Inganno diplomatico: come il Mustang Panda cinese ha infiltrato segreti di Stato con briefing falsi

Tutto è iniziato con una semplice email: un aggiornamento urgente di policy, o magari un briefing riservato, che sembrava provenire da una fonte diplomatica affidabile. Ma per decine di funzionari governativi e diplomatici, ciò che appariva come ordinaria burocrazia era in realtà la prima mossa di una sofisticata campagna di spionaggio orchestrata da Mustang Panda, un noto collettivo di hacker legato alla Cina.

Gli esperti di sicurezza di Dream Research Labs hanno scoperto la campagna dopo che i loro sistemi alimentati dall’IA hanno segnalato documenti sospetti in circolazione tra funzionari internazionali all’inizio del 2026. A differenza dei cyberattacchi più eclatanti che fanno leva su vulnerabilità software o su ransomware rumorosi, questa operazione era inquietantemente ordinaria: si basava sulla fiducia. Le email, costruite per assomigliare a corrispondenza diplomatica ufficiale statunitense o internazionale, contenevano allegati che imitavano veri briefing post-riunione. Con loghi familiari e oggetti plausibili, la trappola era pronta.

Alle vittime bastava aprire il PDF allegato perché iniziasse la compromissione. Il documento eseguiva un payload occulto, sfruttando una tecnica chiamata DLL search-order hijacking - un metodo che inganna programmi legittimi inducendoli a eseguire codice malevolo. Il malware scelto era DOPLUGS, una variante del famigerato strumento PlugX preferito da Mustang Panda da anni. Invece di rubare subito dati o cifrare file, DOPLUGS stabiliva silenziosamente un punto d’appoggio, usando Windows PowerShell per scaricare ulteriori componenti di spionaggio quando necessario.

Gli analisti di Dream hanno evidenziato l’uso, da parte degli attaccanti, di crittografia personalizzata, rendendo le loro operazioni quasi invisibili agli strumenti di sicurezza tradizionali. La sofisticazione della campagna non risiedeva in software all’avanguardia, ma nell’ingegneria sociale: sfruttare l’aspettativa che i briefing diplomatici siano sicuri, di routine e al di sopra di ogni sospetto. Secondo il CEO di Dream, Shalev Hulio, attacchi del genere “minano i meccanismi di fiducia che sostengono il processo decisionale a livello statale”.

Questo episodio sottolinea una realtà sconfortante: nella diplomazia digitale di oggi, la fiducia è sia una valuta sia un’arma. Finché i funzionari dipenderanno da comunicazioni digitali rapide e riservate, gli hacker cercheranno di trasformare quella fiducia in un’arma. La lezione? Anche il documento dall’aspetto più ufficiale merita un secondo sguardo - soprattutto quando sono in gioco segreti di Stato.

WIKICROOK

• Mustang Panda: Mustang Panda è un gruppo di cyber-spionaggio legato alla Cina che prende di mira governi e organizzazioni in tutto il mondo con sofisticate campagne di phishing e malware.
• PlugX: PlugX è un trojan di accesso remoto (RAT) che consente agli attaccanti di controllare i computer infetti, spesso usato nel cyber-spionaggio e nel furto di dati.
• Ricerca DLL: Il DLL search order hijacking è un attacco informatico in cui DLL malevole vengono caricate sfruttando il modo in cui Windows cerca le librerie richieste.
• PowerShell: PowerShell è uno strumento di scripting di Windows usato per l’automazione, ma gli attaccanti spesso lo sfruttano per compiere azioni malevole in modo furtivo.
• Ingegneria sociale: L’ingegneria sociale è l’uso dell’inganno da parte degli hacker per indurre le persone a rivelare informazioni riservate o a fornire accesso non autorizzato ai sistemi.