Tre cluster, tre filosofie d’attacco, un solo bersaglio: le aziende russe. Un nuovo rapporto di Kaspersky mette in fila NightEagle, Hacking Cat e Toy Ghouls, gruppi che negli ultimi diciotto mesi hanno colpito server Exchange, controller di dominio e infrastrutture VMware con un arsenale che va dalle backdoor modulari ai wiper, fino a un dettaglio che ha attirato l’attenzione dei ricercatori più della crittografia usata: due dei tre gruppi hanno smesso di parlare con i classici server C2 e usano invece un broker MQTT commerciale e la messaggistica cifrata di Matrix per pilotare gli impianti. Un segnale di come il fronte offensivo contro la Federazione Russa si stia frammentando in attori sempre più specializzati, alcuni statali, altri ibridi tra hacktivismo e cybercrimine puro.

Il rapporto Kaspersky: tre cluster, tre agende diverse

Secondo l’analisi pubblicata dal team GReAT di Kaspersky, i tre cluster non condividono necessariamente un’unica regia, ma mostrano sovrapposizioni di strumenti e tecniche che suggeriscono uno scambio, quantomeno informale, di codice e competenze. Il quadro che emerge è quello di un ecosistema offensivo maturo: da un lato un attore di stampo più tradizionalmente cyberspionistico (NightEagle), dall’altro una costellazione di gruppi hacktivisti filo-ucraini con capacità distruttive crescenti (Hacking Cat, già raccontato su queste pagine con i suoi tool Gorilla RAT e Monkey Ransomware), e infine un gruppo a matrice finanziaria in rapida evoluzione tecnica (Toy Ghouls). Tutti e tre condividono lo stesso bersaglio primario: Microsoft Exchange e Active Directory, spina dorsale dell’IT enterprise russo.

NightEagle: cyberspionaggio via VPN compromesse

NightEagle (tracciato anche come APT-Q-95) è il cluster più vicino al profilo del cyberspionaggio classico. Attivo almeno dal 2023, il gruppo ottiene l’accesso iniziale attraverso credenziali VPN compromesse, spesso instradando il traffico attraverso Cloudflare WARP o provider europei per confondere l’attribuzione geografica. Una volta dentro, il tool principale è GhostContainer, una backdoor modulare per Microsoft Exchange capace di eseguire codice arbitrario e di reindirizzare il traffico creando un vero e proprio tunnel coperto sul server di posta compromesso. GhostContainer non nasce dal nulla: incorpora componenti open-source ben noti alla comunità difensiva, tra cui la web shell Neo-reGeorg e lo strumento di deserializzazione ysoserial, oltre a sfruttare la vulnerabilità CVE-2020-0688 per l’esecuzione di codice sul server di posta.

Per il movimento laterale, NightEagle si appoggia a Microsoft Dev Tunnels (un servizio legittimo di Microsoft, difficile da bloccare senza impattare workflow di sviluppo leciti) e al proxy rdp2tcp. Il salto di privilegio più rumoroso, e forse il dettaglio più sorprendente del rapporto, è il ricorso a CVE-2019-0708 — la storica BlueKeep — ancora efficace su segmenti di rete russi non aggiornati, combinato con attacchi DCSync contro Active Directory per esfiltrare hash di password direttamente dai controller di dominio. L’obiettivo finale non è la distruzione ma la persistenza silenziosa: mappare l’infrastruttura, raccogliere credenziali, restare inosservati il più a lungo possibile.

Toy Ghouls: da builder rubati a un backdoor che parla su Matrix

Se NightEagle rappresenta lo spionaggio paziente, Toy Ghouls (osservato anche sotto gli alias Bearlyfy, Laboo.boo e Feral Wolf) racconta una traiettoria opposta: quella di un gruppo a movente finanziario che, in appena un anno di attività, ha attraversato tre generazioni di malware. Kaspersky descrive un’evoluzione che parte dall’uso opportunistico di builder di ransomware trapelati online — le famiglie Babuk e LockBit, i cui codici sorgente circolano da anni sui forum criminali — passa per un ransomware personalizzato battezzato GenieLocker, e approda a luglio 2026 a Bird Agent, un impianto custom sviluppato internamente.

È qui che il rapporto diventa tecnicamente più interessante per chi si occupa di detection engineering. Bird Agent esiste in due varianti che condividono la logica ma cambiano canale di comando e controllo: mqtt-bird-agent usa come broker il servizio commerciale HiveMQ, mentre matrix-bird-agent instrada i comandi attraverso Element, il client di messaggistica cifrata basato sul protocollo Matrix. In entrambi i casi la configurazione dell’impianto viene cifrata usando il MachineGuid della macchina infetta come chiave, un dettaglio che lega il payload a quello specifico endpoint e complica l’analisi statica su sample isolati. La distribuzione avviene tipicamente via Windows Remote Management (WinRM), con esecuzione di PowerShell nascosta e persistenza garantita installando l’impianto come servizio Windows.

La scelta di MQTT e Matrix come canali C2 non è casuale: sono protocolli legittimi, ampiamente usati in ambito IoT e nella messaggistica aziendale, il cui traffico raramente finisce sotto la lente dei firewall applicativi configurati per bloccare i classici beacon HTTP/HTTPS verso infrastrutture sospette. È lo stesso principio del “living off trusted services” già visto con l’abuso di Telegram, Discord o Slack come canali C2, applicato questa volta a un broker di messaggistica IoT e a un client di chat cifrata pensato per attivisti e giornalisti.

