GoSerpent spia governi e diplomatici del Sudest asiatico con una catena modulare

🛡️ Executive Summary

• GoSerpent mantiene accesso remoto persistente attraverso shell, proxy SOCKS5, port forwarding e instradamento del traffico tra host compromessi.
• La catena integra Mimikatz, QuarksDumpLocalHash, ThumbcacheService, Stowaway e payload eseguiti in memoria per raccogliere ed esfiltrare documenti.
• La possibile relazione con TetrisPhantom resta da confermare, ma obiettivi, durata e specializzazione indicano un’operazione di spionaggio avanzata.

Un backdoor multipiattaforma sviluppato in Go viene utilizzato almeno dal 2021 contro enti governativi e diplomatici del Sudest asiatico. La minaccia, denominata GoSerpent, ha continuato a evolversi fino alle varianti distribuite tra la fine del 2025 e il 2026, introducendo maggiore offuscamento e una catena operativa composta da strumenti specializzati. Il malware principale garantisce accesso remoto, tunneling e movimento attraverso i sistemi compromessi; componenti aggiuntivi estraggono credenziali, individuano documenti di interesse e preparano l’esfiltrazione. La possibile sovrapposizione con TetrisPhantom rafforza l’ipotesi di una campagna orientata allo spionaggio di lungo periodo, ma non consente ancora un’attribuzione definitiva.

GoSerpent mantiene un accesso remoto flessibile e difficile da isolare

GoSerpent è un Remote Access Trojan compilato in Go e progettato per offrire agli operatori più modalità di comunicazione con la rete compromessa. Il backdoor può aprire shell remote, creare proxy SOCKS5, effettuare port forwarding e instradare il traffico attraverso host intermedi già sotto controllo. Queste capacità permettono agli aggressori di utilizzare una macchina compromessa come punto di transito verso sistemi non esposti direttamente a Internet, nascondendo al contempo l’indirizzo reale dell’infrastruttura di comando. Le varianti più recenti accettano argomenti dalla riga di comando codificati in Base64 e protetti con AES-CBC. Il vettore di inizializzazione è fisso, mentre le chiavi vengono derivate da stringhe predefinite incorporate nel malware. Per le comunicazioni di rete viene invece impiegato ChaCha20, con una chiave ottenuta attraverso l’hash SHA-256 di una password condivisa. La scelta di cifrare sia i parametri locali sia il traffico rende più difficile comprendere immediatamente la configurazione durante un’analisi statica, pur lasciando elementi deterministici che i ricercatori possono ricostruire. L’architettura ricorda quella di altre campagne rivolte ai governi asiatici, come UAT-8302 con NetDraft, CloudSorcerer e SNOWRUST, nelle quali più impianti e protocolli vengono combinati per garantire ridondanza e persistenza.

Le campagne colpiscono obiettivi governativi e diplomatici almeno dal 2021

Le attività associate a GoSerpent risultano documentate almeno dal 2021, ma le varianti più evolute sono state osservate tra la fine del 2025 e febbraio 2026. Una nuova fase operativa, emersa nel maggio successivo, ha introdotto ulteriori strumenti dedicati alla raccolta e al trasferimento dei dati. La durata indica un’operazione costruita per rimanere attiva nel tempo, aggiornando i componenti senza modificare radicalmente gli obiettivi. Gli enti governativi e diplomatici del Sudest asiatico custodiscono comunicazioni politiche, documenti negoziali, informazioni consolari e dati sulle relazioni internazionali, materiale più utile per attività di intelligence che per estorsioni economiche. Non risultano funzioni ransomware o operazioni distruttive associate alla campagna: gli aggressori privilegiano il controllo silenzioso, la ricerca selettiva e l’esfiltrazione. Il modello è coerente con precedenti operazioni di spionaggio contro la regione, tra cui Shadow-Earth-053 contro governi asiatici attraverso server Exchange non aggiornati e CL-UNK-1068 contro organizzazioni pubbliche dell’Asia. In tutti questi casi, il valore dell’accesso deriva dalla possibilità di osservare nel tempo l’attività interna, non dalla necessità di produrre immediatamente un impatto visibile.

