Mustang Panda, nuovo attacco informatico con SnakeDisk: obiettivo la Thailandia

Redazione RHC : 15 Settembre 2025 11:04

I ricercatori di IBM X-Force hanno scoperto nuove operazioni del gruppo cinese Hive0154, meglio noto come Mustang Panda. Gli esperti hanno documentato l’uso simultaneo di una versione avanzata della backdoor Toneshell e di un nuovo worm USB chiamato SnakeDisk, che prende di mira specificamente i dispositivi in Thailandia. Questo approccio dimostra uno sforzo mirato per penetrare anche nelle reti governative isolate della regione.

La nuova versione del malware, denominata Toneshell9, rappresenta un notevole passo avanti rispetto alle versioni precedenti, grazie a meccanismi integrati per operare attraverso server proxy aziendali, consentendo al traffico dannoso di mascherarsi da connessioni di rete legittime.

L’arsenale di Toneshell9 comprende una reverse shell duale per l’esecuzione di comandi paralleli, algoritmi di crittografia unici basati su generatori di numeri casuali modificati e tecniche di occultamento mediante l’inserimento di codice spazzatura con stringhe generate da reti neurali.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Per mantenere la presenza sulla macchina infetta, viene utilizzato il DLL Sideloading e la comunicazione con i nodi di controllo è mascherata da pacchetti di dati applicativi TLS 1.2. Il design del client consente la gestione simultanea di più server, proxy e set di chiavi. Di particolare rilievo è la capacità di leggere le impostazioni proxy dal registro di Windows, che indica una profonda conoscenza delle architetture di rete.

Allo stesso tempo, gli specialisti IBM hanno identificato un worm USB completamente nuovo, SnakeDisk. Si attiva solo quando vengono rilevati indirizzi IP in Thailandia, il che indica il targeting strategico della campagna. Le attività di SnakeDisk includono l’autopropagazione tramite supporti rimovibili, l’occultamento di file legittimi su unità flash e l’installazione della backdoor Yokai , precedentemente utilizzata negli attacchi contro funzionari thailandesi alla fine del 2024.

Questo metodo consente agli aggressori di bypassare gli air gap e penetrare in sistemi critici fisicamente separati da Internet. La tempistica della campagna coincide con l’escalation dei conflitti di confine tra Thailandia e Cambogia nel 2025, il che aggiunge ulteriore contesto politico all’attacco.

Secondo gli analisti, Hive0154 utilizza attivamente tecniche di ingegneria sociale: documenti falsificati per conto del Ministero degli Esteri del Myanmar sono stati utilizzati per distribuire archivi infetti, distribuiti tramite i servizi cloud Box e Google Drive. File dannosi scaricati da Singapore e Thailandia confermano la mirata diffusione degli attacchi nei paesi del Sud-est asiatico. Il gruppo dispone di bootloader, backdoor e famiglie di worm USB proprietari, il che ne sottolinea l’elevato livello di sviluppo.

IBM X-Force sottolinea che le azioni di Hive0154 rientrano negli interessi strategici della Cina, dove la Cambogia è un alleato chiave e la pressione sulla Thailandia sta diventando uno strumento di politica regionale. La selettività geografica di SnakeDisk dimostra che non si tratta di un’infezione di massa, ma piuttosto di una ricognizione mirata e di una raccolta di informazioni in condizioni di crescente instabilità.

Gli esperti consigliano alle organizzazioni a rischio di rafforzare le proprie difese: monitorare l’attività dei supporti rimovibili, analizzare il traffico TLS senza handshake e controllare attentamente i documenti scaricati dai servizi cloud, anche se sembrano ufficiali. Mustang Panda continua a evolversi e i suoi strumenti più recenti dimostrano che la minaccia per gli stati della regione rimane seria e in crescita.

Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli