APT41, il gruppo cinese amplia il raggio d’azione in Africa

Il gruppo cinese APT41, già noto per attività di cyberspionaggio contro industrie di vari settori in oltre 40 Paesi, ha ampliato ulteriormente il proprio raggio d’azione per colpire infrastrutture IT governative in Africa.

A scoprire gli attacchi è stato il team MDR di Kaspersky: come riportato sul blog della compagnia, i ricercatori hanno individuato delle attività sospette su diversi sistemi dell’organizzazione. Il gruppo ha sfruttato servizi interni, indirizzi IP e server proxy hardcoded nel malware per eseguire operazioni di cyberspionaggio.

Dopo una fase iniziale di rilevamento e analisi dei processi in esecuzione, il gruppo ha distribuito sui sistemi strumenti per la comunicazione C2; tra essi spicca Cobalt Strike, usato per raccogliere le informazioni sensibili.

Per ottenere dati dagli host colpiti, gli attaccanti hanno usato anche una serie di tool e stealer automatizzati quali Pillager, Checkout, RawCopy e Mimikatz. Tra i dati sottratti figurano credenziali salvate in browser e database, codice sorgente di progetti, screenshot, email, la lista di software installati nel dispositivo e l’output dei comandisysteminfoetasklist.

Durante l’analisi il team di Kaspersky ha inoltre individuato un server SharePoint compromesso che veniva usato dal gruppo sempre allo scopo di comunicare con l’infrastruttura. Gli attaccanti usavano il server per distribuire due trojan, agents.exe e agentx.exe, i quali gli permettevano di eseguire comandi sui sistemi tramite una web shell chiamata CommandHandler.aspx.

“Gli attaccanti si adattano rapidamente all’infrastruttura del loro obiettivo, aggiornando i loro strumenti dannosi per tener conto di caratteristiche specifiche” ha commentato il team di Kaspersky. “Possono anche sfruttare i servizi interni per la comunicazione C2 e l’esfiltrazione dei dati“.

Il team MDR della compagnia è riuscito a estromettere APT41 dai sistemi colpiti, ma l’impatto è stato significativo. Kaspersky riporta che alcune parti dell’infrastruttura non erano collegate ai sistemi di monitoraggio, quindi non è stato semplice analizzare fin da subito ciò che stava accadendo.

Kaspersky ricorda di mantenere sempre la massima visibilità sull’infrastruttura IT e utilizzare tool di sicurezza in grado di bloccare automaticamente attività malevole o sospette. È inoltre fondamentale evitare di garantire privilegi troppo elevati agli account, soprattutto quelli che vengono usati su tutti o molti host dell’infrastruttura.