Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Timitator (战术模仿者) attacca la Cina! Utilizza il Sideloading DLL combinando Programmi Legittimi e Librerie Dannose

Redazione RHC : 14 Maggio 2024 10:56

Tra il 2022 e il 2023, la cyber gang Timitator (战术模仿者) ha attaccato attivamente le istituzioni energetiche, scientifiche e militari cinesi. Gli attacchi sono stati effettuati tramite phishing e altri metodi volti a compromettere i sistemi target.

Il gruppo Timitator ha utilizzato diversi formati di file dannosi come “.exe”, “.chm”, “.iso” e “.lnk”. Dopo aver avviato con successo i file infetti, la prima fase è stata scaricare CobaltStrike per stabilire una connessione stabile, quindi scaricare attraverso di esso il codice dannoso personalizzato, consentendo di valutare la rete e sviluppare piani di attacco individuali per ciascun dispositivo infetto.

Recentemente, il laboratorio Xunxinfo ha rilevato una nuova serie di istanze di phishing di software dannoso provenienti da Timitator. Invece di CobaltStrike, hanno utilizzato uno strumento di gestione remota scritto in Rust. Alcuni di questi file contenevano firme e descrizioni Microsoft false mascherate da software legittimo.


Sponsorizza la prossima Red Hot Cyber Conference!

Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un paccheto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.

Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.



Supporta RHC attraverso:
L'acquisto del fumetto sul Cybersecurity Awareness
Ascoltando i nostri Podcast
Seguendo RHC su WhatsApp
Seguendo RHC su Telegram
Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.


Il gruppo Timitator utilizza regolarmente la tecnica del sideloading DLL, combinando programmi legittimi con librerie dannose. Ad esempio, la libreria dannosa WTSAPI32.dll è stata utilizzata con il sistema di controllo della temperatura NitroSense e Log.dll è stata utilizzata con l’antivirus Bitdefender. Queste librerie dannose erano protette da un wrapper VMP, ma a causa della mancanza di una firma legittima la loro efficacia contro gli antivirus era ridotta.

Durante l’analisi, è stato stabilito che la prima fase di download dello shellcode corrisponde a campioni precedentemente attribuiti a un altro gruppo di hacker, OceanLotus. Ciò suggerisce una possibile relazione tra Timitator e OceanLotus.

Nel frattempo, Timitator continua a prendere di mira attivamente le principali istituzioni cinesi, adattando i suoi metodi e strumenti per aggirare i moderni sistemi di sicurezza. L’uso di nuovi strumenti basati su Rust, così come la falsificazione delle firme, indicano un alto grado di preparazione e ingegnosità degli aggressori.

sha256Tempo di caricamentotypeC2
49d3777d0d02cd2a4d1c44313c72279fee1681c1e3566535f9117d17b274424b2024-03-22CobaltStrike39.104.205.68:443
acf0fb4dac33e197de3a3e142eeaa7e5a892607424e8ea8708d49c65f3703d612024-03-25CobaltStrike64.176.58.16:80
87bfce678855fa498d85b143beaf129f9bd468ebdcc1226b2ba39780a02f3d2e2024-03-28RUST38.180.94.8:80
aac2cbd4cb119dec6c9a8c58f86b8bdd83d27fdaed85149bb2572599de9e32c02024-04-12RUST38.180.94.8:80

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

I Padri Fondatori della Community Hacker
Di Massimiliano Brolli - 06/09/2025

La cultura hacker è nata grazie all’informatico Richard Greenblatt e al matematico Bill Gosper del Massachusetts Institute of Technology (MIT). Tutto è iniziato nel famoso Tech Model Railroad Club...

38 milioni di Numeri di telefono di Italiani in vendita nel Dark Web. E’ che Smishing Sia!
Di Redazione RHC - 06/09/2025

Sette italiani su dieci hanno il proprio numero di telefono incluso in questa banca dati. Ma cosa significa attualmente disporre di un tale quantitativo di numeri telefonici concentrati all’interno ...

Se Flash è morto, ecco a voi l’SVG Assassino! Il phishing 2.0 è in alta definizione
Di Redazione RHC - 05/09/2025

I criminali informatici hanno lanciato una nuova ondata di attacchi che utilizzano file SVG per distribuire pagine di phishing. Gli esperti di VirusTotal hanno segnalato che gli aggressori si spaccian...

Supercomputer: l’Italia al sesto e decimo posto nella classifica TOP500 del 2025
Di Redazione RHC - 05/09/2025

Il mondo dei supercomputer è entrato nell’era dell’exascale computing. La classifica TOP500 di giugno per il 2025 ha registrato tre sistemi americani ai vertici, un debutto clamoroso dall’Europ...

16 miliardi di credenziali rubate da Apple, Meta e Google in vendita per 121.000 dollari
Di Redazione RHC - 05/09/2025

Il team di Darklab, la community di esperti di threat intelligence di Red Hot Cyber, ha individuato un annuncio sul marketplace del dark web “Tor Amazon”, l’analogo criminale del celebre e-comme...