Ne abbiamo parlato più volte, e ogni volta sembra l’ennesimo capitolo di una storia che non finisce. Ma con Salt Typhoon la parola «ennesimo» è quasi fuorviante, perché lascia immaginare attacchi separati, episodi distinti con un inizio e una fine. Qui invece si parla di qualcosa di diverso: una presenza che si insedia nei sistemi, resta dormiente per la maggior parte del tempo, e continua a lavorare per mesi senza che nessuno se ne accorga.

Il paragone più onesto non è quello del furto con scasso, dove qualcuno entra, prende e scappa. È quello di un inquilino abusivo che si trasferisce in casa tua, conosce i tuoi orari, legge la tua posta, ascolta le tue telefonate e ogni tanto manda fuori un riassunto di quello che ha visto. E lo fa usando i tuoi mobili, le tue chiavi, i tuoi elettrodomestici, così che, se mai guardassi le impronte, sembrerebbero tutte tue.

Nei prossimi paragrafi si va un po’ sul tecnico. Chi mastica sistemi e reti troverà pane per i suoi denti; chi invece è qui per capire il quadro generale può seguire comunque il filo, perché la logica conta più dei comandi.

Cosa fa Salt Typhoon

Conviene chiarire subito un equivoco diffuso. Salt Typhoon è il nome di un gruppo, attori legati allo Stato cinese secondo le agenzie occidentali, non di un singolo virus.
Ma non esiste un file «saltyphoon.exe» da mettere in quarantena. Esiste piuttosto un insieme di metodi, strumenti e tecniche che sfruttano i programmi già presenti nei sistemi per trovare una tana nascosta e restarci.

È proprio questo a renderlo insidioso. Sfruttando vulnerabilità note, strumenti integrati nel sistema operativo e qualche assunzione un po’ troppo ottimista di chi quei sistemi li ha progettati, il gruppo fa tutto il necessario per eludere i controlli, sistemarsi in un angolo tranquillo e cominciare a lavorare.

Vediamo come, passo per passo.

Accesso iniziale

La prima mossa è banale nella sua descrizione e devastante nei suoi effetti: entrare in un sistema o in un server e nascondersi. Il bersaglio preferito sono server e apparati di rete esposti al pubblico, quelli che affacciano su Internet, soprattutto se affetti da vulnerabilità conosciute. Anche perché in quelli che non si affacciano su internet o lo metti a mano o niente.

Qui c’è una sfumatura importante che spesso si perde. Per molto tempo si è raccontato che l’ingresso avvenisse solo tramite exploit, cioè sfruttando falle non ancora corrette per eseguire codice da remoto.

È vero in parte: il caso più noto riguarda alcune vulnerabilità nei router Cisco IOS XE (CVE-2023-20198 e CVE-2023-20273), apparati diffusissimi nelle grandi aziende e nelle reti statali occidentali. Ma l’analisi di Cisco Talos del 2025 ha mostrato che, in molti casi, l’accesso iniziale è avvenuto con un metodo ancora più semplice: credenziali legittime, rubate altrove. Niente effrazione spettacolare, solo le chiavi giuste nelle mani sbagliate. Magari prese con qualche data breach.

Il successo di questo primo passo dipende quasi sempre da un’unica cosa: la mancata applicazione tempestiva delle patch. Più un sistema resta indietro con gli aggiornamenti, più a lungo Salt Typhoon resta in funzione. A facilitare ulteriormente il lavoro contribuiscono configurazioni lasciate a default, password mai cambiate, meccanismi di autenticazione deboli e credenziali esposte in chiaro dentro file di configurazione o database mal protetti.

Esecuzione e persistenza

Una volta dentro, il secondo passo è cominciare a eseguire operazioni che preparino il terreno. Si parte con i primi programmi malevoli — in gergo «payload» — sfruttando strumenti che, ironia della sorte, gli amministratori stessi installano per comodità. PowerShell è il candidato ideale: serve per la manutenzione legittima dei sistemi Windows, e proprio per questo non desta sospetti. Lo si usa per eseguire script aggirando le restrizioni, sovrascrivendo le policy di esecuzione con qualcosa di simile a:

powershell -ex bypass -enc <script_codificato_in_base64>

Il flag -ex bypass disattiva i controlli sulle policy, mentre -enc permette di passare uno script codificato in Base64, così che a un occhio distratto il comando risulti illeggibile.

