Mustang Panda, nuovo attacco informatico con SnakeDisk: obiettivo la Thailandia

Redazione RHC : 15 Settembre 2025 11:04

I ricercatori di IBM X-Force hanno scoperto nuove operazioni del gruppo cinese Hive0154, meglio noto come Mustang Panda. Gli esperti hanno documentato l’uso simultaneo di una versione avanzata della backdoor Toneshell e di un nuovo worm USB chiamato SnakeDisk, che prende di mira specificamente i dispositivi in Thailandia. Questo approccio dimostra uno sforzo mirato per penetrare anche nelle reti governative isolate della regione.

La nuova versione del malware, denominata Toneshell9, rappresenta un notevole passo avanti rispetto alle versioni precedenti, grazie a meccanismi integrati per operare attraverso server proxy aziendali, consentendo al traffico dannoso di mascherarsi da connessioni di rete legittime.

L’arsenale di Toneshell9 comprende una reverse shell duale per l’esecuzione di comandi paralleli, algoritmi di crittografia unici basati su generatori di numeri casuali modificati e tecniche di occultamento mediante l’inserimento di codice spazzatura con stringhe generate da reti neurali.

Dai potere alla tua programmazione con TypeScript funzionale Impara a scrivere codice modulare, sicuro e scalabile con il nostro corso pratico di Programmazione Funzionale in TypeScript, guidato dall’esperto Pietro Grandi, professionista nello sviluppo del software.  In 6 ore e 29 lezioni, esplorerai concetti fondamentali come immutabilità, funzioni pure, higher-order functions e monadi, applicandoli direttamente al mondo reale dello sviluppo software. Il corso è pensato per sviluppatori, team leader e professionisti del software che desiderano migliorare la qualità e la manutenibilità del loro codice. Con esempi pratici, esercizi e la guida esperta di Grandi, acquisirai competenze avanzate per affrontare le sfide moderne dello sviluppo. Approfitta della promo e scrivi subito all'amministrazione e guarda l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected] Supporta RHC attraverso: L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Per mantenere la presenza sulla macchina infetta, viene utilizzato il DLL Sideloading e la comunicazione con i nodi di controllo è mascherata da pacchetti di dati applicativi TLS 1.2. Il design del client consente la gestione simultanea di più server, proxy e set di chiavi. Di particolare rilievo è la capacità di leggere le impostazioni proxy dal registro di Windows, che indica una profonda conoscenza delle architetture di rete.

Allo stesso tempo, gli specialisti IBM hanno identificato un worm USB completamente nuovo, SnakeDisk. Si attiva solo quando vengono rilevati indirizzi IP in Thailandia, il che indica il targeting strategico della campagna. Le attività di SnakeDisk includono l’autopropagazione tramite supporti rimovibili, l’occultamento di file legittimi su unità flash e l’installazione della backdoor Yokai , precedentemente utilizzata negli attacchi contro funzionari thailandesi alla fine del 2024.

Questo metodo consente agli aggressori di bypassare gli air gap e penetrare in sistemi critici fisicamente separati da Internet. La tempistica della campagna coincide con l’escalation dei conflitti di confine tra Thailandia e Cambogia nel 2025, il che aggiunge ulteriore contesto politico all’attacco.

Secondo gli analisti, Hive0154 utilizza attivamente tecniche di ingegneria sociale: documenti falsificati per conto del Ministero degli Esteri del Myanmar sono stati utilizzati per distribuire archivi infetti, distribuiti tramite i servizi cloud Box e Google Drive. File dannosi scaricati da Singapore e Thailandia confermano la mirata diffusione degli attacchi nei paesi del Sud-est asiatico. Il gruppo dispone di bootloader, backdoor e famiglie di worm USB proprietari, il che ne sottolinea l’elevato livello di sviluppo.

IBM X-Force sottolinea che le azioni di Hive0154 rientrano negli interessi strategici della Cina, dove la Cambogia è un alleato chiave e la pressione sulla Thailandia sta diventando uno strumento di politica regionale. La selettività geografica di SnakeDisk dimostra che non si tratta di un’infezione di massa, ma piuttosto di una ricognizione mirata e di una raccolta di informazioni in condizioni di crescente instabilità.

Gli esperti consigliano alle organizzazioni a rischio di rafforzare le proprie difese: monitorare l’attività dei supporti rimovibili, analizzare il traffico TLS senza handshake e controllare attentamente i documenti scaricati dai servizi cloud, anche se sembrano ufficiali. Mustang Panda continua a evolversi e i suoi strumenti più recenti dimostrano che la minaccia per gli stati della regione rimane seria e in crescita.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli