Un gruppo di cyber spionaggio collegato alla Cina ha compromesso i computer portatili di alcuni dirigenti che partecipavano a una conferenza del settore agricolo sull’isola di Hainan, utilizzando una modalità di attacco che ha evitato completamente phishing, violazioni della rete aziendale e pagine di autenticazione contraffatte. Gli operatori hanno ottenuto accesso fisico ai laptop entrando nelle camere d’hotel mentre i proprietari erano a cena, hanno avviato i computer da un dispositivo USB e hanno scritto direttamente sulle unità di archiviazione la backdoor FlowCloud insieme al meccanismo necessario per attivarla al successivo avvio di Windows. L’attività, avvenuta tra marzo e maggio 2026, è stata attribuita da CrowdStrike a OVERCAST PANDA, gruppo state-sponsored orientato alla raccolta di intelligence e ritenuto attivo almeno dal 2019.
La ricostruzione temporale di una delle operazioni mostra un primo accesso a una camera intorno alle 20:00 e un secondo entro le 21:57. In entrambi i casi l’intruso ha potuto operare sul dispositivo mentre il legittimo utilizzatore era assente, installare il malware attraverso l’ambiente avviato dalla chiavetta USB, riavviare il computer e lasciare la stanza. Non è stato quindi necessario convincere la vittima ad aprire un allegato, collegare volontariamente una chiavetta sconosciuta o inserire credenziali. La compromissione iniziale è avvenuta prima che il normale sistema operativo fosse operativo e, di conseguenza, prima che molti dei normali controlli di sicurezza dell’endpoint potessero intervenire.
Al successivo utilizzo del laptop da parte del dirigente, un trigger persistente, compatibile con un meccanismo basato sul Registro di Windows o una tecnica equivalente, ha avviato FlowCloud dopo il caricamento del sistema operativo. A quel punto sono diventate operative le capacità della backdoor, comprendenti keylogging, acquisizione delle schermate, raccolta dei file e sottrazione delle credenziali. Il sensore Falcon di CrowdStrike ha potuto rilevare l’attività quando il processo malevolo è entrato in esecuzione, ma il malware e il relativo meccanismo di persistenza erano già stati scritti sul disco. La finestra critica dell’attacco coincide quindi con il periodo compreso tra la manipolazione fisica del dispositivo e il suo successivo avvio: durante quelle ore l’endpoint risulta già compromesso, mentre gli strumenti che dipendono dall’esecuzione del sistema operativo non dispongono ancora della visibilità necessaria.
FlowCloud non è un malware nuovo. La famiglia era stata documentata già nel 2020 in campagne nelle quali veniva distribuita tramite phishing contro utility statunitensi, mentre dal 2022 sono state osservate infezioni veicolate attraverso dispositivi USB presso filiali estere di organizzazioni giapponesi. OVERCAST PANDA è associato proprio all’impiego caratteristico di FlowCloud e dell’impianto LookBack e le sue operazioni sono orientate principalmente alla raccolta di informazioni. In questo caso cambia però il metodo di consegna: anziché affidarsi all’interazione dell’utente con un file presente su una chiavetta, gli operatori hanno avuto direttamente il controllo fisico del computer e lo hanno avviato dal supporto esterno.
La tecnica rientra nella categoria degli attacchi tradizionalmente definiti “evil maid attack”, nei quali un avversario manipola fisicamente un dispositivo lasciato incustodito. Il concetto è noto almeno dal 2009, quando venne dimostrata la possibilità di utilizzare un supporto avviabile per modificare un computer al quale l’attaccante aveva accesso fisico. La particolarità dell’operazione attribuita a OVERCAST PANDA consiste nell’integrazione di questa tecnica con un’operazione di intelligence organizzata: qualcuno entra nella camera del bersaglio, accede fisicamente al laptop e installa deliberatamente il malware senza dipendere da alcuna azione della vittima.
Gli attacchi di questo tipo rimangono poco frequenti rispetto alle normali intrusioni remote. CrowdStrike segue circa 290 avversari identificati e le operazioni basate sull’accesso fisico costituiscono una parte limitata del totale. Anche MUSTANG PANDA è stato associato a campagne basate su USB, ma in quel caso la strategia prevede normalmente che sia la vittima a trovare e collegare il supporto. L’operazione di OVERCAST PANDA elimina questo passaggio: il dispositivo viene utilizzato direttamente dall’operatore durante l’accesso alla stanza e il computer viene preparato affinché il codice malevolo entri in funzione quando il proprietario tornerà a utilizzarlo.
CrowdStrike ritiene che dietro OVERCAST PANDA possa trovarsi il Ministero della Sicurezza dello Stato cinese. Gli accessi alle camere potrebbero essere stati eseguiti direttamente da ufficiali o agenti dei servizi, da personale riconducibile al Ministero della Pubblica Sicurezza oppure anche da dipendenti dell’hotel persuasi, pagati o costretti a collaborare. Nella prima metà del 2026 è stato inoltre osservato un altro attacco contro un professionista dei media con sede negli Stati Uniti nel quale sarebbe stata utilizzata la stessa modalità operativa. La scelta di dirigenti presenti a una conferenza agricola viene ricondotta alle priorità di raccolta di intelligence associate ai programmi economici e strategici pluriennali cinesi.
