento in rilevamento si basa su un'assunzione silenziosa: che fra il momento in cui l'attaccante fa qualcosa di anomalo e il momento in cui inizia a cifrare ci sia un intervallo. È in quell'intervallo che vive tutta la risposta agli incidenti: l'alert che parte, l'analista che guarda, l'host che viene isolato.

Il rapporto trimestrale di Halcyon, pubblicato il 27 luglio 2026, descrive un ecosistema che ha imparato ad attaccare esattamente quell'intervallo. La tecnica si chiama EDR-kill: spegnere o accecare gli strumenti di endpoint detection and response prima che parta la cifratura. Fino a poco tempo fa era considerata una capacità da specialisti. Adesso, scrivono gli analisti, è prassi standard fra i gruppi principali — e alcuni la incorporano direttamente nella catena d'attacco, come un passaggio previsto e non come un'improvvisazione.

I numeri del trimestre

La classifica per rivendicazioni: Qilin 293, The Gentlemen 214, DragonForce 143, Akira 119, LockBit 5.0 102. DragonForce e LockBit 5.0 hanno mostrato una ripresa di attività nel trimestre; The Gentlemen ha superato Qilin al primo posto nel mese di giugno. Fra i gruppi emergenti — o rientranti — il rapporto segnala KryBit, Payload, PEAR e World Leaks.

Il settore più colpito è il manifatturiero, con il 19,8% di tutti gli attacchi estorsivi, seguito da costruzioni, servizi alle imprese, retail e software. Non è una sorpresa: sono ambienti dove il fermo produzione ha un costo giornaliero calcolabile in modo immediato, il che rende la trattativa più corta.

Un dato che merita attenzione a parte: DragonForce e Akira, in alcuni attacchi, sono passati dalla prima violazione al rilascio del ransomware in meno di un'ora. Se questo è il ritmo, l'idea di una risposta manuale che parte al mattino dopo l'alert notturno non regge più.

The Gentlemen: il gruppo che studia gli altri gruppi

Il caso analizzato in dettaglio da Halcyon è quello di The Gentlemen, emerso di recente e diventato in fretta una delle minacce più prolifiche. Il punto interessante non è il volume, è il metodo di sviluppo.

Secondo il Ransomware Research Center di Halcyon, gli sviluppatori di The Gentlemen fanno reverse engineering sistematico di campioni di altri gruppi — Babuk, Qilin, LockBit 5.0, Medusa — per selezionare le routine di cifratura più solide, le tecniche di offuscamento del codice e i metodi di evasione dell'EDR migliori, e incorporarli nel proprio codice.

È un modello di sviluppo che chiunque lavori nel software riconoscerà: non si inventa, si integra il meglio disponibile. La conseguenza difensiva è scomoda. Una tecnica che funziona contro un gruppo non resta confinata a quel gruppo: viene copiata, e la finestra in cui una difesa è "nuova" si accorcia a ogni ciclo.

L'intelligenza artificiale, senza il marketing

Il rapporto dedica una sezione all'uso dell'IA, ed è utile leggerlo con precisione perché è un'area dove si esagera facilmente in entrambe le direzioni.

Quello che gli analisti descrivono è un passaggio dalla sperimentazione all'uso operativo: malware camuffato da strumenti di produttività basati su IA, assistenza alla negoziazione con le vittime, e quello che i ricercatori ritengono sia il primo ransomware agentico capace di condurre autonomamente alcune fasi chiave di un'intrusione. Viene citato in particolare EvilAI, sviluppato con l'aiuto di modelli linguistici e distribuito come finta applicazione di produttività IA, usato per fornire accesso iniziale.

Il rapporto segnala anche un altro fenomeno: attori legati allo Stato che mascherano campagne di spionaggio da operazioni criminali di ransomware. È una scelta razionale — il rumore del crimine comune copre bene l'intelligence — e rende l'attribuzione più fragile di quanto sembri dalla schermata di riscatto.

Le porte da cui entrano

Le vulnerabilità più sfruttate dai gruppi ransomware nel trimestre riguardano ancora una volta i dispositivi di frontiera: Citrix NetScaler ADC e Gateway (CVE-2025-5777), SonicWall SSL VPN (CVE-2024-40766), FortiOS (CVE-2024-55591).

Non sono falle nuove. Sono falle note, con patch disponibile, su apparati che stanno per definizione esposti su internet e che spesso non rientrano nei cicli di aggiornamento dei server perché "sono apparati di rete". Il perimetro continua a essere il punto d'ingresso preferito, e continua a esserlo per lo stesso motivo di due anni fa.

1. Accesso iniziale
   Dispositivo di frontiera non aggiornato, o credenziale VPN comprata.
2. Prima della cifratura
   EDR-kill: il rilevamento viene spento o accecato.
3. In alcuni casi <1 ora
   Da prima violazione a rilascio del ransomware.
4. Dopo
   Rivendicazione sul sito di leak, che è anche l'unica fonte di questi numeri.

Come vanno letti questi numeri, per davvero

Qui serve una precisazione che il rapporto stesso implica e che va detta esplicitamente: 1.988 sono attacchi rivendicati pubblicamente, cioè pubblicati dai gruppi sui propri siti di leak. Non è un censimento degli attacchi avvenuti.

Il che significa due cose. Le vittime che pagano rapidamente, in molti casi, non compaiono. E un calo del 5,7% non dimostra che gli attacchi siano diminuiti: può indicare una diminuzione, ma può anche riflettere un cambiamento nelle abitudini di pubblicazione o nelle percentuali di pagamento. Trattarlo come una buona notizia sarebbe una lettura ottimista di un dato che non la sostiene.

Cosa cambia per chi difende

Il commento che Halcyon mette in bocca ai propri specialisti è la sintesi migliore: la democratizzazione delle tecniche di EDR-kill e la generalizzazione dell'IA nella catena d'attacco significano che i difensori non possono più dare per scontato che i controlli tradizionali compreranno il tempo necessario a rispondere.

Tradotto in pratica, tre spostamenti concreti.

Trattate lo spegnimento dell'EDR come un incidente, non come un guasto. Un agente che smette di riportare non è un problema di manutenzione da guardare il lunedì: nel modello di attacco descritto qui, è il penultimo passo prima della cifratura. Serve un allarme sulla assenza di telemetria, non solo sulla telemetria sospetta.

Spostate peso sulle difese che l'attaccante non controlla dall'endpoint. Backup immutabili e separati dal dominio, log spediti fuori dall'host in tempo reale, segmentazione che limita la propagazione. Sono controlli che restano in piedi anche quando il rilevamento sull'endpoint è già stato zittito.

Chiudete il perimetro prima di tutto il resto. Le tre CVE più sfruttate del trimestre sono su apparati di frontiera con patch disponibile. È la parte meno interessante di questo dossier ed è, ancora, la parte che decide la maggioranza dei casi.

Nota sulle fonti: i numeri, le classifiche e le valutazioni qualitative in questo articolo provengono dal rapporto trimestrale di Halcyon e dalla sua ripresa giornalistica. Sono dati di un singolo fornitore, basati su rivendicazioni pubbliche degli attaccanti: descrivono una tendenza osservata, non una misura assoluta del fenomeno.