Il passo successivo è garantirsi un avvio persistente: fare in modo che sia il sistema operativo stesso a rilanciare il codice malevolo ad ogni accesso. Su Windows si ottiene aggiungendo una chiave di registro, per esempio:

reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v <nome> /t REG_SZ /d <percorso>

Tutto ciò che finisce in quella chiave «Run» viene eseguito automaticamente al login dell’utente. Ma per controllare davvero una macchina da remoto serve di più, e qui entra in scena Demodex, un rootkit kernel-mode per Windows che agisce al livello più profondo del sistema. Spiegarne il funzionamento per esteso sarebbe lungo e tecnico; chi vuole approfondire trova un’ottima descrizione, senza fronzoli, nei materiali pubblicati dalle agenzie di sicurezza di Singapore, che hanno avuto a che fare con il gruppo da vicino.

La metafora più efficace per Demodex è il mantello dell’invisibilità: una volta indossato, ciò che accade sotto smette di essere visibile agli strumenti di controllo ordinari. Sfruttandolo, il gruppo crea backdoor usando comandi di servizio del tutto banali, come sc create, mascherando il malware da strumento legittimo — un finto VGAuthService, un altrettanto finto SvcHost — e affidandosi a utility di sistema autentiche, prima fra tutte installutil.exe, per eseguire il codice. L’avvio automatico al riavvio della macchina viene assicurato con l’opzione start= auto. Tutto ciò che si vede, dall’esterno, sono processi con nomi familiari.

Ricognizione: capire dove si è finiti

L’ambiente ora è pronto. È il momento di guardarsi intorno e capire che cosa fa quel server, che ruolo ha nella rete, a che cosa dà accesso. Da questa analisi dipende la scelta successiva: restare lì, spostarsi verso un sistema più interno, oppure puntare dritti al bersaglio se l’accesso è già abbastanza ampio.

Per raccogliere informazioni si usano, ancora una volta, strumenti nativi. WMIC (Windows Management Instrumentation Command-line) serve a elencare i processi attivi e i loro argomenti:

wmic process get name,processid,commandline

Mentre interrogando Active Directory si individuano gli amministratori di dominio, cioè gli account che contano davvero, quelli che aprono molte porte in una volta sola.

Lo spionaggio sulle comunicazioni

Qui si arriva al cuore dell’operazione. Salt Typhoon osserva il traffico di rete cercando schemi ricorrenti nei dialoghi tra software e servizi. Quando li trova, analizza i metadati — chi parla con chi, a che ora, da dove — per ricostruire reti di relazioni. E lo fa leggendo i protocolli per quello che sono: conversazioni, spesso sorprendentemente leggibili.

Un esempio rende l’idea. L’invio di una email tramite il protocollo SMTP è uno scambio di battute educate tra un client e un server. Il client si presenta, il server risponde, e si procede passo dopo passo come se fosse un dialogo:

Client: HELO mittente.com
Server: 250 Hello mittente.com, pleased to meet you
Client: MAIL FROM: <mittente@email.com>
Server: 250 OK
Client: RCPT TO: <destinatario@altraemail.com>
Server: 250 OK
Client: DATA
Server: 354 End data with <CR><LF>.<CR><LF>

A quel punto viaggia il messaggio vero e proprio, riga per riga: gli header come From, To e Subject, e poi il corpo del testo — esattamente la parte che interessa. Un punto solitario su una riga chiude il messaggio, il server conferma con un «250 OK» e saluta con un «221 Bye», perché anche i programmi, a modo loro, sono cortesi.

Roba nota a chi ha la mia età.

La conseguenza è semplice e inquietante. Se nel traffico compare la sequenza «HELO», «MAIL FROM:», «RCPT TO:» e «DATA», non c’è dubbio: sta passando una email. E se tra i destinatari spuntano nomi come admin, administrator o root, il gruppo sa di aver trovato qualcuno che conta. Lo stesso ragionamento, senza bisogno di troppa fantasia, vale per qualunque altro canale: messaggistica, autenticazione degli utenti, qualsiasi sistema di comunicazione presente sui server.

