Molteplici gruppi di hacking cinesi si avventano sulla stessa catena zero-day

Un nuovo rapporto della società di sicurezza Proofpoint ha identificato molteplici gruppi di minacce allineati alla Cina che sfruttano indipendentemente la stessa catena di vulnerabilità zero-day per violare le organizzazioni. Secondo Proofpoint, lo sfruttamento è iniziato rapidamente dopo la scoperta delle falle, e l'azienda afferma che l'attività è in corso e si prevede che si amplierà man mano che più gruppi adotteranno la tecnica.

Ciò che rende questa campagna degna di nota non è solo la velocità di sfruttamento. È che diversi cluster di hacking separati e allineati allo Stato sembrano essersi concentrati sullo stesso insieme di vulnerabilità nello stesso periodo. Questo tipo di adozione parallela suggerisce che la catena di exploit sia condivisa all'interno dell'ecosistema cinese di spionaggio informatico oppure sia abbastanza semplice che più gruppi l'abbiano scoperta in modo indipendente. In ogni caso, indica un insieme di attori ben finanziati e coordinati che si muovono rapidamente una volta che diventa disponibile una catena di vulnerabilità utilizzabile.

Cosa significa davvero una 'catena zero-day'

Per i lettori che non sono esperti di gergo informatico, una zero-day è una vulnerabilità software sconosciuta al fornitore nel momento in cui viene scoperta e sfruttata, il che significa che non è ancora disponibile una patch. Una "catena" di zero-day si riferisce ad attaccanti che collegano insieme molteplici falle, usando una vulnerabilità per ottenere l'accesso iniziale, un'altra per escalare i privilegi, e così via, fino a ottenere il pieno controllo di un sistema bersaglio.

Questo è importante per gli utenti comuni perché queste catene spesso iniziano con qualcosa di ordinario come un browser, un client di posta elettronica o un pezzo di software aziendale ampiamente utilizzato. Anche se non hai mai sentito parlare dello specifico fornitore o prodotto coinvolto, i componenti software sottostanti compaiono frequentemente sia negli strumenti di consumo che in quelli aziendali. Quando una catena zero-day come questa viene sfruttata attivamente, il tempo inizia a scorrere per i fornitori per rilasciare patch, e per le organizzazioni per applicarle prima che altri attaccanti se ne accorgano.

I risultati di Proofpoint si inseriscono in un modello più ampio e sempre più visibile di operazioni informatiche cinesi legate allo Stato. I ricercatori hanno documentato separatamente hacker cinesi che raddoppiano il loro volume di attacchi usando DeepSeek AI per accelerare la ricognizione e lo sviluppo di malware, mentre altre segnalazioni su campagne sponsorizzate dallo Stato cinese che prendono di mira giornalisti e attivisti mostrano che questi gruppi non si limitano a obiettivi aziendali o governativi. Team investigativi come Intrusion Truth hanno persino lavorato per smascherare nuovi appaltatori informatici cinesi che supportano questo ecosistema dietro le quinte, illustrando quanta infrastruttura e manodopera ci sia dietro campagne come quella appena segnalata da Proofpoint.

Chi viene preso di mira e perché si sta espandendo

Il rapporto di Proofpoint descrive gli obiettivi come "varie organizzazioni", senza restringere la campagna a un singolo settore o regione. Questa ampiezza è coerente con il modo in cui operano tipicamente i gruppi di spionaggio allineati alla Cina: tendono a dare priorità all'accesso rispetto alla precisione, prendendo di mira qualsiasi organizzazione che detenga intelligence preziosa, proprietà intellettuale o dati strategici, che si tratti di un'agenzia governativa, un'istituzione di ricerca o un'azienda privata con utili relazioni nella catena di approvvigionamento.

Il fatto che Proofpoint si aspetti che l'attività si ampli è il dettaglio operativo più importante qui. Le catene zero-day raramente rimangono esclusive a lungo. Una volta che un gruppo dimostra che una catena di exploit funziona, altri tendono a fare reverse engineering o a riscoprire indipendentemente la stessa tecnica, specialmente quando le vulnerabilità sottostanti rimangono non corrette. Probabilmente è in parte il motivo per cui più gruppi sembrano usarla simultaneamente anziché un singolo attore che lavora da solo.

Cosa significa per te

La maggior parte dei lettori di questo articolo non gestisce direttamente i sistemi aziendali presi di mira da questi gruppi, ma gli effetti a catena contano comunque. Le catene zero-day sfruttate contro le organizzazioni spesso si basano sugli stessi stack software, browser, sistemi operativi e strumenti di produttività, che compaiono anche sui dispositivi personali. Quando i fornitori correggono le falle coinvolte in una catena come questa, tali aggiornamenti in genere si applicano ampiamente, non solo alle distribuzioni aziendali.

Se lavori per un'organizzazione, specialmente una nel governo, nella ricerca, nella tecnologia o in qualsiasi settore che gestisce dati sensibili, questo è un buon momento per confermare che il tuo team IT o di sicurezza stia monitorando attentamente gli avvisi dei fornitori e applicando le patch non appena vengono rilasciate. Gli individui dovrebbero trattare questo come un promemoria per mantenere il software aggiornato automaticamente ove possibile, poiché le finestre di sfruttamento zero-day si chiudono più rapidamente per i sistemi che applicano le patch prontamente.

Usare una VPN non fermerà da sola una catena di exploit zero-day, poiché questi attacchi in genere prendono di mira vulnerabilità software piuttosto che il traffico di rete. Ma mantenere una buona igiene di sicurezza generale, mantenere il software aggiornato, usare l'autenticazione a più fattori e limitare l'esposizione non necessaria dei sistemi interni a Internet, rimane la difesa più efficace contro lo sfruttamento opportunistico una volta che una tecnica come questa diventa pubblica.

Restare al passo con una campagna in espansione

Questo tipo di sfruttamento rapido e multi-gruppo è un segno di quanto siano diventate mature e ben coordinate le operazioni di hacking allineate allo Stato. Mentre Proofpoint continua a monitorare la campagna, aspettati che emergano maggiori dettagli sulle vulnerabilità specifiche coinvolte e su quali fornitori siano interessati. Finché le patch non saranno confermate e ampiamente applicate, le organizzazioni dovrebbero presumere che qualsiasi sistema rilevante sia esposto e agire di conseguenza, poiché Proofpoint ha chiarito che questa attività è tutt'altro che conclusa.

Per ora, le conclusioni pratiche sono semplici: applica le patch prontamente, monitora gli avvisi di sicurezza dei fornitori e tratta le segnalazioni di sfruttamento attivo di zero-day come un segnale per rivedere la tua esposizione piuttosto che come un motivo di panico. Le campagne guidate dallo spionaggio come questa si muovono rapidamente, ma le organizzazioni e gli individui che rimangono aggiornati sugli aggiornamenti riducono significativamente il loro rischio.