Un semestre da urlo! FamousSparrow e SteppeDriver: Gli Ultimi Obiettivi degli Hacker Cinesi

Nel primo semestre del 2026, i gruppi APT hanno mostrato una significativa evoluzione nelle loro tattiche e obiettivi. La Corea del Nord ha continuato a ingannare programmatori e sviluppatori di criptovalute, mentre la Cina ha monitorato il petrolio e le rotte marittime. Gli hacker iraniani, invece, hanno visto una riduzione delle attività a causa delle restrizioni internet. ESET ha dettagliato queste campagne nel suo ultimo rapporto.

La mappa globale dello spionaggio informatico è cambiata notevolmente negli ultimi sei mesi: alcuni gruppi hanno monitorato il petrolio, le rotte marittime e le tecnologie di difesa, altri hanno cercato di colpire le catene di fornitura di energia, criptovalute e software.

ESET ha pubblicato un rapporto sulle attività dei gruppi APT per il quarto trimestre del 2025 e il primo trimestre del 2026. Il documento è stato preparato da Jean-Yan Boutin di ESET Research. Il rapporto contiene campagne importanti monitorate dagli specialisti dell’azienda da ottobre 2025 a marzo 2026.

I gruppi associati alla Cina sono rimasti attivi in tutto il mondo. Secondo ESET, FamousSparrow ha attaccato un’agenzia governativa venezuelana associata all’industria marittima. Lo scopo potrebbe essere quello di monitorare la sostenibilità delle forniture petrolifere dopo l’operazione militare statunitense. SteppeDriver, a sua volta, ha preso di mira la rete statale siriana, cosa che gli autori del rapporto attribuiscono all’interesse di Pechino nella ricostruzione della Siria e alle questioni di sicurezza.

ESET ha inoltre scoperto PhiliKit, un nuovo modulo dannoso della suite SPAWN che è stato collegato a UNC5221 attacca i dispositivi VPN Ivanti. Il gruppo NegativeGlimmer, secondo la società, ha violato organizzazioni governative in Cambogia e Panama, nonché un’azienda sudcoreana di intelligenza artificiale e robotica.

La direzione iraniana è cambiata radicalmente dallo scoppio della guerra alla fine di febbraio 2026. L’attività di noti gruppi APT iraniani nella telemetria ESET è diminuita, probabilmente a causa delle restrizioni Internet all’interno del paese. Allo stesso tempo, è cresciuto il ruolo dei gruppi per procura e degli hacktivisti, che attaccano Israele, gli Stati Uniti e altri stati che Teheran considera avversari.

I gruppi nordcoreani hanno continuato la loro caccia agli sviluppatori e all’industria delle criptovalute. Lazarus e DeceptiveDevelopment si affidavano all’ingegneria sociale a lungo termine, mentre Kimsuky e Konni utilizzavano più spesso attacchi mirati rapidi.

ESET ha visto anche il ritorno di Andariel in Corea del Sud, dove il gruppo ha utilizzato TigerRAT e ha tentato di distribuire il ransomware Rook a una società di ingegneria.

Separatamente, ESET ha descritto le campagne Lazarus Operation DreamJob e Operation DangerousPassword. Il primo era diretto contro i produttori europei di droni. La seconda ha portato alla compromissione della libreria axios per JavaScript, che viene scaricata più di 100 milioni di volte alla settimana tramite npm. Gli aggressori sono riusciti ad accedere all’account del principale manutentore del progetto e hanno rilasciato versioni dannose della libreria.

ESET ha anche menzionato un attacco di phishing contro un think tank giapponese, lo spyware Asin Android per utenti di lingua araba e un attacco contro un’azienda di difesa negli Emirati Arabi Uniti attraverso il server CRM SmartOffice.

Gli attacchi informatici stanno diventando sempre meno incidenti isolati e riflettono sempre più conflitti reali, interessi economici e lotta per l’influenza, quindi ora è necessario proteggersi non solo server, ma anche connessioni tra paesi, aziende e tecnologie.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response