Dal punto di vista tecnico, l’operazione mostra un limite strutturale della protezione endpoint basata esclusivamente sull’esecuzione del sistema operativo. Un EDR può analizzare processi, comportamenti e modifiche soltanto quando il sistema e il relativo agente sono operativi; l’autenticazione multifattore entra in gioco quando qualcuno tenta un’autenticazione; i sistemi contro il phishing intervengono su messaggi e collegamenti; gli strumenti per la sicurezza degli agenti AI presuppongono invece che sia in corso un’attività dell’agente. L’installazione effettuata avviando il computer da un supporto esterno si colloca sotto questi livelli e consente di modificare lo storage prima che l’ambiente normalmente monitorato sia disponibile.
Le misure capaci di ridurre questo rischio non richiedono necessariamente nuove piattaforme di sicurezza. La prima consiste nel disabilitare l’avvio da supporti esterni nella configurazione UEFI, impedendo al computer di eseguire un sistema operativo presente su una chiavetta USB. Una password amministrativa per BIOS o UEFI serve a impedire che un soggetto con accesso fisico possa semplicemente riabilitare questa possibilità. Anche il menu di boot temporaneo dovrebbe essere disabilitato o comunque protetto, perché consentirebbe di scegliere un dispositivo USB senza modificare permanentemente l’ordine di avvio configurato.
CrowdStrike dispone dal maggio 2019 di funzioni per il rilevamento degli attacchi al firmware e per l’audit delle impostazioni BIOS attraverso Falcon, compresa l’integrazione Dell SafeBIOS che porta nella console Falcon informazioni sulla verifica del BIOS. La possibilità di controllare centralmente determinate impostazioni di sicurezza dei computer esiste quindi da anni. Il problema evidenziato dal caso non è necessariamente l’assenza di una tecnologia difensiva, ma il fatto che configurazioni più restrittive sull’avvio e sull’accesso fisico vengono spesso evitate perché meno comode da amministrare e utilizzare.
Un’altra protezione determinante è la cifratura completa dell’unità accompagnata da autenticazione pre-boot. Una configurazione BitLocker basata esclusivamente sul TPM non offre lo stesso livello di protezione contro un avversario che dispone fisicamente della macchina. Dimostrazioni tecniche precedenti hanno mostrato la possibilità di recuperare materiale crittografico intercettando le comunicazioni hardware del TPM: nel 2021 ricercatori SCRT riuscirono a estrarre la Volume Master Key dal bus LPC utilizzando un modulo FPGA da 49 dollari, mentre nello stesso anno Dolos Group dimostrò un’operazione analoga attraverso SPI. Nel caso OVERCAST PANDA, la possibilità di scrivere FlowCloud e il relativo trigger sul volume Windows indica che gli operatori riuscirono comunque ad accedere in scrittura all’unità, compatibilmente con dispositivi non cifrati oppure con una protezione che era stata aggirata.
L’autenticazione pre-boot modifica questo scenario perché richiede un intervento umano prima che il volume cifrato diventi leggibile. Anche se l’avversario riesce ad avviare un proprio ambiente attraverso un supporto esterno, non può accedere automaticamente ai dati protetti senza il PIN o la chiave richiesta prima dell’avvio del sistema. Per i dispositivi esposti a un rischio elevato di accesso fisico, la distinzione tra cifratura trasparente basata unicamente sul TPM e una configurazione che introduce un’autenticazione precedente al caricamento di Windows diventa quindi sostanziale.
Secure Boot costituisce un ulteriore livello di protezione, ma da solo non elimina il problema. La funzione verifica le firme dei componenti utilizzati durante l’avvio e impedisce normalmente l’esecuzione di bootloader non autorizzati, senza tuttavia impedire necessariamente l’avvio da supporti esterni. Inoltre, nel luglio 2026 ESET ha documentato 11 vecchi bootloader UEFI shim, principalmente appartenenti alle versioni 0.9 e precedenti, che erano regolarmente firmati da Microsoft ma contenevano vulnerabilità in grado di consentire il bypass di Secure Boot. Un attaccante poteva portare con sé uno di questi componenti vulnerabili e utilizzarlo su sistemi UEFI che continuavano a considerare attendibile il certificato Microsoft Corporation UEFI CA 2011, indipendentemente dal sistema operativo normalmente installato sulla macchina.