Furto di credenziali ed escalation dei privilegi

Facciamo il punto. Il gruppo è entrato, ha studiato l’ambiente, ha cominciato a raccogliere dati e, tra questi, alcuni account. L’obiettivo ora cambia scala: diventare superutente, arrivare dove un utente normale non arriverebbe mai. La strada passa per l’aumento dei privilegi e il furto di ulteriori credenziali.

Per estrarre credenziali dalla memoria si ricorre a strumenti come Mimikatz. Se la vittima non è un server ma un normale PC, a volte basta un keylogger: perché faticare a decifrare una password, quando la si può semplicemente registrare mentre l’utente la digita? E poi c’è il dumping vero e proprio: gli hash delle password risiedono o nel registro di sistema, nel file SAM (%SystemRoot%\System32\config\SAM), oppure nel database di Active Directory (ntds.dit). Posti noti, raggiungibili con i privilegi giusti.

E i privilegi di sistema? Sembrerebbe l’ostacolo più difficile, e in teoria lo è. In pratica esistono framework di post-exploitation — Cobalt Strike è il più celebre — nati come strumenti legittimi per i test di sicurezza condotti dai red team, ma da tempo dirottati dagli attaccanti proprio per automatizzare l’escalation e il controllo remoto. Uno strumento pensato per difendere, usato per offendere.

Movimento laterale

Con account, dati e accesso agli strumenti interni, il gruppo è libero di muoversi. Comincia a diffondersi nella rete interna, spostandosi letteralmente sul server accanto, sempre con utility di Windows. Copia, per esempio, script batch in cartelle condivise e li esegue da remoto tramite WMIC:

wmic /node:<ip_target> process call create "cmd /c C:\Windows\Temp\script.bat"

Quando questi spostamenti avvengono senza destare sospetti, distinguere l’attività malevola dal traffico ordinario diventa quasi impossibile. È questo il punto di non ritorno: l’intruso non sembra più un intruso.

Un battito che chiama casa

A coordinare il tutto ci sono i centri di comando e controllo, i cosiddetti Command & Control. Gli strumenti del gruppo inviano verso questi centri segnali minimi e regolari — una sorta di battito, un ping discreto — per dire «sono qui, sono vivo». Quando è il momento giusto, i C2 rispondono con nuove istruzioni e aggiornamenti: inviare le credenziali raccolte, aprire le backdoor, esfiltrare i dati sensibili accumulati nei minuti, nei giorni o nei mesi precedenti.

Resta un problema pratico. Se vuoi portare via dati senza farti notare, non puoi spedirli con un flusso costante verso un indirizzo IP cinese: prima o poi qualcuno si fa delle domande. La soluzione è elegante nella sua sfacciataggine: ci si appoggia a servizi usati ogni giorno da milioni di persone — piattaforme di file sharing, repository di codice, servizi email gratuiti. Da una parte si scrive, dall’altra si legge, e con calma un altro strumento, altrove, raccoglie il bottino.

Se a questo punto vi state chiedendo se su una piattaforma pubblica di code sharing possano esserci dati governativi americani, la risposta è sì — a saperli cercare.

Pigrizia, risparmio e noia

Tutto questo è possibile per una manciata di abitudini molto umane. Salt Typhoon funziona perché i sistemi non si aggiornano, perché per il monitoraggio non si adottano strumenti diversi da quelli già presenti, perché controllare costa tempo e il tempo costa denaro.

Il fatto che quasi ogni attività — dalla ricognizione al furto — venga svolta con gli strumenti integrati di Windows rende il rilevamento davvero arduo. È la tecnica nota come «living off the land»: vivere della terra, nutrirsi di ciò che si trova sul posto, senza portare nulla che possa tradire la propria presenza. Se a questo si aggiunge che il codice può essere istruito a cancellarsi senza lasciare traccia, si capisce perché Salt Typhoon sia considerato tra le operazioni di intrusione più sofisticate in circolazione.