Hacking Cat: il fronte hacktivista, in breve

Il terzo cluster, Hacking Cat, è quello di cui questo blog si è già occupato in un approfondimento dedicato a Gorilla RAT e Monkey Ransomware. Kaspersky conferma qui la collaborazione del gruppo con altre sigle dell’ecosistema hacktivista filo-ucraino, Cyber Anarchy Squad e Ukrainian Cyber Alliance su tutte, nella distribuzione dei wiper ClearWater e Nemo Wiper, oltre a una piattaforma ransomware-as-a-service condivisa chiamata ClearWater RaaS. Il vettore d’accesso resta la sfruttamento di vulnerabilità note su Exchange, tra cui CVE-2021-26855 (ProxyLogon) e la più recente CVE-2026-42897. Un dettaglio curioso riportato dai ricercatori: Hacking Cat ha pubblicamente smentito su Telegram la paternità di alcuni strumenti che Kaspersky gli attribuisce, un segnale della difficoltà crescente di attribuire con certezza campagne che condividono toolkit tra più collettivi.

Un ecosistema che condivide codice, forse anche sviluppatori

Il dato più rilevante dell’intero rapporto, dal punto di vista dell’intelligence sulle minacce, è la sovrapposizione tra i toolkit dei tre cluster: tecniche di offuscamento simili, riutilizzo di codice tra le varianti ransomware e persino incongruenze curiose, come funzioni scritte per ambienti Linux ma presenti in build pensate per Windows, o routine ridondanti tipiche di codice generato con l’assistenza di modelli linguistici. Kaspersky ipotizza che dietro più gruppi possa esserci un piccolo pool di sviluppatori condivisi, o quantomeno un mercato informale di codice sorgente che circola tra collettivi nominalmente distinti. È una dinamica che complica sensibilmente il lavoro di attribuzione e che riflette una tendenza più ampia osservata nel 2026: la linea tra APT statale, hacktivismo e cybercrimine finanziario si fa sempre più sottile quando tutti attingono agli stessi builder trapelati e alle stesse librerie open-source.

Due righe per i difensori

Per i team di detection, il rapporto Kaspersky offre indicazioni operative concrete. Primo: qualsiasi server Exchange esposto va sottoposto a controllo per le vulnerabilità storiche ancora citate come vettori attivi (CVE-2020-0688, CVE-2021-26855, CVE-2019-0708), un promemoria che il debito tecnico su infrastrutture di posta resta uno dei rischi più sottovalutati. Secondo: il traffico verso broker MQTT pubblici e verso Element/Matrix da endpoint aziendali che non hanno motivo di usarli merita una regola di alerting dedicata, specialmente se abbinato a esecuzione PowerShell anomala o creazione di nuovi servizi Windows. Terzo: il monitoraggio delle richieste DCSync verso i controller di dominio, spesso sottovalutato perché tecnicamente “legittimo” nel protocollo di replica di Active Directory, resta uno degli indicatori più affidabili di un attacco già in fase avanzata.

Indicatori e dettagli tecnici

Cluster: NightEagle (APT-Q-95)
- Accesso iniziale: credenziali VPN compromesse, uscita via Cloudflare WARP
- Backdoor: GhostContainer (Microsoft Exchange, tunneling coperto)
- Componenti riusati: Neo-reGeorg, ysoserial
- CVE sfruttate: CVE-2020-0688, CVE-2019-0708 (BlueKeep)
- Movimento laterale: Microsoft Dev Tunnels, rdp2tcp
- Tecnica AD: DCSync contro domain controller

Cluster: Toy Ghouls (alias: Bearlyfy, Laboo.boo, Feral Wolf)
- Evoluzione: builder Babuk/LockBit -> GenieLocker -> Bird Agent (lug. 2026)
- Varianti: mqtt-bird-agent 0.1.0 (C2 su broker HiveMQ)
             matrix-bird-agent 0.1.0 (C2 su Matrix/Element)
- Delivery: Windows Remote Management (WinRM)
- Persistenza: servizio Windows, config cifrata con MachineGuid
- Esecuzione: PowerShell nascosta

Cluster: Hacking Cat (collegamenti: Cyber Anarchy Squad, Ukrainian Cyber Alliance)
- Tool: Gorilla RAT, Monkey Ransomware (ChaCha20-Poly1305, AES-256-CBC)
- Wiper collegati: ClearWater, Nemo Wiper
- CVE sfruttate: CVE-2021-26855 (ProxyLogon), CVE-2026-42897

Fonte: Kaspersky GReAT, 17 settembre 2026

Il quadro tracciato da Kaspersky conferma una tendenza consolidata nel 2026: l’infrastruttura enterprise russa è oggi un campo di prova per tecniche offensive che, per specializzazione e sofisticazione, non hanno più molto da invidiare a quelle osservate contro obiettivi occidentali. Vale la pena tenerle d’occhio anche fuori dai confini russi: i canali C2 basati su MQTT e Matrix, in particolare, sono una tecnica esportabile che potremmo vedere replicata contro qualunque enterprise nei prossimi mesi.