Le vulnerabilità delle shim erano state comunicate al CERT/CC nel febbraio 2026 e Microsoft ha revocato i relativi binari attraverso l’aggiornamento della UEFI Forbidden Signature Database, o DBX, distribuito con il Patch Tuesday del 9 giugno 2026. Una macchina che non ha ricevuto correttamente l’aggiornamento della lista delle firme revocate può quindi continuare a considerare attendibili bootloader firmati in passato da Microsoft ma ormai riconosciuti come vulnerabili. L’aggiornamento della DBX va perciò affiancato al controllo di Secure Boot, alla disabilitazione del boot esterno e alla protezione delle impostazioni UEFI, anziché considerare l’attivazione di Secure Boot come una misura sufficiente da sola.
Per i dirigenti e il personale che viaggiano in Paesi o contesti considerati ad alto rischio, un’altra soluzione consiste nell’utilizzare dispositivi dedicati esclusivamente al viaggio. Questi computer non dovrebbero contenere credenziali persistenti per gli strumenti aziendali, configurazioni VPN permanenti o accessi diretti agli ambienti di produzione e possono essere ripristinati completamente al termine della trasferta. La protezione deve inoltre considerare che il rischio fisico non inizia necessariamente nella camera d’hotel: un dispositivo può essere trattenuto ai controlli di frontiera e il proprietario può essere obbligato a sbloccarlo. Anche la custodia del laptop nella cassaforte della camera non deve essere considerata equivalente a una protezione tecnica contro un soggetto che dispone dell’accesso e delle chiavi necessarie.
Il caso OVERCAST PANDA si inserisce in un panorama nel quale CrowdStrike registra contemporaneamente una forte crescita degli attacchi condotti attraverso reti, identità e infrastrutture cloud. Nel periodo analizzato, i rilevamenti generati da agenti AI sono aumentati a un ritmo 2,5 volte superiore rispetto a quelli originati da attività umane, mentre l’eCrime “cloud-conscious” è cresciuto del 171%. Le intrusioni tramite vishing sono raddoppiate nella prima metà del 2026 rispetto alla seconda metà del 2025 e SNARKY SPIDER è riuscito, in un caso, a passare dalla compromissione di un account all’esfiltrazione dei dati da applicazioni SaaS integrate con SSO in meno di cinque minuti.
Durante Fal.Con 2026 CrowdStrike ha presentato anche nuove tecnologie rivolte proprio alla protezione degli ambienti AI. SafeMind, annunciato insieme a Nvidia e basato sui modelli aperti Nemotron e sui dati di threat intelligence di CrowdStrike, è destinato alle attività agentiche di cybersecurity. Falcon Guardian costituisce invece il livello di runtime security per gli agenti AI sull’endpoint, mentre AI Gateway viene distribuito inizialmente come servizio hosted, con una successiva versione ibrida. È prevista anche l’integrazione di un modello SafeMind all’interno di Guardian per il rilevamento dei prompt malevoli.
La crescita delle vulnerabilità rappresenta un’altra componente del quadro. Nel solo giugno 2026 sono state registrate circa 7.400 CVE, il 96% in più rispetto allo stesso mese del 2025, e CrowdStrike dichiara di averne sottoposte circa 2.400 attraverso procedure di responsible disclosure, equivalenti a circa il 30% del totale registrato nel mese. Il 2026 Threat Hunting Report indica inoltre che gli avversari collegati alla Cina possono iniziare a sfruttare vulnerabilità critiche entro 24 ore dalla pubblicazione di un proof of concept efficace, mentre nell’88% dei casi osservati in presenza di un PoC lo sfruttamento è avvenuto entro 48 ore.
Gli attacchi fisici come quello condotto nelle camere d’hotel non possiedono tuttavia la stessa scalabilità delle campagne eseguite attraverso Internet. Un operatore deve raggiungere concretamente ogni dispositivo e può compromettere soltanto un numero limitato di bersagli. Per questo CrowdStrike considera, su scala aziendale generale, più preoccupanti operazioni come quelle di REVENANT SPIDER, capace di utilizzare l’intelligenza artificiale per compromettere 17 vittime con web shell personalizzate nell’arco di 48 minuti. L’accesso fisico rimane però particolarmente efficace quando il bersaglio è selezionato individualmente e possiede informazioni di elevato valore, proprio perché consente di operare in una fase nella quale gran parte dell’infrastruttura di cybersecurity aziendale non è ancora attiva.
La protezione dei laptop destinati a conferenze internazionali richiede quindi di estendere la sicurezza oltre il normale runtime del sistema operativo. Verificare che il boot USB sia realmente disabilitato, bloccare le modifiche UEFI con credenziali amministrative, eliminare i menu di override non protetti, mantenere aggiornata la DBX di Secure Boot, utilizzare cifratura completa con autenticazione pre-boot e assegnare dispositivi dedicati alle trasferte riduce precisamente il tipo di superficie sfruttata da OVERCAST PANDA. Il punto debole emerso nell’operazione non era un sofisticato exploit eseguito attraverso la rete, ma la possibilità di avere per alcune ore accesso fisico indisturbato a computer che continuavano a consentire operazioni di avvio e modifica dello storage prima che i controlli endpoint potessero entrare in funzione.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)