Un gruppo APT statunitense ha attaccato industrie cinesi

Un nuovo gruppo APT entra nei radar dei ricercatori di sicurezza e questa volta si tratta di una minaccia statunitense: secondo il team RedDrip di Qianxin Technology, compagnia di cybersicurezza cinese, dal 2023 il gruppo NightEagle avrebbe attaccato ripetutamente industrie tecnologiche e militari cinesi a scopi di intelligence.

Secondo l’analisi del team, resa nota in occasione della National Cyber Defence and Security Exhibition and Conference (CYDES) in Malesia, il gruppo avrebbe sfruttato una serie di vulnerabilità di Microsoft Exchange per accedere ai dati sensibili.I bug usati dal gruppo APT statunitense non sono ancora stati individuati.

I ricercatori hanno spiegato che, una volta ottenuta la machineKey del server exchange, i cybercriminali hanno eseguito una serie di operazioni di deserializzazioni di file per poi impiantare Chisel nei server, una backdoor che gli consentiva di accedere al contenuto delle email da remoto.

Secono l’analisi di Qianxin Technology, NightEagle operava a orari prefissati, senza mai sforare, tra le 21 e le 6 secondo l’ora locale di Pechino; analizzando i diversi fusi orari, il tipo di obiettivi colpiti e le motivazioni degli attacchi, i ricercatori ritengono che NightEagle sia di origine statunitense.

Sembra che il gruppo abbia molta disponibilità economica: il team della compagnia cinese ha infatti affermato che NightEagle ha usato un dominio diverso per ogni obiettivo, per “scomparire” dopo ogni attacco.

Dall’analisi emerge anche che il gruppo sembra scegliere i propri obiettivi in base agli eventi geopolitici in corso; in molti casi, inoltre, NightEagle ha colpito industrie tecnologiche con una forte presenza nel mercato dell’intelligenza artificiale.

“Le attività di NightEagle riflettono le caratteristiche dei più noti gruppi APT in fase di emersione: veloci, precisi e senza scrupoli“ ha commentato la compagnia. L’individuazione di questo nuova minaccia ha evidenziato la necessità non solo di essere in grado di bloccare le attività dei gruppi APT noti, ma soprattutto di agire in maniera proattiva per identificare minacce e anomalie ancora sconosciute.