Redazione RHC : 4 Novembre 2025 15:11
Il gruppo di hacker UNC6384 (noto anche come Mustang Panda), legato alla Cina, sta conducendo una campagna di cyberspionaggio su larga scala che prende di mira agenzie diplomatiche e governative europee.
Secondo Arctic Wolf e StrikeReady, gli hacker stanno sfruttando una vulnerabilità di Windows non corretta relativa alle scorciatoie LNK. Gli attacchi sono stati registrati in Ungheria, Belgio, Italia, Paesi Bassi e Serbia tra settembre e ottobre 2025.
Secondo i ricercatori, gli attacchi iniziano con email di phishing mirate contenenti URL a file LNK dannosi. L’oggetto di queste email si riferisce in genere a workshop NATO sugli appalti per la difesa, riunioni della Commissione Europea sulla facilitazione delle frontiere e altri eventi diplomatici multilaterali.
 CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub.
Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
I file dannosi sfruttano la vulnerabilità CVE-2025-9491 (punteggio CVSS 7.0), che si verifica nella gestione dei collegamenti di Windows. Questo bug consente di nascondere argomenti dannosi della riga di comando all’interno dei file .LNK utilizzando l’indentazione di spazi vuoti nella struttura COMMAND_LINE_ARGUMENTS. Ciò consente l’esecuzione di codice arbitrario su dispositivi vulnerabili all’insaputa dell’utente.
Quando una vittima apre un file di questo tipo, viene eseguito un comando PowerShell che decodifica ed estrae il contenuto dell’archivio TAR, visualizzando contemporaneamente all’utente un PDF escamotage. L’archivio contiene un’utility legittima Canon Printer Assistant, una DLL dannosa chiamata CanonStager e un payload malware PlugX crittografato (cnmplog.dat), distribuito tramite sideload DLL.
PlugX (noto anche come Destroy RAT, Kaba, Korplug, SOGU e TIGERPLUG) è un trojan di accesso remoto che offre agli hacker il controllo completo su un sistema infetto. Il malware può eseguire comandi, intercettare le sequenze di tasti, caricare e scaricare file, persistere nel sistema modificando il registro di Windows ed effettuare ricognizioni approfondite.
L’architettura modulare di PlugX consente ai suoi operatori di espandere le funzionalità del trojan tramite plugin progettati per attività specifiche. Il malware utilizza anche tecniche di anti-analisi e anti-debug per complicare l’analisi e passare inosservato.
Secondo i ricercatori di Arctic Wolf, è stata documentata un’evoluzione nel toolkit degli aggressori: le dimensioni degli artefatti CanonStager si sono ridotte da 700 KB a 4 KB, a indicare uno sviluppo attivo e la riduzione al minimo della loro impronta digitale. Inoltre, si segnala che all’inizio di settembre il gruppo ha iniziato a utilizzare file HTML Application (HTA) per caricare codice JavaScript che recupera i payload dal sottodominio cloudfront[.]net.
Vale la pena notare che il problema CVE-2025-9491 esiste almeno dal 2017 ed è stato attivamente sfruttato da numerosi gruppi di hacker. Lo sfruttamento di questo bug è stato segnalato pubblicamente per la prima volta nel marzo 2025. All’epoca, gli analisti di Trend Micro scoprirono che la vulnerabilità era ampiamente sfruttata da undici gruppi di hacker “governativi” e altri criminali informatici, tra cui Evil Corp, APT43 (Kimsuky), Bitter, APT37, Mustang Panda, SideWinder, RedHotel e Konni.
Tuttavia, nonostante lo sfruttamento diffuso, gli sviluppatori Microsoft non hanno ancora rilasciato una patch per il CVE-2025-9491. A marzo, i rappresentanti dell’azienda hanno dichiarato che avrebbero “considerato la possibilità di risolvere il problema”, ma hanno sottolineato che la vulnerabilità non richiedeva un’attenzione immediata. Microsoft ha inoltre sottolineato che Defender dispone di strumenti di rilevamento per bloccare tale attività e che Smart App Control fornisce una protezione aggiuntiva.
Poiché non esiste ancora una patch ufficiale, Arctic Wolf consiglia di limitare o bloccare l’uso dei file LNK in Windows, di bloccare le connessioni all’infrastruttura di controllo degli hacker scoperta dai ricercatori e di rafforzare il monitoraggio delle attività di rete sospette.
RedazioneROMA – La profonda crisi istituzionale che ha investito l’Autorità Garante per la Protezione dei Dati Personali ha spinto Guido Scorza, componente del Collegio, a un intervento pubblico mirato a ...
Negli ultimi anni, il panorama della sicurezza informatica in Italia ha visto una preoccupante escalation di attacchi, con un aumento significativo dei crimini informatici. Un fenomeno particolarmente...
Quest’autunno, abbiamo avuto un bel po’ di grattacapi con il cloud, non so se ci avete fatto caso. Cioè, AWS, Azure, e dopo Cloudflare. Tutti giù, uno dopo l’altro. Una sfilza di interruzioni ...
Il CERT-AGID ha rilevato recentemente una sofisticata campagna di phishing mirato che sta prendendo di mira gli studenti dell’Università di Padova (UniPd). L’operazione, ancora in corso, sfrutta ...
Gli esperti del Group-IB hanno presentato un’analisi dettagliata della lunga campagna di UNC2891, che ha dimostrato la continua sofisticatezza degli schemi di attacco agli sportelli bancomat. L’at...