Come vengono usati i dati

Lo scopo, alla fine, è lo spionaggio strategico: esfiltrare informazioni sensibili dalle reti critiche, prime fra tutte quelle delle telecomunicazioni. Ma una volta che hai i dati, che cosa ne fai?

Il primo uso è la ricostruzione di reti di relazioni. Incrociando i metadati — identità di mittenti e destinatari, orari, posizioni geografiche — è possibile mappare contatti e spostamenti di persone in tutto il mondo, senza nemmeno leggere il contenuto delle conversazioni. Chi parla con chi, quanto spesso, da dove: a volte basta questo per disegnare un organigramma riservato.

Il secondo è la raccolta di informazioni di alto profilo. Restando per mesi dentro le reti degli operatori, il gruppo ha potuto accedere a metadati di chiamata, dati di localizzazione e, in un numero limitato di casi, ai contenuti veri e propri di chiamate e messaggi di figure di primo piano: politici, dirigenti di aziende della difesa, persone che fanno gola a qualunque servizio di intelligence. Questo consente di ricostruire agende, abitudini e movimenti di soggetti sensibili.

La portata reale è emersa col tempo, ed è notevole. Le indagini hanno parlato di circa cento milioni di record relativi a 1,3 milioni di utenti, in larga parte concentrati nell’area metropolitana di Washington. Tra gli operatori colpiti più gravemente figurano AT&T e Verizon, attraverso le cui reti sono stati raggiunti anche numeri e comunicazioni legati a esponenti politici americani di primo piano e allo staff delle campagne elettorali. La lista delle vittime, però, è lunga e comprende altri nomi — Lumen, Charter, Windstream, T-Mobile — e si è estesa fino a Viasat, identificata come vittima nel 2025, anche se l’azienda ha dichiarato di non aver trovato prove di un impatto sui propri clienti.

La somma di email, messaggi, posizioni e account utilizzabili da remoto offre qualcosa di più del singolo segreto: permette di capire come si progettano i prodotti, come si organizza la produzione, come si risolvono problemi tecnologici complessi. È spionaggio industriale e strategico insieme.

Dove siamo oggi

La storia, come si diceva all’inizio, non si è chiusa. Nel corso del 2026 il caso è tornato sui tavoli politici di Washington: la senatrice Maria Cantwell ha chiesto formalmente un’audizione con i vertici di AT&T e Verizon, lamentando la mancanza di documentazione a sostegno delle rassicurazioni delle aziende sulla sicurezza delle proprie reti. Nel frattempo la dimensione internazionale è cresciuta: Singapore ha confermato che tutti i suoi principali operatori sono stati colpiti, con operazioni di bonifica durate quasi un anno, e la Norvegia è diventata il primo governo europeo a dichiarare apertamente di essere stato bersaglio, ed ultimante anche IBM Italia ha avuto a che fare con questi malviventi.

C’è poi l’aspetto più sottile, quello che dovrebbe togliere il sonno più delle cifre.
Gli strumenti del gruppo, secondo le valutazioni delle agenzie, appaiono in larga parte «dormienti» dopo le rivelazioni pubbliche.

Dormienti non significa assenti. Come ha sintetizzato un responsabile dell’FBI, il fatto di non vedere qualcosa ogni giorno non vuol dire che non ci sia. Nessuno sa con certezza quanti di questi fantasmi digitali restino silenziosi dentro infrastrutture critiche, reti elettriche, sistemi idrici, operatori di telecomunicazione, pronti a riattivarsi quando servirà.

La lezione di Salt Typhoon, in fondo, è meno tecnologica di quanto sembri. Le porte non sono state sfondate: erano aperte, o chiuse con la chiave lasciata sotto lo zerbino. La difesa più efficace resta la meno affascinante, aggiornare per tempo, cambiare le credenziali di default, monitorare con strumenti indipendenti, segmentare le reti perché un intruso non possa passare liberamente da una stanza all’altra.

Non è una battaglia che si vince con un colpo solo, ma con la disciplina di chi controlla la casa anche quando sembra tutto tranquillo.

Perché il guaio, con un inquilino come questo, non è solo che è entrato. È che potrebbe non essersene mai andato. E in fin dei conti, la porta migliore resta quella che teniamo chiusa noi.