ThumbcacheService seleziona documenti e controlla anche il cestino

Dopo l’installazione del backdoor principale, gli aggressori distribuiscono ThumbcacheService, una DLL malevola registrata come servizio Windows e progettata per individuare documenti considerati rilevanti. Il componente ricerca file con estensioni .doc, .docx, .pdf, .xls e .xlsx, formati tipici della documentazione amministrativa, diplomatica e finanziaria. I contenuti vengono compressi con 7-Zip utilizzando una password predefinita e archiviati nel percorso C:\Users\Public\thumbcache_605a.db. Il nome richiama i database legittimi utilizzati da Windows per memorizzare le miniature, tentando di far apparire il file come un artefatto ordinario del sistema.

Il malware controlla inoltre il cestino, recuperando documenti eliminati dagli utenti ma non ancora rimossi definitivamente dal disco. Questa funzione aumenta il valore della raccolta perché consente di acquisire bozze, file scartati o materiali che il personale riteneva di avere cancellato. L’operazione non esfiltra indiscriminatamente tutto il filesystem: filtra i contenuti in base al formato, li concentra in un archivio e prepara un trasferimento successivo. La selettività riduce il volume del traffico e rende l’attività meno evidente rispetto a una copia massiva delle directory.

Mimikatz e QuarksDumpLocalHash forniscono le credenziali per espandere l’accesso

La catena include strumenti per il dumping delle credenziali come Mimikatz e QuarksDumpLocalHash. Il primo può estrarre password, hash, ticket Kerberos e altri segreti dalla memoria dei sistemi Windows; il secondo mira in particolare agli hash degli account locali. Le informazioni recuperate permettono agli aggressori di accedere a condivisioni di rete, utilizzare account privilegiati e spostare i dati tra host senza introdurre immediatamente protocolli personalizzati. L’impiego di credenziali valide offre infatti due vantaggi: le connessioni possono apparire come normali attività amministrative e gli operatori sfruttano autorizzazioni già esistenti invece di forzare ogni singolo sistema. Il rischio aumenta quando le stesse password vengono riutilizzate, gli account locali condividono hash identici o le identità amministrative possono autenticarsi su più segmenti. Le organizzazioni governative devono quindi controllare non solo la presenza degli eseguibili noti, ma anche accessi insoliti a condivisioni SMB, autenticazioni laterali e processi che tentano di leggere LSASS o gli hive del registro. La protezione delle credenziali, la separazione degli account amministrativi e il blocco del riutilizzo delle password locali possono interrompere l’operazione prima che il backdoor raggiunga l’intera infrastruttura.

Stowaway trasporta TmcLoader e abilita il tunneling inverso

Nella fase osservata a maggio 2026, gli attaccanti hanno utilizzato una versione personalizzata di Stowaway, framework open source per tunneling e gestione delle connessioni attraverso reti compromesse. Il tool stabilisce canali inversi, supera configurazioni nelle quali le connessioni in ingresso sono bloccate e permette di trasportare altri componenti attraverso host già controllati. Stowaway viene impiegato per consegnare TmcLoader, registrato come servizio Windows con nomi che imitano processi legittimi, tra cui lass.exe o updates.exe. Il primo richiama volutamente lsass.exe, sfruttando una differenza di una sola lettera che può sfuggire durante un controllo rapido. TmcLoader carica in memoria TmcPayload, riducendo gli artefatti scritti sul disco e complicando l’analisi basata sui file. Il payload legge una configurazione cifrata e gestisce il trasferimento degli archivi raccolti. L’uso di un framework pubblico non riduce il livello della minaccia: consente al gruppo di evitare lo sviluppo di ogni componente di rete e di concentrare le risorse sui moduli proprietari. La combinazione tra software open source, servizi falsi ed esecuzione in memoria è già comparsa in campagne come EggStreme contro organizzazioni del Sudest asiatico, dove strumenti legittimi e impianti personalizzati concorrevano a ridurre la visibilità dell’attacco.

