Report APT ESET: i gruppi filo-cinesi e iraniani intensificano le attività

Le minacce APT sono in aumento e in molti casi stanno estendendo il proprio raggio d’azione: secondo quanto riportato dall’APT Activity Report di ESET, i gruppi filo-cinesi stanno ampliando i propri confini d’attacco, mentre l’Iran ha intensificato lo spionaggio diplomatico.

Nel dettaglio, ESET ha individuato un’espansione significativa di MirrorFace, un gruppo allineato alla Cina. Il gruppo, solitamente concentrato solo su obiettivi giapponesi, ha esteso le proprie operazioni a un’organizzazione diplomatica dell’UE. In generale, i gruppi APT filo-cinesi stanno usando sempre di più SoftEther, VPN open-source e multipiattaforma, per mantenere l’accesso alle reti delle vittime.

I gruppi allineati all’Iran hanno invece colpito diverse società di servizi finanziari in Africa, condotto operazioni di spionaggio informatico contro Iraq e Azerbaigian e intensificato l’interesse verso il settore dei trasporti israeliano. Questi gruppi mantengono comunque un focus globale, prendendo di mira soprattutto organizzazioni diplomatiche in Francia e istituzioni educative negli Stati Uniti.

Anche i gruppi legati alla Corea del Nord stanno continuando con i tentativi di furto di fondi, soprattutto contro contro aziende dei settori della difesa e dell’aerospaziale in Europa e negli Stati Uniti, e prendono di mira sviluppatori di criptovalute, think tank e ONG. Diversi gruppi di attaccanti hanno spesso abusato di popolari servizi basati su cloud.

Infine, ESET ha rilevato che i gruppi di cyberspionaggio allineati alla Russia prendono spesso di mira i server webmail, come Roundcube e Zimbra, di solito con email di spearphishing che attivano vulnerabilità XSS note. Oltre a Sednit, ESET ha identificato GreenCube, un altro gruppo cybercriminale russo che sottrae messaggi email tramite vulnerabilità XSS in Roundcube.

Altre entità concentrano i loro attacchi sull’Ucraina; un esempio è Gamaredon che ha effettuato campagne di spearphishing e continua ad aggiornare i propri strumenti utilizzando anche app di messaggistica come Telegram e Signal. Sandworm ha invece utilizzato una nuova backdoor per Windows chiamata WrongSens.

Il dettaglio geografico degli attacchi APT

In Asia le campagne continuano a concentrarsi sulle organizzazioni governative, anche se c’è stato un aumento di attacchi verso il settore educativo, in particolare contro ricercatori e accademici della penisola coreana e del Sud-est asiatico.

Lazarus, uno dei gruppi allineati alla Corea del Nord, ha continuato a colpire organizzazioni in tutto il mondo nei settori finanziario e tecnologico. Nel Medio Oriente, diversi gruppi APT iraniani hanno continuato a prendere di mira organizzazioni governative, soprattutto in Israele.

Poiché l’Africa è diventata un partner geopolitico importante per la Cina, i gruppi cinesi stanno ampliando le proprie attività in quel continente. Infine, in Ucraina i gruppi allineati alla Russia sono rimasti i più attivi, colpendo enti governativi, il settore della difesa e quello dei servizi essenziali.