Malware ROAMINGMOUSE: un intruso nei corridoi digitali dell'Asia

Una nuova generazione di strumenti di spionaggio informatico

Un nuovo software dannoso, noto come ROAMINGMOUSE, è recentemente emerso nel mondo dello spionaggio informatico. Si integra silenziosamente nei sistemi e raccoglie informazioni senza essere immediatamente rilevato. A differenza dei ransomware sensazionalistici o degli attacchi informatici dirompenti che conquistano le prime pagine dei giornali di tutto il mondo, ROAMINGMOUSE rappresenta una forma di intrusione più subdola e calcolata, che mette in luce la crescente sofisticatezza delle campagne informatiche sostenute dagli stati.

Gli attori dietro il malware

ROAMINGMOUSE non è una minaccia a sé stante, ma fa parte di un'operazione di spionaggio più ampia che si ritiene sia orchestrata da un gruppo criminale noto come MirrorFace . Questo gruppo, monitorato anche con lo pseudonimo di Earth Kasha, è collegato alla più ampia e ben documentata unità di spionaggio cinese APT10. La loro ultima campagna prende di mira principalmente istituzioni governative e pubbliche in Giappone e Taiwan, due regioni di crescente importanza geopolitica.

Un inizio ingannevole: la configurazione del phishing

Al centro di questa operazione si trova una catena di attacchi che inizia con lo spear-phishing, una tecnica che utilizza email ingannevoli per indurre i destinatari ad aprire contenuti dannosi. In questo caso, le email sono abilmente camuffate e spesso provengono da account legittimi precedentemente compromessi. Nelle email è incorporato un URL di Microsoft OneDrive, che scarica un file ZIP contenente un documento Excel con trappola. Una volta aperto, questo documento esegue ROAMINGMOUSE, un dropper malware con macro abilitate che avvia le fasi successive dell'operazione.

ROAMINGMOUSE in azione

ROAMINGMOUSE agisce da facilitatore. Decodifica un file ZIP incorporato e codificato ed estrae una serie di file sul disco della vittima. Tra questi ci sono file binari Windows legittimi e librerie a collegamento dinamico (DLL), ma anche un payload nascosto: la backdoor ANEL, uno strumento ricorrente nel toolkit di spionaggio di Earth Kasha. Sfruttando una tecnica nota come DLL sideloading, il malware induce i programmi legittimi a eseguire il suo codice dannoso, bypassando così i sistemi di sicurezza di base.

Capacità potenziate dell'ANEL

Ciò che è particolarmente degno di nota nella versione attuale di ANEL sono le sue funzionalità migliorate. L'ultima variante può ora eseguire file oggetto Beacon (BOF) direttamente nella memoria di sistema. I BOF sono programmi specializzati progettati per estendere Cobalt Strike, uno strumento legittimo spesso riadattato dagli aggressori per attività di post-exploit. Ciò consente all'autore della minaccia di esplorare i sistemi infetti in modo più approfondito, acquisendo screenshot, catalogando i processi in esecuzione ed esaminando le strutture del dominio di rete.

Una campagna malware multistrato

Inoltre, questa campagna non riguarda solo un singolo malware. ROAMINGMOUSE viene utilizzato per aprire la strada ad altri strumenti, tra cui NOOPDOOR (noto anche come HiddenFace), un'altra backdoor sofisticata che utilizza DNS-over-HTTPS (DoH). Questa tecnica crittografa il traffico web, rendendo più difficile per gli strumenti di sicurezza di rete individuare e bloccare le comunicazioni del malware con i suoi server di comando e controllo.

Implicazioni per obiettivi di alto valore

Le implicazioni di questa campagna sono significative, sebbene non necessariamente allarmanti, per il grande pubblico. Ciò che rivela è il continuo cambiamento nelle tattiche di conflitto informatico: dagli attacchi dirompenti allo spionaggio silenzioso e mirato. Gli obiettivi principali sono enti governativi e organizzazioni che gestiscono infrastrutture critiche, soprattutto coloro che detengono informazioni sensibili relative alla sicurezza nazionale, ai piani infrastrutturali e alla proprietà intellettuale.

Rispondere al panorama delle minacce

Inserendosi profondamente nei sistemi istituzionali, gli attori delle minacce come Earth Kasha mirano a rimanere inosservati il più a lungo possibile, sottraendo dati che possono orientare decisioni strategiche, politiche o economiche. Sebbene non sia stata segnalata alcuna singola violazione che abbia causato danni evidenti, l'effetto cumulativo di tale sorveglianza a lungo termine potrebbe influenzare la stabilità regionale, i negoziati commerciali o lo sviluppo delle politiche.

Un appello alla vigilanza e alla resilienza

Alle organizzazioni che affrontano questo livello di minaccia si consiglia di rafforzare la propria strategia di sicurezza informatica. Ciò include l'adozione di principi di "zero trust", l'utilizzo di strumenti avanzati di rilevamento delle minacce, il monitoraggio delle attività interne per individuare anomalie e la formazione continua per aiutare i dipendenti a riconoscere i tentativi di phishing. In questo contesto, la sicurezza informatica diventa meno una questione di prevenzione e più di rilevamento precoce e risposta resiliente.

Conclusione

ROAMINGMOUSE non è un avvertimento di pericolo imminente per gli utenti comuni, ma serve a ricordare la natura in continua evoluzione delle minacce digitali. Man mano che le operazioni informatiche diventano più mirate e tecnicamente avanzate, anche le difese che proteggono i sistemi critici devono evolversi. Silenziosa e discreta, questa nuova campagna malware dimostra che nell'era moderna dello spionaggio, le minacce più pericolose potrebbero essere quelle che non si annunciano affatto.