Operazioni di spionaggio cinese contro il settore dei semiconduttori taiwanesi, analisi di una campagna mirata

Negli ultimi mesi, il settore dei semiconduttori a Taiwan è stato oggetto di un’intensa attività di cyber‑spionaggio orchestrata da almeno tre gruppi di hacker presumibilmente legati allo stato cinese. Tra marzo e giugno 2025, campagne di spear‑phishing altamente mirate hanno preso di mira non soltanto le aziende coinvolte nella produzione, nel design e nei test di circuiti integrati e semiconduttori, ma anche l’intero ecosistema di fornitori di attrezzature, servizi correlati e persino analisti finanziari specializzati nel mercato dei chip taiwanesi. Questi attacchi hanno dimostrato un’elevata sofisticazione: gli aggressori hanno utilizzato profili contattando risorse umane o dipartimenti di recruiting fingendosi neo‑laureati alla ricerca di opportunità di lavoro. Nei messaggi venivano allegati presunti curriculum in formato PDF che, in realtà, nascondevano file LNK contenenti payload malware. Aprendo il documento, la vittima veniva condotta lungo una catena di attacco multipla che conduceva all’installazione di strumenti come Cobalt Strike o di un backdoor realizzato in linguaggio C chiamato “Voldemort”, con un decoy documentale pensato per far apparire tutto come legittimo.

Il cluster denominato UNK_FistBump ha sfruttato questa tattica per colpire attori chiave della filiera, sfruttando vulnerabilità tecniche e psicologiche con grande efficacia. Voldemort, anche se simile ad altri backdoor utilizzati in passato, presenta caratteristiche riconducibili ad APT41 (conosciuto anche come TA415 o Brass Typhoon), ma con peculiarità che suggeriscono l’operato di un sottoinsieme differente: loader diversi e un IP di comando e controllo codificato direttamente nel malware indicano una campagna separata ma affine. Parallelamente, il gruppo UNK_DropPitch ha focalizzato i suoi attacchi su figure analitiche all’interno di società di investimento che si occupano del settore semiconduttori taiwanese. Qui il vettore è stato un PDF con link malevoli che innescavano il download di un archivio ZIP contenente librerie DLL compromesse, sfruttate tramite DLL side‑loading per eseguire un backdoor chiamato HealthKick in grado di eseguire comandi remoti e trasferire i risultati a un server di controllo remoto.

Nel caso di un attacco osservato tra aprile e maggio 2025, la tecnica di side‑loading ha consentito all’attore malevolo di instaurare una reverse shell TCP, comunicando con un server VPS controllato da hacker situato all’indirizzo IP 45.141.139[.]222 sulla porta TCP 465. L’intera operazione dimostra una chiara strategia di lungo periodo, volta a raccogliere intelligence tecnologica e commerciale in un settore strategico come quello dei chip, cruciale non solo per la Taiwan ma per l’intera catena di fornitura globale e l’industria high‑tech mondiale. La convergenza di attacchi rivolti sia ai fornitori diretti sia agli analisti finanziari rafforza l’idea di una campagna strutturata, con obiettivi ben definiti e strumenti avanzati di social engineering e cyber‑espionaggio.

Per la community della sicurezza informatica, quanto avvenuto tra marzo e giugno 2025 segnala la necessità di alzare il livello di guardia su due fronti: la difesa tecnica dei sistemi IT e OT, e la formazione del personale, in particolare di chi si occupa di recruiting, HR e finanza. Solo un approccio transversale, che combini tecnologie di rilevamento avanzate con programmi di awareness mirati, può costituire una protezione efficace di fronte a campagne state‑sponsored che fanno leva su profili professionali costruiti ad arte e sull’ingegneria sociale più sofisticata.