TmcPayload esfiltra gli archivi attraverso le condivisioni di rete

TmcPayload non trasferisce necessariamente i documenti direttamente da ogni endpoint verso un server esterno. Il componente utilizza le credenziali sottratte per raggiungere condivisioni di rete e spostare il database creato da ThumbcacheService verso sistemi selezionati. Questa architettura consente di concentrare i dati in uno staging host prima dell’esfiltrazione finale, riducendo il numero di macchine che comunicano con l’esterno. Il traffico SMB interno può inoltre risultare meno sospetto rispetto a connessioni cifrate verso indirizzi sconosciuti, soprattutto in reti governative dove lo scambio di documenti attraverso share è comune. Gli aggressori separano così raccolta, aggregazione ed esfiltrazione: GoSerpent garantisce il controllo, ThumbcacheService prepara i file, gli strumenti di credential dumping forniscono gli accessi e TmcPayload gestisce il trasferimento. Questa divisione modulare rende la campagna resiliente. La rimozione di un singolo componente non elimina necessariamente gli altri, mentre gli operatori possono aggiornare solo la parte necessaria senza ridistribuire l’intera toolchain.

I collegamenti con TetrisPhantom restano possibili ma non definitivi

L’analisi indica una possibile relazione con TetrisPhantom, attore già noto per campagne contro enti governativi basate anche sull’abuso di dispositivi USB sicuri. Matrice Digitale aveva seguito il gruppo negli approfondimenti su TetrisPhantom e le unità USB utilizzate per colpire organizzazioni pubbliche e sulla campagna di cyber spionaggio associata allo stesso cluster. La connessione con GoSerpent può essere sostenuta da sovrapposizioni negli obiettivi, nelle tecniche o negli strumenti, ma non deve essere trasformata in un’attribuzione certa senza indicatori infrastrutturali e di codice sufficientemente solidi. Gruppi differenti possono utilizzare gli stessi framework open source, colpire la stessa regione o adottare procedure simili. La prudenza è particolarmente importante nelle operazioni di spionaggio, dove gli attori possono riutilizzare malware, condividere accessi o introdurre false piste. Il dato più affidabile rimane la continuità della campagna: un operatore competente ha mantenuto per anni una toolchain dedicata a obiettivi governativi e diplomatici, aggiornandone progressivamente la capacità di occultamento ed esfiltrazione.

I provider cloud legittimi rendono il traffico C2 meno evidente

Gli indirizzi di comando e controllo associati alla campagna risultano ospitati anche su infrastrutture legittime come Alibaba Cloud e UCLOUD HK. I servizi cloud offrono provisioning rapido, connettività affidabile e indirizzi che non possono essere bloccati indiscriminatamente senza rischiare di interrompere applicazioni lecite. Gli aggressori sfruttano questa reputazione per mescolare il traffico malevolo con quello ordinario e sostituire rapidamente i server rimossi. La difesa deve quindi valutare la destinazione nel contesto del singolo host: una connessione verso un provider noto può essere anomala se parte da un server che non ha alcuna ragione operativa per comunicare con quella regione o con quello specifico account cloud. Frequenza, durata, volume e processo originario risultano più utili del semplice indirizzo IP. Le connessioni persistenti di un eseguibile sconosciuto, i tunnel SOCKS5 e il port forwarding devono ricevere priorità anche quando attraversano infrastrutture considerate affidabili.

Il rilevamento deve ricostruire l’intera catena e non cercare un solo malware

Le organizzazioni potenzialmente esposte devono cercare gli hash associati a GoSerpent, McMx, ThumbcacheService, Stowaway, TmcLoader e TmcPayload, ma gli indicatori statici rappresentano soltanto il primo livello. Occorre monitorare servizi installati con nomi simili a processi Windows, eseguibili Go di grandi dimensioni, argomenti Base64 insoliti, archivi creati sotto C:\Users\Public e accessi ripetuti al cestino o ai documenti Office. L’avvio di Mimikatz, QuarksDumpLocalHash o strumenti equivalenti deve essere correlato con autenticazioni laterali e copie verso condivisioni SMB. Gli endpoint governativi e diplomatici richiedono inoltre segmentazione, allowlist applicative, protezione di LSASS, logging centralizzato e controllo degli account di servizio. GoSerpent dimostra che una campagna di spionaggio matura non dipende da un singolo backdoor: costruisce un ecosistema nel quale ogni componente svolge una funzione precisa. Individuare soltanto il RAT principale può lasciare attivi i servizi di raccolta, i tunnel o le credenziali già sottratte. La risposta deve quindi ricostruire l’intera sequenza, isolare gli host coinvolti e ruotare tutte le identità utilizzate durante il periodo di compromissione.