Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Nuove attività del governo cinese: ecco il trojan Sepulcher

Set 03, 2020 Marco Schiaffino Attacchi, In evidenza, Malware, News, RSS 0

Il malware è comparso lo scorso marzo ed è stato utilizzato per portare attacchi nei confronti di bersagli europei tramite tecniche di phishing.

La pandemia da Covid-19 non è stata sfruttata solo da comuni cyber criminali. Anche i gruppi APT (Advanced Persistent Threat) legati ai servizi segreti cinesi hanno pensato bene di sfruttare l’emergenza sanitaria per mettere a segno qualche colpo “extra”.

La vicenda emerge grazie a un report di Proofpoint, in cui i ricercatori analizzano l’attività del gruppo TA413, considerato da sempre collegato al governo di Pechino e che ha recentemente sviluppato un nuovo malware, battezzato con il nome di Sepulcher.

I pirati informatici, fino allo scorso marzo, erano considerati una sorta di sezione specializzata che aveva mostrato di concentrarsi esclusivamente su bersagli legati al Tibet. In concomitanza con l’epidemia, però, gli hacker sembrano aver avviato una campagna parallela, che avrebbe preso di mira bersagli in tutta Europa.

Sotto un profilo tecnico, Sepulcher è un classico RAT (Remote Access Tool) con funzionalità che gli analisti descrivono come “normali” per questa tipologia di malware.

Il trojan, una volta installato, consente di recuperare numerose informazioni riguardo il sistema, tra cui le unità disponibili e il loro contenuto, così come di agire in lettura e scrittura, terminare o avviare processi e servizi.

IL vettore di attacco usato per diffonderlo è un file in formato Rich Text Format (RTF) che una volta aperto installa il payload in un file chiamato Credential.dll.

Nella campagna individuata da Proofpoint, il documento usato per distribuire Sepulcher utilizzava tecniche di social engineering sfruttando l’emergenza Covid tramite un messaggio di posta elettronica apparentemente proveniente dall’Organizzazione Mondiale della Sanità.

A quanto pare, però, l’attività del gruppo TA413 rivolta a bersagli europei è stato un semplice diversivo o, più probabilmente, un tentativo di sfruttare tempestivamente quella che i pirati hanno considerato un’opportunità da non perdere.

Passata la fase calda della pandemia, infatti, i cyber spioni sono tornati a prendere di mira i “soliti” bersagli: i gruppi indipendentisti tibetani.

Ironicamente, la campagna individuata il 27 luglio, utilizzava come vettore di diffusione un documento che appariva provenire da un gruppo indipendentista e che giocava sull’emergenza Covid parlando di un “virus mortale che minaccia i tibetani, armato di pistola e che parla cinese”.

L’allegato, in questo caso, è una presentazione Powerpoint che, attraverso un meccanismo simile a quello rilevato nella campagna europea, avvia l’installazione di Sepulcher.

Condividi l'articolo

Cina, Marco Schiaffino, Proofpoint, Sepulcher

Attacchi DDoS rivolti alle piattaforme per la didattica aumentati di oltre il 350% nel periodo tra gennaio e giugno 2020. Doppia falla nel plugin MAGMI per Magento