Un gruppo informatico cinese ha violato i sistemi dei diplomatici ungheresi dell’UE
Un gruppo di hacker legato alla Cina ha preso di mira le reti diplomatiche europee – compresi i sistemi ungheresi – in una campagna coordinata di cyberspionaggio quest’autunno. Gli aggressori hanno sfruttato una vulnerabilità di Windows recentemente rivelata e hanno distribuito uno spyware in grado di accedere a materiale diplomatico riservato.
Nuova falla di Windows sfruttata dagli aggressori
Secondo un rapporto dettagliato di Arctic Wolf Labs, l’operazione è iniziata a settembre ed è proseguita fino a ottobre, concentrandosi sulle missioni diplomatiche e sulle reti governative. Gli aggressori cercavano informazioni diplomatiche sensibili, tra cui briefing interni, documenti di negoziazione e comunicazioni riservate.
Il gruppo ha sfruttato una vulnerabilità di Windows appena armata e ha installato PlugX, uno strumento di spionaggio usato da tempo che consente l’accesso remoto, l’esfiltrazione dei dati e la sorveglianza segreta. Una volta all’interno, il malware ha permesso agli aggressori di assumere il pieno controllo dei sistemi compromessi.
“L’attacco inizia con e-mail personalizzate che sembrano riguardare eventi diplomatici. Quando viene aperto, l’allegato attiva una vulnerabilità di Windows identificata di recente, consentendo agli aggressori di accedere al sistema. Questo permette al malware di funzionare in modo silenzioso, consentendo il furto di dati e il monitoraggio a lungo termine”, hanno osservato i ricercatori.
L’UNC6384
UNC6384 è un attore di minacce relativamente nuovo, affiliato alla Cina, documentato per la prima volta dall’unità di analisi delle minacce di Google. Il gruppo ha storicamente preso di mira entità diplomatiche, inizialmente nel sud-est asiatico prima di espandere le operazioni in Europa.
Le loro tattiche includono:
- email di spear-phishing altamente personalizzate
- reindirizzamento del traffico e siti web esca
- installatori con firma digitale
- malware residente in memoria progettato per eludere il rilevamento
PlugX – uno strumento ampiamente utilizzato dai gruppi di hacker cinesi per oltre un decennio – rimane un componente fondamentale delle loro operazioni grazie alla sua flessibilità e alla sua furtività.
Anche l’Ungheria nel mirino
Il rapporto non specifica a quali informazioni possano aver avuto accesso gli aggressori o l’entità dei danni, ma la natura della campagna suggerisce che l’obiettivo non era l’interruzione, ma la raccolta di informazioni. Il ruolo dell’Ungheria nel processo decisionale dell’UE, l’appartenenza alla NATO e le relazioni attive con le principali potenze la rendono un obiettivo naturale dell’intelligence.
Tali operazioni raramente mirano a interrompere i servizi. Al contrario, gli aggressori cercano di ottenere un accesso anticipato alle note di fondo classificate e alle posizioni negoziali – informazioni che possono offrire una visione strategica delle decisioni a livello UE e delle direzioni di politica estera dell’Ungheria.
Implicazioni per la sicurezza informatica
Gli esperti avvertono che il patching rapido e la consapevolezza degli utenti rimangono le difese più efficaci. Negli ambienti diplomatici, i tentativi di phishing mirati continuano ad essere il principale punto di ingresso: un singolo invito o allegato convincente può compromettere un intero sistema.
In pratica, questo significa che:
- gli aggiornamenti di sicurezza non possono essere rimandati
- i link e gli allegati richiedono una stretta vigilanza
- la gestione del rischio informatico deve essere parte della routine quotidiana, non solo un compito IT
Arctic Wolf osserva che la campagna dimostra quanto rapidamente i gruppi avanzati si armino di nuove vulnerabilità: anche brevi ritardi nell’applicazione delle patch possono comportare rischi reali per la sicurezza nazionale.
Attacchi informatici in Europa
Negli ultimi anni, le reti governative europee hanno affrontato una crescente pressione da parte di gruppi legati a Cina, Russia e Corea del Nord.
Alla fine di settembre, i principali aeroporti – tra cui Londra Heathrow, Bruxelles e Berlino – hanno segnalato delle interruzioni legate ad un fornitore informatico esterno, causando ritardi e cancellazioni di voli. Nello stesso periodo, diversi ministeri e portali pubblici dell’Europa occidentale hanno subito brevi interruzioni dopo aver rilevato un’attività di rete sospetta.
Gli incidenti evidenziano che le reti diplomatiche non sono gli unici obiettivi: anche i sistemi governativi e infrastrutturali più ampi subiscono una pressione costante. Di conseguenza, tutte le istituzioni che gestiscono informazioni sensibili, non solo i ministeri stranieri, hanno bisogno di una protezione informatica aggiornata.
Immagine di copertina: depositphotos.com