Nuovi attacchi prendono di mira l’industria militare di Taiwan

I ricercatori di Trend Micro hanno individuato una serie di attacchi a opera di un gruppo di hacker contro obiettivi dell’industria militare, in particolare contro i produttori di droni di Taiwan. Il cluster di attaccanti, denominato TIDRONE dai ricercatori, è attivo da inizio 2024 e usa diversi toolset malware per attività di spionaggio.

Stando all’analisi di Trend Micro, nei primi mesi dell’anno il gruppo ha colpito principalmente fornitori di servizi di pagamento di Taiwan, mentre da poco prima dell’estate ha spostato l’attenzione verso l’industria militare e dei satelliti.

Pixabay

TIDRONE utilizza due payload malware: CXCLNT e CLNTEND, entrambe backdoor. La prima è in grado di raccogliere informazioni come l’indirizzo IP e MAC del dispositivo compromesso, il nome del computer e l’architettura di sistema per inviarle agli attaccanti; inoltre, possiede capacità di upload e download dei file, probabilmente allo scopo di eseguire payload aggiuntivi.

CLNTEND viene usata invece principalmente per l’accesso remoto e supporta una serie di protocolli di comunicazione quali TCP, HTTP, HTTPS, TLS e SMB (port:445).

Secondo i ricercatori di Trend Micro, il gruppo ha sfruttato UltraVNC, un programma per il controllo remoto dei dispositivi, per distribuire i payload malevoli. “Durante la nostra indagine abbiamo scoperto che lo stesso sistema ERP era presente negli ambienti di diverse vittime, il che suggerisce che il malware sia stato distribuito tramite un attacco supply chain“.

Il team di Trend Micro ritiene che TIDRONE sia un gruppo di attaccanti cinese, al momento non ancora identificato con certezza.

Per proteggersi da questi attacchi, i ricercatori consigliano di scaricare software solo da origini conosciute e legittime, prestare molta attenzione alle tecniche di social engineering e utilizzare software di sicurezza robusti che riescano a individuare i primi segnali di compromissione nel sistema.