Volt Typhoon ha smesso di guardare: ora cerca il pulsante di arresto

Per cinque anni Volt Typhoon ha fatto una cosa sola, e l'ha fatta benissimo: niente. Dentro alcune reti di infrastrutture critiche americane la CISA documenta accessi persistenti da "almeno cinque anni". Nessun ransomware, nessuna esfiltrazione di massa, nessun sabotaggio. Solo presenza. Il pre-posizionamento è la dottrina: entrare oggi per poter agire il giorno che qualcuno lo deciderà, altrove.

Nel 2026 quella disciplina si è incrinata — e l'ha fatto nella direzione peggiore.

L'origine

Volt Typhoon è attribuito allo stato cinese ed è tracciato dal 2021 sotto una collezione di nomi che dice molto sulla frammentazione del settore: BRONZE SILHOUETTE per Secureworks, Vanguard Panda per CrowdStrike, UNC3236 per Mandiant, Voltzite per Dragos, Insidious Taurus per Unit 42.

Il bersaglio è dichiarato e ripetuto: Comunicazioni, Energia, Trasporti, Acqua e acque reflue negli Stati Uniti e nei territori, Guam compresa — dettaglio geografico che nessun analista serio legge come casuale. Ci sono poi i servizi di emergenza, la base industriale della difesa, i servizi satellitari, e un'espansione verso Africa e Sud-Est asiatico.

Le porte d'ingresso storiche sono quelle di sempre: Fortinet, Ivanti/Pulse Secure, NETGEAR, Citrix, Cisco. Le CVE nominate nelle campagne precedenti — CVE-2024-39717 su Versa Director, CVE-2021-40539 su Zoho ManageEngine ADSelfService Plus — appartengono al passato dell'attore, non all'attività del 2026. Va detto chiaramente: per la fase 2026 nessuna fonte nomina una CVE specifica. Chi vi vende un IoC decisivo su questa campagna sta vendendo qualcosa che le fonti primarie non hanno.

La catena d'attacco

La novità strutturale sta a monte di tutto il resto, e Dragos la chiama SYLVANITE.

SYLVANITE non fa spionaggio OT. Fa accesso iniziale, e basta: sfrutta vulnerabilità su edge, VPN e firewall — pesando le weaponizza entro 48 ore dalla disclosure — spesso appoggiandosi a Cobalt Strike o Sliver. Poi cede l'accesso a Voltzite/Volt Typhoon, che esegue l'intrusione vera.

È una divisione del lavoro quasi aziendale, ricalcata sui modelli di initial access broker del cybercrimine finanziario e applicata allo spionaggio statale. Volt Typhoon diventa il cliente finale di una supply chain interna al proprio apparato. Le implicazioni difensive sono ruvide: la velocità di weaponizzazione non è più un vincolo dell'attore OT, è un servizio che compra da qualcun altro.

1. 01
   SYLVANITE

   fa accesso iniziale, e basta
2. 02
   Edge, VPN, firewall

   vulnerabilità weaponizzate entro 48 ore dalla disclosure
3. 03
   Cobalt Strike o Sliver

   gli strumenti su cui si appoggia
4. 04
   Cessione dell'accesso

   Volt Typhoon diventa il cliente finale
5. 05
   Voltzite

   esegue l'intrusione vera

Una dichiarazione di incertezza è d'obbligo, qui. Il cluster SYLVANITE come broker separato viene da una sola fonte vendor, Dragos, ed è corroborato solo indirettamente dalla pagina MITRE, che si limita a un prudente "reporting indicates". Questo è il pezzo più fragile del quadro. Il nucleo storico è invece granitico: AA23-144A e AA24-038A, firmate CISA, NSA e FBI.

Dopo la consegna dell'accesso, la sequenza è nota:

• Discovery con comandi nativi — net user, quser, net group /dom (T1087.001, T1087.002).
• Credenziali da OpenSSH, RealVNC, PuTTY, e — dettaglio che rivela il livello di mira — la cronologia del browser degli amministratori di rete (T1555.003). Non cercano password: cercano la mappa mentale di chi la rete la gestisce.
• vssadmin per le shadow copy, estrazione di ntds.dit e degli hive SYSTEM/SECURITY dai domain controller.
• Staging in archivi 7-Zip multi-volume protetti da password in C:\Windows\Temp\ (T1074).
• Persistenza via VPN legittime (T1133), C2 su VPS e server PRTG di terzi compromessi (T1583.003).
• Offuscamento attraverso la KV Botnet — router SOHO Cisco e NETGEAR end-of-life, campagna MITRE C0035 (T1584.008, T1090.003).
• Cancellazione selettiva dei log eventi di Windows. Selettiva: cancellare tutto è un allarme, cancellare le righe giuste è invisibile.

Poi arriva il 2026. Dragos osserva la manipolazione delle workstation di ingegneria per estrarre configurazioni e dati di allarme, con un obiettivo che le fonti descrivono senza giri di parole: capire quali condizioni fermano i processi industriali. Dragos la classifica come "Stage 2 capability".

Tradotto: non stanno più mappando la rete. Stanno studiando il pulsante di arresto.

Detection

• csvde.exe usato per esportare dati da Active Directory: strumento legittimo, contesto quasi mai legittimo.
• Volume Shadow Copy seguita da estrazione di NTDS.dit su un domain controller. Se lo vedete, è già tardi ma non troppo.
• Archivi 7-Zip multi-volume in C:\Windows\Temp\.
• Accessi VPN validi da geolocalizzazioni o orari incoerenti con l'utente.

Il problema di fondo è che l'uso pesante di living-off-the-land rende il rilevamento tradizionale strutturalmente inefficace. I dati Dragos 2026 lo quantificano brutalmente: il 56% dei penetration test ha eluso il rilevamento usando solo strumenti LOTL, e il 73% dei casi di incident response ha coinvolto credenziali VPN o jump host compromessi. Non c'è firma da scrivere. C'è solo comportamento da modellare.

Rimedi

• Hardening della superficie d'attacco sui dispositivi edge: sono la porta, sempre.
• Protezione delle credenziali — in particolare quelle degli amministratori, che sono l'obiettivo dichiarato.
• Limitazione dell'accesso remoto e segmentazione, con separazione reale tra IT e OT.
• Protezione degli asset cloud, logging esteso, threat modeling e training.
• Per il contesto americano, l'iniziativa CISA "CI Fortify" (maggio 2026) sposta l'accento su isolamento e recovery: presuppone cioè che l'intrusione sia già avvenuta. È l'ammissione più onesta contenuta in un documento ufficiale recente.

Cosa insegna

Un attore che si nasconde per cinque anni senza toccare nulla è un problema di intelligence. Un attore che comincia a testare cosa ferma un impianto è un problema di protezione civile.

Il salto dal pre-posizionamento passivo alla manipolazione attiva delle workstation di ingegneria cambia la natura della domanda difensiva. Per anni la domanda è stata: sono dentro? La risposta, statisticamente, è sì. La domanda del 2026 è un'altra, e molto meno confortevole: quanto sanno del nostro processo fisico, e cosa hanno già imparato su come fermarlo?

Nel frattempo l'apparato che li serve si è organizzato come un'azienda, con un reparto che procura gli accessi e un reparto che li usa. Noi difendiamo ancora per silos. Loro hanno scoperto la specializzazione prima di noi.