Cyberspionaggio su vasta scala, le nuove varianti di PlugX e Bookworm puntano ai provider in Asia

In queste ore è emerso un’operazione cibernetica sofisticata attribuita a gruppi legati alla Cina, che distribuisce versioni aggiornate dei malware PlugX e Bookworm contro operatori telecom e infrastrutture nei paesi dell’Asia centrale e nel Sud-Est (ASEAN). 

La nuova versione di PlugX sfrutta tecniche avanzate: DLL side-loading tramite app legittime, cifratura XOR-RC4-RtlDecompressBuffer, e chiavi RC4, tutte caratteristiche che risultano condivise — almeno parzialmente — con le backdoor RainyDay e Turian. Ciò suggerisce un’evoluzione dei tool tradizionali o un’integrazione tra arsenali informatici diversi. 

Il team Unit 42 di Palo Alto ha approfondito il ruolo di Bookworm, un RAT modulare in uso da tempo presso il gruppo Mustang Panda (anche noto come Stately Taurus). Bookworm è progettato per scaricare moduli aggiuntivi da server di comando e controllo (C2), permettendo ai suoi operatori di espandere le funzionalità a seconda dell’obiettivo. Le versioni più recenti utilizzano tecniche sofisticate, come la codifica dello shellcode in stringhe UUID da decodificare ed eseguire in memoria, ciò che complica l’analisi statica. 

Non è la prima volta che PlugX entra nell’occhio del ciclone: agli inizi del 2025, il Dipartimento di Giustizia degli Stati Uniti e l’FBI hanno condotto un’operazione internazionale che ha rimosso PlugX da oltre 4.200 computer infetti, collegandolo al gruppo Mustang Panda e al finanziamento da parte del governo cinese. 

I ricercatori ritengono che gli attacchi attuali possano essere parte di una strategia prolungata di sorveglianza e penetrazione strategica nelle infrastrutture digitali di regioni di interesse geopolitico. L’uso simultaneo di PlugX e Bookworm indica che l’attore minaccioso dispone di un arsenale diversificato e interoperabile. 

In un contesto in cui le reti telecom sono fondamentali per la governance digitale e la connettività nazionale, queste campagne rappresentano una minaccia persistente e insidiosa. Le contromisure devono passare da un semplice antidoto reattivo a una strategia difensiva integrata, con threat hunting avanzato, monitoraggio comportamentale e cooperazione internazionale nel comparto della cyber intelligence.