Il cybercrime si evolve e si adatta, integrando l’IA nel proprio arsenale: il report di ESET

Dic 17, 2025 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, RSS, Scenario 0

---

Il secondo semestre del 2025 ha segnato un punto di svolta fondamentale nella sicurezza informatica: l’ultimo report di ESET relativo alle minacce della seconda metà dell’anno ha evidenziato che le previsioni sull’uso dell’intelligenza artificiale per scopi malevoli sono passate da ipotesi a realtà. Al contempo, minacce consolidate come i ransomware e gli infostealer hanno sviluppato una resilienza e una capacità di adattamento sorprendenti, ridefinendo i confini del rischio digitale.

“Il malware co-generato dall’IA è qui” avvertono i ricercatori di ESET: nel report il team porta l’esempio di PromptLock, il primo ransomware noto capace di utilizzare LLM per generare script dannosi “al volo”. “Ciò che distingue PromptLock rispetto alle precedenti scoperte sulle minacce dell’IA è l’uso di un modello OpenAI, tramite l’API Ollama per generare script dannosi dinamicamente e poi eseguirli“. 

Il sistema genera infatti script Lua dinamici per scansionare il file system, esfiltrare dati o crittografarli in base alle istruzioni ricevute dall’IA. Poiché ogni output dell’IA è unico e non deterministico, la rilevazione basata su firme diventa estremamente complessa. 

Oltre a PromptLock, nel report ESET ha sottolineato la presenza di altri malware basati su IA; tra i più significativi ci sono PromptFlux, il quale riscrive il proprio codice per mantenere la persistenza, e QuietVault che usa l’IA per cercare secret nei sistemi compromessi.

Ma quanto impatta effettivamente l’intelligenza artificiale sulla generazione di malware? Se è vero che ancora questa tecnologia viene usata principalmente per migliorare attacchi di phishing, scam e social engineering, i malware basati su IA individuati da ESET nel suo report indicano che le nuove minacce “autogenerative” sono pronte a diffondersi sempre più velocemente. 

La crescita delle minacce NFC

Nel report si approfondiscono anche le minacce NFC: ESET riporta che questi attacchi hanno registrato un incremento dell’87% nel secondo semestre del 2025, evolvendosi verso una complessità tecnica senza precedenti. Il malware NGate, pioniere in questo campo, è stato aggiornato con funzionalità di furto dei contatti, probabilmente in preparazione a futuri attacchi relay e social engineering. 

NGate si è diffuso in particolare in Brasile, dove è stata individuata la variante PhantomCard. Questo malware viene distribuito attraverso siti web che imitano il Google Play Store, offrendo app fraudolente di autenticazione per le principali banche locali.

Tra i nuovi arrivati c’è RatOn, un ibrido che unisce capacità RAT ad attacchi relay NFC e sistemi di trasferimento automatico (ATS). RatOn è in grado di disabilitare la verifica biometrica sugli smartphone, permettendo ai cybercriminali di catturare i codici PIN e svuotare i conti correnti o i wallet di criptovalute delle vittime.

Il mercato degli infostealer non si ferma: i dati del report ESET

Nonostante le massicce operazioni internazionali di smantellamento condotte dalle forze dell’ordine a maggio 2025, il mercato degli infostealer ha dimostrato una notevole capacità di ripresa.

In particolare Lumma Stealer, pur avendo subito un duro colpo con la disattivazione dei suoi server C&C, è riuscito a riorganizzarsi due volte in soli sei mesi. I dati di telemetria raccolti da ESET indicano però che il suo periodo di massimo splendore potrebbe stare per finire: le rilevazioni sono crollate dell’86% nel secondo semestre rispetto ai primi sei mesi dell’anno.

Il “vuoto di potere” ha però permesso l’ascesa di infostealer concorrenti, tra i quali spicca Vidar. Secondo l’analisi della compagnia, il gruppo dietro il malware ha rilasciato un importante aggiornamento proprio per attirare nuovi affiliati in cerca di piattaforme più stabili. Parallelamente si è assistito all’esplosione di CloudEyE (noto anche come GuLoader), un downloader e cryptor la cui attività è aumentata di quasi trenta volte nel secondo semestre dell’anno. Distribuito principalmente tramite script PowerShell in campagne email che simulano fatture o ordini, CloudEyE si presenta come un apripista per ransomware o altri infostealer del calibro di Agent Tesla.

Truffe “Nomani” e deepfake

Un altro fenomeno di notevole interesse è quello delle truffe “HTML/Nomani”, scam di investimento che sfruttano profili falsi sui social media per ingannare le vittime a condividere dati personali e inviare denaro.

Già ampiamente diffuse nel 2024, queste truffe hanno raggiunto nuove vette di sofisticazione grazie a un massiccio impiego di deepfake ad alta risoluzione. Questi video utilizzano volti di personaggi famosi o politici per promuovere piattaforme di trading inesistenti; con gli ultimi miglioramenti tecnologici, i deepfake si presentano con movimenti più naturali e un audio perfettamente sincronizzato, rendendo quasi impossibile per l’utente medio distinguere il vero dal falso.

I cyberattaccanti, inoltre, hanno affinato le loro tattiche per aggirare i controlli delle piattaforme social, utilizzando campagne pubblicitarie lampo che durano solo poche ore e tecniche di cloaking per mostrare contenuti innocui ai revisori. In alcuni casi l’IA viene utilizzata per generare automaticamente il codice delle landing page. Nonostante un lieve calo delle rilevazioni verso la fine dell’anno, le truffe Nomani sono cresciute del 62% su base annua, confermando l’ingegneria sociale come uno dei campi di battaglia principali della difesa informatica moderna.

Report ESET: le vittime dei ransomware superano le cifre del 2024

Nel report di ESET c’è spazio anche per i ransomware: le campagne associate ai principali gruppi ransomware hanno incrementato il proprio numero di vittime, registrando una crescita annua del 40%.

Akira e Qilin dominano il mercato RaaS, mentre Warlock, un nuovo ransomware, sta utilizzando introduce tecniche di evasione che mettono sotto pressione i sistemi di difesa comportamentale. ESET ha inoltre individuato HybridPetya, un inedito derivato di Petya/NotPetya in grado di colpire sistemi UEFI-based moderni

Il report di ESET delinea un futuro in cui sia l’integrazione dell’IA nel cybercrime che l’evoluzione delle minacce “classiche” richiedono una difesa proattiva attraverso una sorveglianza tecnologica e umana costante.

---

• deepfake, ESET, infostealer, Intelligenza artificiale, NFC, report minacce

---

---