I ricercatori di Check Point hanno collegato tre campagne di cyberspionaggio riconducibili alla Cina a un unico ecosistema di malware e infrastrutture, che chiamano CopperDragon. Secondo l’indagine, durata un anno e pubblicata il 10 novembre, CopperDragon potrebbe agire come un “fornitore”: sviluppa o mette a disposizione il framework Sparrow e altri strumenti a più gruppi legati alla Cina, che li usano contro governi, operatori di telecomunicazioni e infrastrutture critiche in 21 Paesi di Europa, Asia e America Latina.
Che cos’è CopperDragon
CopperDragon è il nome con cui Check Point Research indica l’entità dietro il framework Sparrow. Il punto di partenza è FamousSparrow, gruppo individuato nel 2021, associato alla backdoor SparrowDoor e in passato collegato a Salt Typhoon. Negli anni malware e infrastrutture simili sono comparsi in attività attribuite ad altri gruppi, tra cui Earth Estries, TropicTrooper e UAT-9244. Per i ricercatori questo indica un ecosistema comune che potrebbe servire più operatori.
La distinzione conta per l’attribuzione: trovare lo stesso malware o lo stesso server di comando in due intrusioni non significa necessariamente che dietro ci sia lo stesso attore. Check Point usa infatti un linguaggio prudente e parla di un possibile “quartiermastro digitale”, non di un gruppo unico.
Le tre campagne individuate
La prima, SilentDelivery, colpisce soprattutto Europa e Asia, con casi in Germania, Francia e Repubblica Ceca. Gli attaccanti compromettono siti legittimi di settori come pubblica amministrazione, trasporto marittimo, IT e ricerca e mostrano a visitatori selezionati un falso errore di certificato di Chrome, con un pulsante per installare una presunta correzione. Il file scaricato installa invece la backdoor SquadC o, in alcuni casi, una variante di SparrowDoor.
La seconda, OceanGate, opera in Asia con un’attenzione particolare all’India: sfrutta server Linux esposti su internet, installa le backdoor AnnobinDoor e SparrowShell, ruba credenziali con componenti SSH modificati e poi passa agli ambienti Windows. La terza, DarkWire, si concentra in America Latina contro operatori di telecomunicazioni ed enti governativi, con i nuovi malware CopperDoor e CopperDNS. Per un altro caso recente di spionaggio statale abbiamo raccontato il malware Cereal con cui Turla spia i server Exchange dei governi.
Perché gli operatori telefonici sono un bersaglio
Secondo Check Point, chi compromette un operatore di telecomunicazioni può vedere ben oltre l’azienda: a seconda dei sistemi raggiunti può raccogliere i tabulati delle chiamate, seguire la posizione degli abbonati, leggere SMS e, in alcuni ambienti, arrivare ai sistemi di intercettazione legale, scoprendo chi è monitorato dalle autorità. Una volta dentro le reti Windows, gli attaccanti usano strumenti come CopperLogger per registrare tasti e appunti, CopperLsa per rubare dati di autenticazione e CopperList per raccogliere informazioni su sistemi e file. SparrowShell può appoggiarsi a una versione modificata del rootkit Reptile per nascondere processi, file e traffico su Linux.
Il tema della sicurezza dei fornitori e dei servizi esposti torna spesso nelle analisi di Check Point, come nel rapporto su hacktivismo, ransomware e minacce AI in Italia.
Come difendersi da CopperDragon
- Tenere un inventario aggiornato dei sistemi esposti su internet, applicare rapidamente le patch e monitorare processi, accessi e connessioni anomale sui server pubblici, Linux compresi.
- Diffidare di qualsiasi sito che chieda di scaricare un “correttore di certificati” o un aggiornamento: i veri errori di certificato del browser non si risolvono installando programmi.
- Controllare il caricamento di DLL sospette, il furto di credenziali, i keylogger e l’uso anomalo di strumenti di amministrazione legittimi.
- Limitare RDP, SMB e SSH ai soli sistemi e account che ne hanno bisogno e verificare subito gli accessi amministrativi insoliti.
- Monitorare il traffico DNS e le connessioni in uscita, che possono rivelare backdoor e tunnel mascherati da traffico legittimo.
Fonti: Check Point Blog, Check Point Research.
