In breve

• 'PlushDaemon' è un gruppo di minaccia legato alla Cina che prende di mira organizzazioni globali dal 2018.
• Gli aggressori dirottano il traffico degli aggiornamenti software per distribuire malware personalizzati, incluso un nuovo impianto chiamato EdgeStepper.
• Le vittime spaziano da aziende di elettronica, università e produttori negli Stati Uniti, Asia e Oceania.
• Il gruppo utilizza una catena di attacco a più fasi per rubare dati e spiare i sistemi infetti.
• Gli aggiornamenti dirottati includono strumenti popolari come Sogou Pinyin, colpendo utenti ben oltre la Cina.

Il cavallo di Troia nei tuoi aggiornamenti

Immagina di aggiornare la tua app preferita, fidandoti che ti protegga-solo per scoprire che proprio quell’aggiornamento apre la porta agli spioni. Questa è la nuova, inquietante realtà che affrontano migliaia di persone mentre il gruppo di hacker 'PlushDaemon' dirotta il semplice aggiornamento software, trasformandolo in un cavallo di Troia digitale. In una campagna che attraversa i continenti, PlushDaemon si è inserito silenziosamente nelle catene di fornitura di software affidabili, usando un toolkit ingegnoso per compromettere i bersagli dall’interno.

Come si svolge l’attacco

Il metodo di PlushDaemon è sia vecchia scuola che all’avanguardia. Prima si infiltrano in router vulnerabili-spesso sfruttando password deboli o bug noti. Una volta dentro, installano un programma furtivo chiamato EdgeStepper, costruito nel linguaggio di programmazione Go, che agisce come un vigile del traffico per la tua connessione internet. Questo impianto intercetta le richieste degli utenti che cercano di aggiornare il proprio software. Se individua un bersaglio-ad esempio, un popolare strumento di scrittura come Sogou Pinyin-reindirizza silenziosamente l’aggiornamento verso server controllati dagli hacker.

Da lì, la trappola è pronta. Invece di un aggiornamento legittimo, la vittima scarica inconsapevolmente un file malware camuffato, LittleDaemon, che apre un canale segreto verso gli aggressori. Questo malware poi scarica un altro payload, DaemonicLogistics, che a sua volta installa la backdoor distintiva di PlushDaemon: SlowStepper. Attraverso questa backdoor, gli hacker possono spiare file, rubare password, intercettare digitazioni e altro ancora-tutto sotto il radar.

Attacchi alla supply chain: la nuova frontiera

Gli attacchi alla supply chain come questo sono particolarmente pericolosi perché sfruttano la fiducia. Se un aggiornamento software proviene da una fonte ufficiale, la maggior parte degli utenti-e persino molti sistemi di sicurezza-lo accetta senza esitazione. PlushDaemon non è certo il primo a trasformare gli aggiornamenti in armi: incidenti noti come l’attacco NotPetya del 2017 e la violazione di SolarWinds si sono basati su strategie simili, causando miliardi di danni e scuotendo la fiducia del mondo tech nella propria infrastruttura.

Ciò che distingue PlushDaemon è la sua portata globale e la raffinatezza tecnica. Secondo ESET, l’infrastruttura del gruppo è abbastanza robusta da compromettere bersagli “ovunque nel mondo”. Hanno dimostrato una particolare abilità nel colpire settori che sono alla base della vita moderna-manifattura, istruzione, tecnologia-rendendo la loro campagna non solo una minaccia tecnica, ma anche geopolitica. Con malware progettati sia per Windows che per Linux, e una lista di vittime in crescita, le operazioni di PlushDaemon evidenziano come la fiducia digitale possa essere trasformata in un’arma su scala globale.

WIKICROOK

• Supply: Un attacco alla supply chain prende di mira fornitori o servizi terzi per compromettere più organizzazioni sfruttando relazioni esterne di fiducia.
• Backdoor: Una backdoor è un modo nascosto per accedere a un computer o server, aggirando i normali controlli di sicurezza, spesso usato dagli aggressori per ottenere il controllo segreto.
• DNS Hijacking: Il DNS Hijacking si verifica quando gli aggressori alterano segretamente le impostazioni DNS, reindirizzando gli utenti verso siti falsi o dannosi all’insaputa delle vittime per rubare dati o diffondere malware.
• Malware Dropper: Un malware dropper è un programma che installa di nascosto altri software dannosi sul dispositivo della vittima, spesso aprendo la strada ad attacchi successivi.
• Implant: Un impianto è uno strumento software o hardware nascosto utilizzato dagli aggressori per accedere, monitorare o controllare segretamente un sistema o dispositivo bersaglio.