Redazione RHC : 4 Novembre 2025 15:11
Il gruppo di hacker UNC6384 (noto anche come Mustang Panda), legato alla Cina, sta conducendo una campagna di cyberspionaggio su larga scala che prende di mira agenzie diplomatiche e governative europee.
Secondo Arctic Wolf e StrikeReady, gli hacker stanno sfruttando una vulnerabilità di Windows non corretta relativa alle scorciatoie LNK. Gli attacchi sono stati registrati in Ungheria, Belgio, Italia, Paesi Bassi e Serbia tra settembre e ottobre 2025.
Secondo i ricercatori, gli attacchi iniziano con email di phishing mirate contenenti URL a file LNK dannosi. L’oggetto di queste email si riferisce in genere a workshop NATO sugli appalti per la difesa, riunioni della Commissione Europea sulla facilitazione delle frontiere e altri eventi diplomatici multilaterali.
 Prova la Demo di Business Log! Adaptive SOC italiano Log management non solo per la grande Azienda, ma una suite di Audit file, controllo USB, asset, sicurezza e un Security Operation Center PERSONALE, che ti riporta tutte le operazioni necessarie al tuo PC per tutelare i tuoi dati e informati in caso di problemi nel tuo ambiente privato o di lavoro.
Scarica ora la Demo di Business Log per 30gg
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
I file dannosi sfruttano la vulnerabilità CVE-2025-9491 (punteggio CVSS 7.0), che si verifica nella gestione dei collegamenti di Windows. Questo bug consente di nascondere argomenti dannosi della riga di comando all’interno dei file .LNK utilizzando l’indentazione di spazi vuoti nella struttura COMMAND_LINE_ARGUMENTS. Ciò consente l’esecuzione di codice arbitrario su dispositivi vulnerabili all’insaputa dell’utente.
Quando una vittima apre un file di questo tipo, viene eseguito un comando PowerShell che decodifica ed estrae il contenuto dell’archivio TAR, visualizzando contemporaneamente all’utente un PDF escamotage. L’archivio contiene un’utility legittima Canon Printer Assistant, una DLL dannosa chiamata CanonStager e un payload malware PlugX crittografato (cnmplog.dat), distribuito tramite sideload DLL.
PlugX (noto anche come Destroy RAT, Kaba, Korplug, SOGU e TIGERPLUG) è un trojan di accesso remoto che offre agli hacker il controllo completo su un sistema infetto. Il malware può eseguire comandi, intercettare le sequenze di tasti, caricare e scaricare file, persistere nel sistema modificando il registro di Windows ed effettuare ricognizioni approfondite.
L’architettura modulare di PlugX consente ai suoi operatori di espandere le funzionalità del trojan tramite plugin progettati per attività specifiche. Il malware utilizza anche tecniche di anti-analisi e anti-debug per complicare l’analisi e passare inosservato.
Secondo i ricercatori di Arctic Wolf, è stata documentata un’evoluzione nel toolkit degli aggressori: le dimensioni degli artefatti CanonStager si sono ridotte da 700 KB a 4 KB, a indicare uno sviluppo attivo e la riduzione al minimo della loro impronta digitale. Inoltre, si segnala che all’inizio di settembre il gruppo ha iniziato a utilizzare file HTML Application (HTA) per caricare codice JavaScript che recupera i payload dal sottodominio cloudfront[.]net.
Vale la pena notare che il problema CVE-2025-9491 esiste almeno dal 2017 ed è stato attivamente sfruttato da numerosi gruppi di hacker. Lo sfruttamento di questo bug è stato segnalato pubblicamente per la prima volta nel marzo 2025. All’epoca, gli analisti di Trend Micro scoprirono che la vulnerabilità era ampiamente sfruttata da undici gruppi di hacker “governativi” e altri criminali informatici, tra cui Evil Corp, APT43 (Kimsuky), Bitter, APT37, Mustang Panda, SideWinder, RedHotel e Konni.
Tuttavia, nonostante lo sfruttamento diffuso, gli sviluppatori Microsoft non hanno ancora rilasciato una patch per il CVE-2025-9491. A marzo, i rappresentanti dell’azienda hanno dichiarato che avrebbero “considerato la possibilità di risolvere il problema”, ma hanno sottolineato che la vulnerabilità non richiedeva un’attenzione immediata. Microsoft ha inoltre sottolineato che Defender dispone di strumenti di rilevamento per bloccare tale attività e che Smart App Control fornisce una protezione aggiuntiva.
Poiché non esiste ancora una patch ufficiale, Arctic Wolf consiglia di limitare o bloccare l’uso dei file LNK in Windows, di bloccare le connessioni all’infrastruttura di controllo degli hacker scoperta dai ricercatori e di rafforzare il monitoraggio delle attività di rete sospette.
RedazioneReuters ha riferito che Trump ha detto ai giornalisti durante un’intervista preregistrata nel programma “60 Minutes” della CBS e sull’Air Force One durante il viaggio di ritorno: “I chip pi�...
Il primo computer quantistico atomico cinese ha raggiunto un importante traguardo commerciale, registrando le sue prime vendite a clienti nazionali e internazionali, secondo quanto riportato dai media...
Il CEO di NVIDIA, Jen-Hsun Huang, oggi supervisiona direttamente 36 collaboratori suddivisi in sette aree chiave: strategia, hardware, software, intelligenza artificiale, pubbliche relazioni, networki...
OpenAI ha presentato Aardvark, un assistente autonomo basato sul modello GPT-5 , progettato per individuare e correggere automaticamente le vulnerabilità nel codice software. Questo strumento di inte...
Analisi RHC sulla rete “BHS Links” e sulle infrastrutture globali di Black Hat SEO automatizzato Un’analisi interna di Red Hot Cyber sul proprio dominio ha portato alla luce una rete globale di ...
