I ricercatori di sicurezza hanno documentato una nuova backdoor, battezzata Mistic (tracciata anche come MLTBackdoor), impiegata in una serie di intrusioni a partire da aprile 2026. L'aspetto più rilevante non è tanto la sofisticazione tecnica del malware, quanto il ruolo che ricopre nella filiera del crimine informatico: Mistic è infatti collegata a un broker di accesso iniziale noto come KongTuke, una figura che vende ad altri criminali l'ingresso già pronto nelle reti delle vittime.

Come funziona

Mistic è progettata per garantire un accesso prolungato e a bassa visibilità, in modo da restare attiva il più a lungo possibile senza essere individuata. Per nascondersi sfrutta una tecnica di DLL sideloading: viene caricata attraverso un eseguibile legittimo, MpExtMs.exe, che a sua volta richiama una libreria malevola chiamata EndpointDlp.dll, costruita per imitare componenti di sicurezza endpoint di Microsoft. In questo modo il codice ostile si confonde con i processi di difesa del sistema, rendendo più difficile il riconoscimento da parte degli analisti.

Una volta installata, la backdoor offre le funzioni tipiche del controllo remoto: caricamento e scaricamento di file, manipolazione di file e cartelle, regolazione della frequenza con cui contatta il server di comando e controllo (C2) ed esecuzione in memoria di codice ricevuto dagli operatori. In almeno un'intrusione Mistic è stata trovata insieme a ModeloRAT, un trojan di accesso remoto scritto in Python.

Il modello del broker di accesso

KongTuke, conosciuto anche con i nomi 404 TDS, Woodgnat, TAG-124 e LandUpdate808, opera principalmente come initial access broker. Il suo obiettivo non è condurre direttamente l'attacco finale, ma stabilire un accesso solido e duraturo all'interno di un'azienda per poi rivenderlo, dietro compenso, ad affiliati ransomware e altri attori malevoli.

Questo modello rappresenta uno dei tratti distintivi del cybercrimine moderno, sempre più organizzato come una catena di servizi specializzati. KongTuke, in particolare, è stato associato alla vendita di accessi a numerosi gruppi ransomware, tra cui Qilin, Interlock, Rhysida, Akira, 8Base e Black Basta. Chi compromette la rete e chi poi la cifra per chiedere il riscatto sono quindi spesso soggetti distinti.

Chi è nel mirino

Il targeting appare opportunistico: le organizzazioni colpite spaziano dai settori assicurativo ed educativo all'informatica e ai servizi professionali. Questa varietà suggerisce che l'obiettivo dell'operatore non sia un settore specifico, ma semplicemente accumulare accessi aziendali rivendibili al miglior offerente.

Per difendersi da minacce di questo tipo non basta concentrarsi sul ransomware finale: occorre intercettare la compromissione iniziale. Diventano cruciali il monitoraggio dei comportamenti anomali, l'attenzione alle tecniche di sideloading di DLL che abusano di eseguiti firmati, la segmentazione delle reti per limitare i movimenti laterali e la verifica costante degli accessi privilegiati. Riconoscere e bloccare il broker prima che possa vendere la chiave d'ingresso è il modo più efficace per impedire che l'incidente si trasformi in un attacco ransomware su vasta scala.