Il panorama delle minacce informatiche si evolve continuamente, con gruppi di hacker sempre più sofisticati che prendono di mira organizzazioni governative. Nel 2025, un nuovo attore ha fatto la sua comparsa sulla scena della cybersecurity, dimostrando come anche un software diffuso come WinRAR possa diventare la porta d’ingresso per attacchi mirati.
Amaranth Dragon, un gruppo di cyber-spionaggio collegato alla Cina (e associato ad APT41), ha condotto campagne mirate contro agenzie governative e forze dell’ordine in diversi paesi del Sud-est asiatico, tra cui Singapore, Thailandia, Indonesia, Cambogia, Laos e Filippine. Gli attacchi hanno sfruttato una vulnerabilità critica in WinRAR (CVE-2025-8088), divulgata l’8 agosto 2025. Il gruppo ha iniziato a sfruttare questa falla il 18 agosto 2025, appena quattro giorni dopo che un exploit pubblico era diventato disponibile. La metodologia prevedeva l’uso di archivi RAR malevoli che sfruttavano la vulnerabilità di attraversamento del percorso per scrivere file in posizioni arbitrarie utilizzando gli Alternate Data Streams di Windows, raggiungendo la persistenza inserendo malware nella cartella di avvio automatico. Nelle prime campagne del 2025, il gruppo utilizzava anche archivi ZIP con file .LNK e .BAT, mentre varianti successive impiegavano TGAmaranth RAT con comando e controllo basato su Telegram.
Questi attacchi sono particolarmente significativi perché dimostrano la rapidità con cui gli attori delle minacce possono weaponizzare nuove vulnerabilità. Il targeting specifico di agenzie governative suggerisce obiettivi di spionaggio geopolitico, con potenziali conseguenze per la sicurezza nazionale dei paesi colpiti. L’uso di tecniche di evasione sofisticate, come l’hosting cloud (Dropbox) e l’infrastruttura protetta da Cloudflare con rigoroso geofencing per paese target, evidenzia il livello avanzato di questa minaccia.
Per proteggersi da minacce simili, organizzazioni e utenti dovrebbero aggiornare regolarmente tutti i software, comprese applicazioni comuni come WinRAR, implementare soluzioni di sicurezza email per rilevare tentativi di phishing, adottare un approccio di difesa a più livelli e formare il personale a riconoscere allegati sospetti. L’applicazione di controlli di accesso basati sul principio del minimo privilegio può inoltre limitare l’impatto di eventuali compromissioni.
- Punti chiave da ricordare:
- Gli attacchi di cyber-spionaggio spesso sfruttano vulnerabilità in software comuni e ampiamente utilizzati
- Il tempo tra la divulgazione di una vulnerabilità e il suo sfruttamento da parte degli attaccanti si sta riducendo drasticamente
- Una strategia di sicurezza completa richiede aggiornamenti tempestivi, formazione degli utenti e controlli di accesso rigorosi
Fonti:
BleepingComputer, The Hacker News, Cybersecurity News, Check Point Research, The CyberWire
Fonte: BleepingComputer