Se il 2025 ha segnato un punto di non ritorno nella Cybersecurity OT, il gruppo AZURITE ne è il simbolo perfetto. Identificato per la prima volta nel report Dragos “Year in Review 2026”, AZURITE non è il tipico gruppo ransomware che cerca un rapido guadagno. Il loro obiettivo è molto più strategico e silenzioso: il furto delle informazioni operative.

Chi è AZURITE?

Attivo dal 2021 ma balzato agli onori delle cronache nel corso dell’ultimo anno, AZURITE è un avversario di “Stadio 2” nel modello di attacco industriale. Questo significa che, una volta entrati nella rete, il loro obiettivo primario è la ricognizione profonda e l’esfiltrazione di dati tecnici sensibili.

Colpiscono prevalentemente i settori Manifatturiero, Automotive ed Energetico in Europa, Stati Uniti e Asia.

Il bersaglio preferito: La Engineering Workstation

Per AZURITE, il “Sacro Graal” della fabbrica è la Engineering Workstation (EWS). Accedendo al computer del progettista PLC, il gruppo non ruba semplici documenti d’ufficio, ma esfiltra:

• File di progetto PLC: Il codice sorgente che definisce come operano le macchine;
• Database degli allarmi: Le soglie critiche oltre le quali un impianto va in protezione;
• Informazioni di processo: Schemi e logiche che rivelano i segreti industriali della produzione.

La tattica “Living off the Land”

Ciò che rende AZURITE estremamente difficile da individuare è l’uso massiccio di tecniche Living off the Land (LotL). Invece di installare malware appariscenti che potrebbero far scattare gli antivirus, utilizzano i vostri stessi strumenti di amministrazione (come PowerShell o RDP) per muoversi lateralmente e rubare i dati.

Perché lo fanno? Dragos ritiene con alta confidenza che questo enorme furto di dati serva a preparare il terreno per future operazioni offensive. Una volta che l’attaccante ha una copia del vostro software PLC, può studiarlo comodamente offline per trovare il modo perfetto di sabotarlo in un secondo momento.

La risposta di Cybermatix

Il caso AZURITE dimostra che non basta proteggere il perimetro della fabbrica. Bisogna blindare ciò che sta dentro. In Cybermatix agiamo su tre livelli:

• Hardening delle EWS: Limitiamo e tracciamo ogni accesso alle workstation di ingegneria, rendendo vana la loro ricognizione.
• Monitoraggio delle Anomalie: Grazie ai nostri sistemi, identifichiamo se un utente sta esfiltrando file di progetto in orari o modi insoliti.
• MFA Obbligatoria: Implementiamo l’autenticazione a più fattori su ogni varco di accesso remoto, neutralizzando il metodo d’ingresso preferito di questo gruppo.

Non permettere che qualcuno porti via il “cervello” della tua fabbrica.