Un giovane hacker francofono ha compromesso una piccola azienda del settore automotive installando un keylogger e vari strumenti di accesso remoto. Quando il suo server di comando e controllo (C2) è stato disattivato, l’attaccante è comunque riuscito a rimanere dentro la rete grazie a una configurazione alternativa basata su OpenSSH e Tailscale, una VPN mesh che crea canali cifrati indipendenti dall’infrastruttura principale.

L’analisi di Cato Networks ha mostrato oltre 300 comandi eseguiti in un mese, rivelando un operatore inesperto ma determinato: uso di servizi gratuiti, script PowerShell e .NET, task pianificati con privilegi elevati e persino un keylogger Python molto semplice.

Il caso evidenzia come strumenti legittimi possano diventare vettori di persistenza. Per le aziende è fondamentale monitorare installazioni anomale di OpenSSH, processi legati a Tailscale, tunnel SSH non autorizzati e modifiche ai criteri di sospensione del sistema.

La lezione è chiara: bloccare un C2 non basta. Serve individuare i comportamenti che indicano un accesso nascosto e persistente.