{"id":10348,"date":"2025-10-01T07:53:08","date_gmt":"2025-10-01T05:53:08","guid":{"rendered":"https:\/\/www.sitowebsicuro.com\/?p=10348"},"modified":"2025-10-01T07:58:33","modified_gmt":"2025-10-01T05:58:33","slug":"shadowv2-botnet-nuova-minaccia-ddos-che-sfrutta-docker-e-cloud","status":"publish","type":"post","link":"https:\/\/www.sitowebsicuro.com\/it\/shadowv2-botnet-nuova-minaccia-ddos-che-sfrutta-docker-e-cloud\/","title":{"rendered":"ShadowV2 botnet nuova minaccia DDoS che sfrutta Docker e cloud"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Nel panorama della cybersicurezza \u00e8 emersa una nuova minaccia: ShadowV2<\/strong>, una botnet offerta in modalit\u00e0 Malware-as-a-Service<\/em> (MaaS<\/strong>) progettata per lanciare attacchi DDoS <\/strong>avanzati. Secondo le prime analisi di Darktrace, intercettata a fine giugno 2025 tramite honeypot, ShadowV2 si distinguerebbe dalle campagne precedenti perch\u00e9 sfrutta container Docker esposti o configurati in modo insicuro<\/strong> su infrastrutture cloud (ad esempio istanze AWS) per costruire la propria rete di attacco. Questo approccio \u201ccloud-native\u201d la renderebbe pi\u00f9 difficile da contrastare rispetto alle botnet tradizionali.<\/p>

\"Che<\/p>

Cos\u2019\u00e8 ShadowV2<\/strong><\/h4>

ShadowV2 si presenta come una botnet modulare disponibile as-a-service<\/em>. Gli operatori possono gestirla attraverso API<\/strong> e pannelli di controllo, selezionando modalit\u00e0 di attacco e obiettivi in pochi click.<\/p>

Il malware, scritto in Go e Python, compromette server Docker<\/strong> accessibili tramite API non protette, installa container \u201chelper\u201d e distribuisce eseguibili ELF che trasformano le macchine infette in nodi della botnet. Questo modello abbassa la barriera d\u2019ingresso: anche attori non particolarmente esperti possono affittare potenza di fuoco per lanciare un DDoS su commissione.<\/p>

\"Botnet,<\/p>

Come attacca: tecniche e TTP<\/strong><\/h4>

ShadowV2 integra tecniche offensive gi\u00e0 note ma efficaci. Tra queste spicca l\u2019uso dell\u2019attacco HTTP\/2 Rapid Reset (CVE-2023-44487)<\/strong>, che sfrutta la gestione delle connessioni nel protocollo per saturare i server Layer 7 con richieste fasulle.<\/p>

Secondo le analisi, il malware sarebbe in grado anche di impiegare strumenti come ChromeDP<\/strong> per simulare la navigazione umana e provare ad aggirare protezioni come la modalit\u00e0 Under Attack<\/em> di Cloudflare, superando challenge JavaScript e ottenendo cookie di sessione legittimi. La catena d\u2019infezione appare modulare: un container Ubuntu helper prepara il terreno, mentre moduli aggiuntivi possono svolgere funzioni di ricognizione, persistenza e attacco coordinato sotto il controllo di un server C2.
Queste tecniche, gi\u00e0 di per s\u00e9 insidiose, diventano ancora pi\u00f9 difficili da contrastare quando il traffico parte da infrastrutture cloud legittime: ed \u00e8 qui che ShadowV2 mostra tutta la sua pericolosit\u00e0<\/p>

\"Perch\u00e9<\/p>

<\/figure>

Perch\u00e9 \u00e8 difficile da fermare<\/h4>

La particolarit\u00e0 di ShadowV2 \u00e8 che il traffico malevolo proviene da infrastrutture cloud legittime<\/strong>. Questo rende pi\u00f9 complesso distinguere il traffico ordinario da quello degli attacchi, aumentando il rischio di falsi positivi nei sistemi di filtraggio. Inoltre, la scalabilit\u00e0 offerta dall\u2019orchestrazione tramite API consente di lanciare campagne in tempi brevi e con grande flessibilit\u00e0. ShadowV2 rappresenta una minaccia in evoluzione: una botnet elastica e resiliente, con caratteristiche che la rendono pi\u00f9 insidiosa rispetto a modelli precedenti.<\/p>

\"Come<\/p>

<\/figure>

Come difendersi<\/h4>

Gli esperti raccomandano innanzitutto di:<\/p>