Timitator (战术模仿者) attacca la Cina! Utilizza il Sideloading DLL combinando Programmi Legittimi e Librerie Dannose

Tra il 2022 e il 2023, la cyber gang Timitator (战术模仿者) ha attaccato attivamente le istituzioni energetiche, scientifiche e militari cinesi. Gli attacchi sono stati effettuati tramite phishing e altri metodi volti a compromettere i sistemi target.

Il gruppo Timitator ha utilizzato diversi formati di file dannosi come “.exe”, “.chm”, “.iso” e “.lnk”. Dopo aver avviato con successo i file infetti, la prima fase è stata scaricare CobaltStrike per stabilire una connessione stabile, quindi scaricare attraverso di esso il codice dannoso personalizzato, consentendo di valutare la rete e sviluppare piani di attacco individuali per ciascun dispositivo infetto.

Recentemente, il laboratorio Xunxinfo ha rilevato una nuova serie di istanze di phishing di software dannoso provenienti da Timitator. Invece di CobaltStrike, hanno utilizzato uno strumento di gestione remota scritto in Rust. Alcuni di questi file contenevano firme e descrizioni Microsoft false mascherate da software legittimo.

Il gruppo Timitator utilizza regolarmente la tecnica del sideloading DLL, combinando programmi legittimi con librerie dannose. Ad esempio, la libreria dannosa WTSAPI32.dll è stata utilizzata con il sistema di controllo della temperatura NitroSense e Log.dll è stata utilizzata con l’antivirus Bitdefender. Queste librerie dannose erano protette da un wrapper VMP, ma a causa della mancanza di una firma legittima la loro efficacia contro gli antivirus era ridotta.

Durante l’analisi, è stato stabilito che la prima fase di download dello shellcode corrisponde a campioni precedentemente attribuiti a un altro gruppo di hacker, OceanLotus. Ciò suggerisce una possibile relazione tra Timitator e OceanLotus.

Nel frattempo, Timitator continua a prendere di mira attivamente le principali istituzioni cinesi, adattando i suoi metodi e strumenti per aggirare i moderni sistemi di sicurezza. L’uso di nuovi strumenti basati su Rust, così come la falsificazione delle firme, indicano un alto grado di preparazione e ingegnosità degli aggressori.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.