KongTuke affitta accessi silenziosi ai ransomware crew
Mistic non è più un semplice backdoor opaco. Il punto vero è che ora si vede come parte di un pacchetto di accesso brokerato da Woodgnat/KongTuke, pensato per tenere una testa di ponte discreta, venderla e farla riusare prima ancora che inizi la cifratura.
Symantec e Carbon Black collegano Mistic, anche tracciato come MLTBackdoor, a Woodgnat/KongTuke e lo vedono operare insieme a ModeloRAT in intrusioni contro education, technology, insurance, professional services e financial services dal mese di aprile 2026. Il malware gira in memoria, non scrive file su disco e può cancellarsi da solo; questo lo rende difficile da trovare con scansioni basate sui file o con una verifica forense a posteriori.
Il rischio non è una singola infezione da eliminare, ma un accesso duraturo, poco visibile e trasferibile ad altri operatori. Se quel foothold è già presente, il problema può restare vivo anche dopo la rimozione degli artefatti più evidenti, pronto a essere rivenduto o riusato da un crew ransomware.