Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 15 Settembre 2025 11:04
I ricercatori di IBM X-Force hanno scoperto nuove operazioni del gruppo cinese Hive0154, meglio noto come Mustang Panda. Gli esperti hanno documentato l’uso simultaneo di una versione avanzata della backdoor Toneshell e di un nuovo worm USB chiamato SnakeDisk, che prende di mira specificamente i dispositivi in Thailandia. Questo approccio dimostra uno sforzo mirato per penetrare anche nelle reti governative isolate della regione.
La nuova versione del malware, denominata Toneshell9, rappresenta un notevole passo avanti rispetto alle versioni precedenti, grazie a meccanismi integrati per operare attraverso server proxy aziendali, consentendo al traffico dannoso di mascherarsi da connessioni di rete legittime.
L’arsenale di Toneshell9 comprende una reverse shell duale per l’esecuzione di comandi paralleli, algoritmi di crittografia unici basati su generatori di numeri casuali modificati e tecniche di occultamento mediante l’inserimento di codice spazzatura con stringhe generate da reti neurali.
 CALL FOR SPONSOR - Sponsorizza la Graphic Novel Betti-RHC Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Conosci il nostro corso sul cybersecurity awareness a fumetti? Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Per mantenere la presenza sulla macchina infetta, viene utilizzato il DLL Sideloading e la comunicazione con i nodi di controllo è mascherata da pacchetti di dati applicativi TLS 1.2. Il design del client consente la gestione simultanea di più server, proxy e set di chiavi. Di particolare rilievo è la capacità di leggere le impostazioni proxy dal registro di Windows, che indica una profonda conoscenza delle architetture di rete.
Allo stesso tempo, gli specialisti IBM hanno identificato un worm USB completamente nuovo, SnakeDisk. Si attiva solo quando vengono rilevati indirizzi IP in Thailandia, il che indica il targeting strategico della campagna. Le attività di SnakeDisk includono l’autopropagazione tramite supporti rimovibili, l’occultamento di file legittimi su unità flash e l’installazione della backdoor Yokai , precedentemente utilizzata negli attacchi contro funzionari thailandesi alla fine del 2024.
Questo metodo consente agli aggressori di bypassare gli air gap e penetrare in sistemi critici fisicamente separati da Internet. La tempistica della campagna coincide con l’escalation dei conflitti di confine tra Thailandia e Cambogia nel 2025, il che aggiunge ulteriore contesto politico all’attacco.
Secondo gli analisti, Hive0154 utilizza attivamente tecniche di ingegneria sociale: documenti falsificati per conto del Ministero degli Esteri del Myanmar sono stati utilizzati per distribuire archivi infetti, distribuiti tramite i servizi cloud Box e Google Drive. File dannosi scaricati da Singapore e Thailandia confermano la mirata diffusione degli attacchi nei paesi del Sud-est asiatico. Il gruppo dispone di bootloader, backdoor e famiglie di worm USB proprietari, il che ne sottolinea l’elevato livello di sviluppo.
IBM X-Force sottolinea che le azioni di Hive0154 rientrano negli interessi strategici della Cina, dove la Cambogia è un alleato chiave e la pressione sulla Thailandia sta diventando uno strumento di politica regionale. La selettività geografica di SnakeDisk dimostra che non si tratta di un’infezione di massa, ma piuttosto di una ricognizione mirata e di una raccolta di informazioni in condizioni di crescente instabilità.
Gli esperti consigliano alle organizzazioni a rischio di rafforzare le proprie difese: monitorare l’attività dei supporti rimovibili, analizzare il traffico TLS senza handshake e controllare attentamente i documenti scaricati dai servizi cloud, anche se sembrano ufficiali. Mustang Panda continua a evolversi e i suoi strumenti più recenti dimostrano che la minaccia per gli stati della regione rimane seria e in crescita.
RedazioneCloudflare ha registrato un’interruzione significativa nella mattina del 5 dicembre 2025, quando alle 08:47 UTC una parte della propria infrastruttura ha iniziato a generare errori interni. L’inci...
Una campagna sempre più aggressiva, che punta direttamente alle infrastrutture di accesso remoto, ha spinto gli autori delle minacce a tentare di sfruttare attivamente le vulnerabilità dei portali V...
Dietro molte delle applicazioni e servizi digitali che diamo per scontati ogni giorno si cela un gigante silenzioso: FreeBSD. Conosciuto soprattutto dagli addetti ai lavori, questo sistema operativo U...
Molto spesso parliamo su questo sito del fatto che la finestra tra la pubblicazione di un exploit e l’avvio di attacchi attivi si sta riducendo drasticamente. Per questo motivo diventa sempre più f...
Dal 1° luglio, Cloudflare ha bloccato 416 miliardi di richieste da parte di bot di intelligenza artificiale che tentavano di estrarre contenuti dai siti web dei suoi clienti. Secondo Matthew Prince, ...
