Negli ultimi giorni il collettivo TAG 140 – ritenuto un sottogruppo di SideCopy/Transparent Tribe, tradizionalmente associato a influenze pakistane – ha lanciato una nuova campagna di cyber‑spionaggio rivolta contro strutture critiche indiane, inclusi ministeri, difesa, ferrovie e infrastrutture energetiche, sfruttando un RAT evoluto denominato DRAT V2.
L’attacco nasce da un inganno social engineering: i target vengono reindirizzati verso un portale fasullo che imita quello del Ministero della Difesa indiano. Un unico link “attivo” – contenente un comando malevolo – viene copiato sugli appunti del sistema vittima, con l’istruzione di incollarlo in un terminale. Questo provoca il download ed esecuzione di un file HTA tramite mshta.exe, che attiva un loader denominato BroaderAspect. Quest’ultimo crea persistenza, estrae un PDF di copertura e installa il payload principale, cioè DRAT V2.
Rispetto alla versione .NET precedente, la nuova variante compilata in Delphi porta diverse novità:
- Un comando “exec_this_comm” per esecuzione arbitraria di shell, che aumenta la flessibilità operativa post‑infezione.
- C2 (command-and-control) più robusto: supporto a comandi in ASCII e Unicode – la risposta rimane ASCII – e indirizzi IP offuscati in Base64, benché alcune header restino in chiaro, probabilmente per stabilità operativa.
- Persistenza tramite modifiche al registro di Windows, senza anti-analisi sofisticata: meccanismi scoperti tramite analisi statica e comportamentale.
Il risultato è un accesso remoto stabile, modulare, in grado di esfiltrare dati, scaricare payload addizionali e comandare la macchina vittima con controllo fine-granulare.
Dietro l’azione di TAG 140 non c’è solo una spinta tecnologica, ma un chiaro intento geopolitico: monitorare e possibilmente sabotare infrastrutture strategiche indiane, in un contesto di rivalità storica tra Islamabad e Nuova Delhi. Come avvenuto tra maggio e giugno 2025 con l’attività di APT36 e Ares RAT, sembrano emergere operazioni parallele volte a sfruttare tensioni politiche, crisi diplomatiche e militarizzazione regionale.
Il “movente” appare duplice:
- Spionaggio militare e politico – accedere a informazioni di difesa, logistica e trasporti.
- Guerra asimmetrica – trasferire pressione nella dimensione cyber alle autorità indiane, in risposta a operazioni sul terreno, a volte limitate o invisibili.
Da un lato, questi attacchi confermano che i gruppi pakistani come TAG 140/SideCopy non solo sono attivi da anni (almeno dal 2019), ma si evolvono con malware sofisticati, alternando versioni RAT per eludere le difese. Dal mio punto di vista, più che aumentare l’efficacia, la strategia è rendere le loro campagne meno prevedibili e più difficili da tracciare nel lungo termine.
Dall’altro, la clonazione dei portali governativi rappresenta un’ennesima dimostrazione di quanto il fattore umano resti l’anello debole: sensibilizzare i professionisti dell’IT a riconoscere queste tecniche – e implementare sistemi di whitelisting su mshta.exe, monitoraggio clipboard, flagging per chiamate a server sconosciuti – è oggi fondamentale.
La minaccia DRAT V2 di TAG 140 non è soltanto un upgrade tecnologico, ma una mossa ben ponderata in un contesto geopolitico complesso. Per la cybersecurity della tua azienda o istituzione indiana (o comunque esposta), gli aspetti critici su cui lavorare ora sono:
- Rafforzare la resilienza ai clickbait istituzionali falsi;
- Sorveglianza proattiva del comportamento di caricamento HTA e loader;
- Analisi del traffico C2 criptato, soprattutto in uscita da applicazioni sotto stress.
Serve una maggiore cooperazione internazionale tra analisti e governi – magari Italia inclusa – per condividere indicatori di compromissione e prevenire escalation che vanno ben oltre il digitale. In fondo, in questa partita tra India e Pakistan, il cyberspazio è il nuovo campo di battaglia.
Commenti
Posta un commento