Nel complesso ecosistema della criminalità informatica industriale, sta emergendo una divisione del lavoro sempre più netta. Il gruppo SYLVANITE, identificato nel report Dragos “Year in Review 2026”, rappresenta perfettamente la figura dell’Initial Access Broker (Broker di Accesso Iniziale).

Mentre gruppi come AZURITE o VOLTZITE si occupano delle fasi operative e del furto di dati tecnici, SYLVANITE ha una missione specifica: trovare falle nei dispositivi perimetrali, occuparli e passare il controllo a gruppi con capacità di Stadio 2.

Chi è SYLVANITE e quali settori colpisce?

Attivo dal 2023, questo gruppo opera su scala globale colpendo infrastrutture critiche nei settori Elettrico, Idrico, Oil & Gas e Manifatturiero. Non sono “specialisti” di un processo fisico, ma sono maestri nello sfruttare le vulnerabilità dei dispositivi che dovrebbero proteggere il confine tra internet e l’azienda.

La tecnica: Sfruttamento “N-Day” ultra-rapido

La forza di SYLVANITE risiede nella velocità. Il gruppo monitora costantemente le pubblicazioni di vulnerabilità e i relativi codici “proof-of-concept” (POC). Non appena una falla diventa pubblica, SYLVANITE la utilizza per colpire dispositivi esposti prima ancora che le aziende abbiano il tempo di applicare le patch.

Tra i bersagli recenti identificati da Dragos figurano:

• Ivanti Connect Secure e EPMM: Sfruttati per ottenere varchi nelle reti di utility statunitensi.
• Gateway VPN e Router SOHO: Utilizzati per creare tunnel occulti verso l’interno della rete.
• Sistemi SAP: Colpiti per esfiltrare credenziali aziendali.

Il “Saccheggio” delle Identità

Una volta dentro, SYLVANITE non si ferma all’accesso tecnico. Il loro obiettivo primario è il furto di credenziali. Accedono ai database di backend per estrarre informazioni LDAP e token di Office 365. Queste chiavi digitali vengono poi “replayed” su altri sistemi interni, permettendo loro di muoversi lateralmente senza far scattare allarmi di “password spraying” o brute-force.

Cosa succede dopo? Il “Passaggio di Consegne”

Il rischio maggiore legato a SYLVANITE è la collaborazione. Dragos ha documentato casi in cui SYLVANITE, dopo aver stabilito la persistenza attraverso web shell avanzate (come Godzilla o LIGHTWIRE), ha ceduto l’accesso a VOLTZITE, un gruppo con capacità di manipolazione fisica degli impianti.

La strategia di Cybermatix: Chiudere i varchi prima che vengano mappati

Contro un avversario rapido come SYLVANITE, la difesa deve essere altrettanto tempestiva. In Cybermatix aiutiamo le aziende a:

• Monitoraggio costante dei dispositivi perimetrali: Identifichiamo i gateway vulnerabili o non aggiornati prima che diventino bersagli.
• MFA su ogni accesso remoto: Rendiamo inutile il furto di credenziali LDAP imponendo l’autenticazione a più fattori su ogni porta d’ingresso.
• Segmentazione OT/IT Rigida: Anche se SYLVANITE compromette il lato IT, impediamo il “salto” verso la produzione tramite architetture a compartimenti stagni.

L’accesso è la valuta dei criminali. Non lasciare che sia la tua azienda a pagarlo.