Gli hacker Cinesi prendono di mira l’Italia. Il Malware 9002 RAT Colpisce Aziende ed Enti Governativi

Redazione RHC : 17 Luglio 2024 16:10

Un gruppo di hacker legato alla Cina, chiamato APT17 ha colpito aziende ed enti governativi italiani utilizzando una variante di un malware denominato 9002 RAT.

9002 RAT, è noto anche come Hydraq e McRAT. Ha raggiunto la notorietà come cyber weapons nell’operazione Aurora che ha individuato Google nel 2009. È stato successivamente utilizzato anche in un’altra campagna del 2013 denominata Sunshop in cui gli aggressori hanno iniettato reindirizzamenti dannosi in diversi siti Web.

APT17 è stato documentato per la prima volta da Mandiant (allora FireEye), di proprietà di Google, nel 2013. Hanno preso parte alle operazioni di spionaggio informatico denominate DeputyDog ed Ephemeral Hydra. Tali campagne sfruttavano falle zero-day in Internet Explorer di Microsoft per violare obiettivi di interesse.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

I due attacchi mirati hanno avuto luogo il 24 giugno e il 2 luglio 2024. Questa notizia è stata affermato dalla TG Soft in un’analisi pubblicata la scorsa settimana.

“La prima campagna del 24 giugno 2024 ha utilizzato un documento Office, mentre la seconda campagna conteneva un collegamento. Entrambe le campagne invitavano la vittima a installare un pacchetto Skype for Business da un collegamento di un dominio.”

È noto anche con i nomi di Aurora Panda, Bronze Keystone, Dogfish, Elderwood, Helium, Hidden Lynx e TEMP.Avengers, ma l’avversario condivide un certo livello di sovrapposizione di strumenti con un altro attore della minaccia soprannominato Webworm.

Le ultime catene di attacchi prevedono l’uso di esche di spear-phishing per indurre i destinatari a cliccare su un collegamento. Tale collegamento li invita a scaricare un programma di installazione MSI per Skype for Business (“SkypeMeeting.msi”).

L’avvio del pacchetto MSI innesca l’esecuzione di un file di archivio Java (JAR) tramite uno script Visual Basic (VBS). Quest installa al contempo il software di chat legittimo sul sistema Windows. L’applicazione Java, a sua volta, decifra ed esegue lo shellcode responsabile dell’avvio di 9002 RAT.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli