Hacker cinesi prendono di mira le agenzie diplomatiche europee (anche l’Italia)

Redazione RHC : 4 Novembre 2025 15:11

Il gruppo di hacker UNC6384 (noto anche come Mustang Panda), legato alla Cina, sta conducendo una campagna di cyberspionaggio su larga scala che prende di mira agenzie diplomatiche e governative europee.

Secondo Arctic Wolf e StrikeReady, gli hacker stanno sfruttando una vulnerabilità di Windows non corretta relativa alle scorciatoie LNK. Gli attacchi sono stati registrati in Ungheria, Belgio, Italia, Paesi Bassi e Serbia tra settembre e ottobre 2025.

Secondo i ricercatori, gli attacchi iniziano con email di phishing mirate contenenti URL a file LNK dannosi. L’oggetto di queste email si riferisce in genere a workshop NATO sugli appalti per la difesa, riunioni della Commissione Europea sulla facilitazione delle frontiere e altri eventi diplomatici multilaterali.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

I file dannosi sfruttano la vulnerabilità CVE-2025-9491 (punteggio CVSS 7.0), che si verifica nella gestione dei collegamenti di Windows. Questo bug consente di nascondere argomenti dannosi della riga di comando all’interno dei file .LNK utilizzando l’indentazione di spazi vuoti nella struttura COMMAND_LINE_ARGUMENTS. Ciò consente l’esecuzione di codice arbitrario su dispositivi vulnerabili all’insaputa dell’utente.

Quando una vittima apre un file di questo tipo, viene eseguito un comando PowerShell che decodifica ed estrae il contenuto dell’archivio TAR, visualizzando contemporaneamente all’utente un PDF escamotage. L’archivio contiene un’utility legittima Canon Printer Assistant, una DLL dannosa chiamata CanonStager e un payload malware PlugX crittografato (cnmplog.dat), distribuito tramite sideload DLL.

PlugX (noto anche come Destroy RAT, Kaba, Korplug, SOGU e TIGERPLUG) è un trojan di accesso remoto che offre agli hacker il controllo completo su un sistema infetto. Il malware può eseguire comandi, intercettare le sequenze di tasti, caricare e scaricare file, persistere nel sistema modificando il registro di Windows ed effettuare ricognizioni approfondite.

L’architettura modulare di PlugX consente ai suoi operatori di espandere le funzionalità del trojan tramite plugin progettati per attività specifiche. Il malware utilizza anche tecniche di anti-analisi e anti-debug per complicare l’analisi e passare inosservato.

Secondo i ricercatori di Arctic Wolf, è stata documentata un’evoluzione nel toolkit degli aggressori: le dimensioni degli artefatti CanonStager si sono ridotte da 700 KB a 4 KB, a indicare uno sviluppo attivo e la riduzione al minimo della loro impronta digitale. Inoltre, si segnala che all’inizio di settembre il gruppo ha iniziato a utilizzare file HTML Application (HTA) per caricare codice JavaScript che recupera i payload dal sottodominio cloudfront[.]net.

Vale la pena notare che il problema CVE-2025-9491 esiste almeno dal 2017 ed è stato attivamente sfruttato da numerosi gruppi di hacker. Lo sfruttamento di questo bug è stato segnalato pubblicamente per la prima volta nel marzo 2025. All’epoca, gli analisti di Trend Micro scoprirono che la vulnerabilità era ampiamente sfruttata da undici gruppi di hacker “governativi” e altri criminali informatici, tra cui Evil Corp, APT43 (Kimsuky), Bitter, APT37, Mustang Panda, SideWinder, RedHotel e Konni.

Tuttavia, nonostante lo sfruttamento diffuso, gli sviluppatori Microsoft non hanno ancora rilasciato una patch per il CVE-2025-9491. A marzo, i rappresentanti dell’azienda hanno dichiarato che avrebbero “considerato la possibilità di risolvere il problema”, ma hanno sottolineato che la vulnerabilità non richiedeva un’attenzione immediata. Microsoft ha inoltre sottolineato che Defender dispone di strumenti di rilevamento per bloccare tale attività e che Smart App Control fornisce una protezione aggiuntiva.

Poiché non esiste ancora una patch ufficiale, Arctic Wolf consiglia di limitare o bloccare l’uso dei file LNK in Windows, di bloccare le connessioni all’infrastruttura di controllo degli hacker scoperta dai ricercatori e di rafforzare il monitoraggio delle attività di rete sospette.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli