Segnale d’Ombra: lo spionaggio informatico legato alla Cina viola le reti di telecomunicazioni sudamericane

Nei primi mesi del 2024, le arterie digitali del settore delle telecomunicazioni sudamericano hanno pulsato sotto una minaccia invisibile. Gli investigatori rivelano ora una sofisticata operazione di cyber‑spionaggio, orchestrata da un gruppo legato alla Cina noto come UAT-9244, che si è silenziosamente annidato in profondità nelle reti core della regione. Con un arsenale che combina malware su misura, inganni peer‑to‑peer e automazione a forza bruta, gli hacker sono riusciti a compromettere sistemi vitali-spesso senza lasciare traccia.

Fatti rapidi

• UAT-9244 è un attore di minaccia altamente avanzato con legami con i gruppi di spionaggio cinesi FamousSparrow e Tropic Trooper.
• La campagna prende di mira sia sistemi Windows sia Linux all’interno dell’infrastruttura telecom in tutto il Sud America.
• Tre impianti malware personalizzati-TernDoor, PeerTime e BruteEntry-costituiscono la spina dorsale dell’attacco.
• Gli attaccanti utilizzano protocolli BitTorrent e scansioni automatizzate a forza bruta per muoversi lateralmente ed eludere il rilevamento.
• Persistenza del malware, rimozione furtiva e bypass dei controlli di sicurezza sono tratti distintivi di questa operazione.

Dentro l’operazione: anatomia dell’attacco

I ricercatori di sicurezza di Cisco Talos hanno tracciato le impronte di UAT-9244 lungo una serie di intrusioni di alto profilo. La loro campagna si distingue per ingegnosità tecnica e approccio stratificato. Gli attaccanti iniziano distribuendo TernDoor, una backdoor Windows personalizzata che riprende e potenzia il più vecchio malware CrowDoor. Usando una tecnica chiamata DLL side-loading, TernDoor si camuffa da innocua utility di stampa, caricando in silenzio codice malevolo che concede controllo remoto, accesso ai file e ricognizione approfondita del sistema. Per eludere le difese antivirus, può persino sospendere o terminare i processi di sicurezza e, con un solo comando, disinstallarsi per cancellare le prove.

Se TernDoor colpisce gli endpoint Windows, gli attaccanti non si fermano lì. Il loro impianto Linux, PeerTime (noto anche come “angrypeer”), è una backdoor basata su ELF che sfrutta il protocollo peer‑to‑peer BitTorrent. Questo consente ai sistemi infetti di comunicare in modo discreto, recuperare nuovi payload da peer compromessi e diffondere il malware in modo efficiente tra i dispositivi in rete, inclusi quelli basati su architetture ARM e MIPS. Gli script di distribuzione di PeerTime, costellati di messaggi di debug in cinese semplificato, ne suggeriscono l’origine.

Per ampliare la propria presenza, UAT-9244 scatena BruteEntry, uno scanner in GoLang installato su dispositivi edge compromessi. Queste “Operational Relay Boxes” ricevono liste di bersagli dai server di comando e lanciano attacchi di massa contro servizi SSH, Postgres e Tomcat-riportando le violazioni riuscite tramite dati strutturati. Il risultato: una rete autosufficiente di nodi infetti, costantemente impegnata a sondare e compromettere nuove vittime.

La persistenza è garantita tramite attività pianificate nascoste e modifiche al registro su Windows, e tramite script di shell su misura e distribuzioni Docker su Linux. La furtività, l’adattabilità e la profondità tecnica della campagna la rendono una delle minacce informatiche più significative per i provider telecom sudamericani degli ultimi tempi.

Conclusione

Come dimostra UAT-9244, la battaglia per il controllo delle infrastrutture critiche si combatte nell’ombra-con malware personalizzati, evasione peer‑to‑peer e automazione incessante. Per il settore telecom del Sud America, la lezione è netta: vigilanza, sicurezza multipiattaforma e risposta rapida sono oggi più essenziali che mai di fronte al cyber‑spionaggio legato a Stati.

WIKICROOK

• DLL Side: DLL Side è una tecnica in cui gli attaccanti ingannano i programmi inducendoli a caricare file DLL malevoli, aggirando la sicurezza e ottenendo accesso o controllo non autorizzati.
• Backdoor: Una backdoor è un modo nascosto per accedere a un computer o a un server, aggirando i normali controlli di sicurezza, spesso usato dagli attaccanti per ottenere un controllo segreto.
• Protocollo BitTorrent: BitTorrent è un protocollo P2P per la condivisione di file, spesso usato nella cybersecurity per comunicazioni clandestine tra sistemi compromessi o per distribuire malware.
• ELF: ELF è il formato standard dei file eseguibili per Linux e Unix, cruciale per l’analisi di malware e binari di sistema in ambito cybersecurity.
• Brute: Un attacco a forza bruta è un metodo di hacking automatizzato in cui gli attaccanti provano molte password o chiavi finché non trovano quella corretta per ottenere accesso non autorizzato.