MarsSnake Backdoor: uno strumento informatico stealth per lo spionaggio globale

Emerge un'altra minaccia digitale

Nell'ambito dello spionaggio informatico globale, una backdoor recentemente identificata, nota come MarsSnake , sta attirando l'attenzione degli analisti della sicurezza. MarsSnake è stata collegata a un gruppo di minacce informatiche sfuggente chiamato UnsolicitedBooker , che si ritiene operi con legami con la Cina. Questa backdoor è emersa durante una serie di attacchi informatici contro un'organizzazione internazionale con sede in Arabia Saudita.

UnsolicitedBooker, sebbene relativamente poco noto, avrebbe utilizzato campagne di phishing altamente mirate per ottenere l'accesso iniziale. Queste email sono concepite per apparire legittime, spesso con prenotazioni di voli come esca, e sono state inviate a organizzazioni in tutta Asia, Africa e Medio Oriente. La natura continua di questi attacchi, con incidenti documentati nel 2023, 2024 e di nuovo all'inizio del 2025, suggerisce un interesse persistente verso specifici obiettivi geopolitici.

L'anatomia dell'attacco

Il metodo di infiltrazione utilizzato nella campagna MarsSnake riflette un'operazione ben pianificata. Gli aggressori hanno inviato email camuffate da comunicazioni di Saudia Airlines, complete di un allegato Microsoft Word contenente quello che sembrava essere un itinerario di volo. Pur essendo apparentemente innocuo, il documento è stato manipolato con una macro che, una volta abilitata, ha distribuito un file eseguibile denominato smssdrvhost.exe sul computer della vittima.

Questo file funge da loader, installando infine la backdoor MarsSnake. Una volta attivo, MarsSnake stabilisce un contatto con un server di comando e controllo (C&C) esterno, consentendo agli aggressori di interagire con il sistema compromesso. Il livello di accesso fornito da MarsSnake include l'esecuzione di comandi, la manipolazione di file e potenzialmente l'installazione di ulteriore malware, il tutto controllato da remoto tramite l'infrastruttura dell'aggressore.

Cos'è MarsSnake e perché è importante?

MarsSnake si distingue non solo come backdoor, ma anche come uno strumento altamente capace e flessibile per lo spionaggio informatico. La sua capacità di eseguire un'ampia gamma di operazioni lo rende una risorsa preziosa per qualsiasi gruppo APT (Advanced Persistent Threat). MarsSnake è attualmente un'esclusiva di UnsolicitedBooker, a dimostrazione del suo elevato livello di specializzazione nel suo sviluppo e implementazione.

Questa esclusività solleva anche interrogativi sugli obiettivi strategici alla base del suo utilizzo. Gli esperti di sicurezza informatica ritengono che MarsSnake non sia uno strumento per attacchi di massa, bensì progettato per un targeting preciso, mirato a infiltrarsi in istituzioni specifiche e di alto valore. I ripetuti attacchi a una singola organizzazione in Arabia Saudita suggeriscono che l'obiettivo sia la raccolta di informazioni a lungo termine, piuttosto che un rapido guadagno finanziario o un'interruzione del servizio.

Collegamenti con altri attori della minaccia

Sebbene UnsolicitedBooker sia un nome relativamente nuovo nell'ecosistema APT, le sue tattiche e il suo set di strumenti assomigliano a quelli di altri gruppi legati alla Cina. L'utilizzo di backdoor note come Chinoxy, DeedRAT , Poison Ivy e BeRAT è in linea con i comportamenti osservati nelle operazioni attribuite a cluster di minacce come Space Pirates e APT15 .

Inoltre, campagne simili sono state osservate da gruppi come DigitalRecyclers , un'altra entità operante all'interno di APT15. DigitalRecyclers ha preso di mira enti governativi europei utilizzando la propria suite di malware, tra cui una backdoor chiamata HydroRShell . Come MarsSnake, HydroRShell è progettato per l'esecuzione di comandi da remoto e utilizza metodi sofisticati per comunicare con il suo server di controllo, tra cui i Protocol Buffers (Protobuf) di Google.

Il quadro generale: quali sono le implicazioni?

La scoperta di MarsSnake e delle campagne correlate evidenzia un ambiente di minacce informatiche in continua evoluzione, in cui le backdoor stanno diventando sempre più avanzate e mirate ai loro obiettivi. Per le organizzazioni internazionali, in particolare quelle operanti nel settore governativo, diplomatico o delle infrastrutture critiche, l'esistenza di strumenti come MarsSnake sottolinea l'importanza di solide pratiche di sicurezza informatica.

Questi attacchi riflettono anche le più ampie tensioni geopolitiche che si stanno manifestando nel mondo digitale. Mentre le nazioni competono per ottenere vantaggi strategici, lo spionaggio informatico è diventato una tattica privilegiata. Strumenti come MarsSnake rientrano in una tendenza più ampia, in cui gruppi affiliati a stati conducono operazioni di sorveglianza prolungate per raccogliere informazioni sensibili.

Andando avanti

Sebbene MarsSnake possa non avere alcun impatto sull'utente medio, la sua presenza segnala una crescente necessità di cooperazione internazionale in materia di sicurezza informatica. Le organizzazioni devono vigilare sulle campagne di spear-phishing e investire in strumenti di rilevamento delle minacce in grado di identificare intrusioni subdole e a lungo termine.

Per ricercatori e difensori, il monitoraggio di famiglie di malware come MarsSnake fornisce informazioni preziose sulle capacità e le intenzioni degli autori delle minacce. L'analisi continua e la condivisione di informazioni sulle minacce sono essenziali per rimanere al passo con queste sofisticate campagne.

MarsSnake potrebbe essere solo un tassello di un puzzle informatico più ampio, ma la sua comparsa è un chiaro promemoria del fatto che la battaglia per il predominio digitale è ancora molto viva e in continua evoluzione.