Sandro Sana : 19 Marzo 2024 10:04
La campagna di spionaggio APT nota come “Earth Krahang” è stata attribuita a un gruppo di hacker cinesi che ha compromesso 70 organizzazioni e ne ha prese di mira almeno 116 in 45 paesi. Il focus principale di questa campagna, iniziata all’inizio del 2022, sono le organizzazioni governative. I ricercatori di Trend Micro hanno rivelato che gli hacker hanno compromesso 48 organizzazioni governative, inclusi 10 ministeri degli Affari Esteri, e preso di mira altre 49 agenzie governative. Gli attacchi sfruttano server vulnerabili esposti su Internet e usano email di spear-phishing per distribuire backdoor personalizzate per la cyberspionaggio.
Gli attori della minaccia utilizzano strumenti open-source per scansionare i server pubblici alla ricerca di vulnerabilità specifiche, come CVE-2023-32315 e CVE-2022-21587, per poi distribuire webshell e ottenere accesso non autorizzato e stabilire persistenza nelle reti delle vittime. Una volta all’interno della rete, “Earth Krahang” usa l’infrastruttura compromessa per ospitare payload dannosi, indirizzare il traffico degli attacchi e usare account email governativi hackerati per prendere di mira colleghi o altri governi con email di spear-phishing.
Una delle tattiche preferite dell’attaccante consiste nell’abusare dell’accesso ottenuto alle infrastrutture governative per sferrare attacchi verso altri enti governativi. Sfruttando questo accesso, Earth Krahang riesce a distribuire malware, instradare traffico di attacchi proxy e inviare email di phishing contenenti allegati o link malevoli da account compromessi.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
La catena di attacco successiva coinvolge Cobalt Strike e due backdoor personalizzati chiamati RESHELL e XDealer.
RESHELL è un semplice backdoor .NET in grado di raccogliere informazioni, caricare file o eseguire comandi di sistema. I suoi file binari sono impacchettati con ConfuserEX e le comunicazioni con il server C2 sono crittografate con AES.
A partire dal 2023, Earth Krahang ha iniziato ad utilizzare un altro backdoor più avanzato chiamato XDealer (o DinodasRAT secondo ESET), in grado di colpire sistemi Windows e Linux. Questo malware è ancora in fase di sviluppo attivo.
Molti dei primi campioni di XDealer erano sviluppati come file DLL impacchettati con un installer, un modulo DLL Stealer, stringhe identificative in un file di testo e un file LNK. Il file LNK avvia il programma di installazione che a sua volta installa la DLL XDealer e la DLL del modulo Stealer sul computer della vittima. Il modulo Stealer può catturare screenshot, rubare dati dagli appunti e registrare le pressioni dei tasti.
Alcuni dei loader DLL di XDealer erano firmati con certificati di firma del codice validi rilasciati da GlobalSign a due società cinesi.
Cobalt Strike viene spesso usato nelle fasi iniziali dell’attacco. Earth Krahang ha inoltre aggiunto una protezione extra al suo server C2 integrando il progetto open source RedGuard.
Il gruppo crea anche server VPN (SoftEther) sui server pubblici compromessi per accedere alle reti delle vittime e tentare attacchi di forza bruta sulle credenziali email per rubare la corrispondenza.
Per la scansione e l’accesso ai server, utilizza strumenti come sqlmap, kernel, xray, vscan, pocsuite e wordpressscan.
Dai dati di telemetria, i ricercatori hanno anche scoperto che l’attaccante ha distribuito campioni di PlugX e ShadowPad negli ambienti delle vittime.
Trend Micro ha inizialmente trovato legami tra “Earth Krahang” e l’attore connesso alla Cina “Earth Lusca” sulla base di sovrapposizioni dei comandi e controllo (C2), ma ha determinato che si tratta di un cluster separato. È possibile che entrambi i gruppi di minaccia operino sotto l’azienda cinese I-Soon, lavorando come task force dedicata al cyberspionaggio contro entità governative.
Sandro SanaAutore: Inva Malaj e Raffaela Crisci 04/10/2025 – Darkforums.st: “303” Rivendica Data Breach di 9 GB su Apple.com Nelle prime ore del 4 ottobre 2025, sul forum underground Darkforums è comparsa...
La storia di SoopSocks è quella che, purtroppo, conosciamo bene: un pacchetto PyPI che promette utilità — un proxy SOCKS5 — ma in realtà introduce un impianto malevolo ben orchestrato. Non stia...
Per decenni, l’informatica è stata considerata una scelta professionale stabile e ricca di opportunità. Oggi, però, studenti, università e imprese si trovano davanti a un panorama radicalmente m...
Lunedì scorso, Asahi Group, il più grande produttore giapponese di birra, whisky e bevande analcoliche, ha sospeso temporaneamente le sue operazioni in Giappone a seguito di un attacco informatico c...
Una nuova campagna malevola sta utilizzando Facebook come veicolo per diffondere Datzbro, un malware Android che combina le caratteristiche di un trojan bancario con quelle di uno spyware. L’allarme...
