JadeProx espone la propria infrastruttura e rivela il loader cinese TriBack

🛡️ Executive Summary

• Un server Alibaba Cloud lasciato con directory aperta ha esposto cronologia Bash, toolkit, webshell e pacchetti di phishing dell’operazione JadeProx.
• TriBack Loader usa DLL sideloading, shellcode cifrato e callback Win32 poco monitorate per distribuire AdaptixC2 e il backdoor Beagle.
• Le difese devono cercare sideloading anomalo, tunnel proxy, callback sospette, webshell e scansioni massive contro appliance e applicazioni vulnerabili.

Un errore di sicurezza operativa ha permesso a Group-IB di ricostruire una campagna di cyber spionaggio collegata a operatori cinesi e attiva tra Sudest asiatico e America Latina. Un server Alibaba Cloud lasciato con il directory listing abilitato esponeva cronologia Bash, strumenti offensivi, percorsi delle webshell e pacchetti di phishing già preparati. L’indagine ha portato all’identificazione del cluster JadeProx e di TriBack Loader, un loader personalizzato distribuito mediante DLL sideloading. Le intrusioni hanno coinvolto un ospedale pubblico vietnamita, il ministero degli Esteri malese, istituti educativi di Hong Kong e obiettivi in Honduras e Venezuela, combinando spionaggio, accesso persistente, proxy e possibile monetizzazione delle infrastrutture compromesse.

Un server Alibaba Cloud aperto rivela l’intera operazione JadeProx

L’indagine è iniziata a metà aprile 2026, quando Group-IB ha individuato un server controllato dagli operatori e ospitato su un’istanza Alibaba Cloud a Singapore. Sulla porta 8000 era rimasto attivo un semplice server HTTP Python con l’indicizzazione delle directory abilitata, mentre la porta SSH risultava raggiungibile. L’errore ha reso consultabili non soltanto file isolati, ma una fotografia quasi completa delle attività: pacchetti destinati al DLL sideloading, tool per il tunneling, scanner, script di evasione, percorsi delle webshell e cronologia dei comandi eseguiti dagli attaccanti. Group-IB ha attribuito il cluster operativo al nome JadeProx, rilevando tecniche sovrapponibili a quelle di più gruppi collegati alla Cina senza arrivare a un’identificazione definitiva. La vittimologia comprendeva sistemi sanitari vietnamiti, infrastrutture governative malesi e numerosi domini educativi di Hong Kong, mentre campagne parallele prendevano di mira il Congresso nazionale dell’Honduras e un portale tributario municipale venezuelano. La distribuzione geografica mostra una capacità operativa più ampia rispetto alle tradizionali campagne regionali: agli obiettivi di intelligence nel Sudest asiatico si affiancano esche finanziarie e istituzionali costruite per bersagli latinoamericani. Questa espansione trova un precedente nella campagna UAT-9244 contro operatori di telecomunicazioni sudamericani, dove un altro cluster cinese aveva combinato backdoor, scanner e infrastrutture proxy per mantenere accessi di lungo periodo.

TriBack Loader usa il sideloading e callback Win32 per eludere gli EDR

Al centro delle diverse catene compare TriBack Loader, identificato da Group-IB in quattro varianti. Il malware viene eseguito attraverso DLL sideloading, tecnica nella quale un binario legittimo e firmato carica una libreria malevola collocata nella stessa directory. In una delle campagne contro l’Honduras, un archivio denominato Estado de Cuenta.zip conteneva un collegamento, uno script VBS, un documento esca e il pacchetto necessario ad avviare il loader. Il documento imitava un estratto conto di Cervecería Hondureña per circa 57.000 lempira ed era indirizzato al Congresso nazionale. Il file legittimo utilizzato come host era un componente Microsoft Service Hub, capace di caricare la DLL hostfxr.dll. Questa libreria decifra il payload attraverso un processo composto da inversione dei byte e rolling XOR, quindi trasferisce l’esecuzione allo shellcode finale. Le varianti non utilizzano sempre lo stesso metodo: un campione richiama InitOnceExecuteOnce, API destinata all’inizializzazione una tantum, mentre quello honduregno registra il payload come callback di una Timer Queue. Entrambe le opzioni evitano la più evidente creazione diretta di thread e possono sfuggire ai controlli concentrati su CreateThread o sui classici pattern VirtualAlloc con permessi eseguibili. La rotazione delle callback Win32 tra le build indica che TriBack non è un loader statico, ma un componente aggiornato per modificare la telemetria prodotta durante l’esecuzione. Una tecnica analoga di caricamento laterale compare frequentemente nelle operazioni cinesi, compresa la campagna in cui Mustang Panda ha distribuito LOTUSLITE attraverso binari Microsoft firmati.

AdaptixC2 e Beagle trasformano il loader in accesso persistente

Due delle varianti TriBack analizzate scaricano beacon di AdaptixC2, framework open source nato per attività di post-exploitation e adversary emulation ma ormai adottato anche in operazioni reali. Group-IB ha decifrato le configurazioni complete, ricavando domini di comando, chiavi RC4, intervalli di sleep e profili HTTP. I beacon comunicavano con sylverixstrategy[.]com e gouvvbo[.]top, domini registrati in prossimità della compilazione dei campioni e gestiti attraverso NameSilo. Una configurazione includeva anche un cookie di sessione GitHub, elemento che crea una sovrapposizione tecnica con profili già osservati nelle attività di Tropic Trooper. Il collegamento non basta da solo per attribuire JadeProx allo stesso gruppo, ma rafforza l’ipotesi di una condivisione di strumenti, configurazioni o procedure operative. AdaptixC2 era già comparso nella campagna in cui Tropic Trooper utilizzava GitHub come parte della propria infrastruttura di comando, rendendo il framework un punto di correlazione rilevante per i team di threat intelligence. Una terza variante di TriBack distribuisce invece Beagle, backdoor associato a domini registrati presso lo stesso provider. Il loader assume così il ruolo di livello comune tra operazioni differenti: la catena iniziale può cambiare in base alla vittima, mentre il componente di esecuzione rimane sufficientemente flessibile da consegnare beacon e backdoor diversi. Il vantaggio per gli operatori consiste nella possibilità di aggiornare l’ultimo stadio senza modificare l’intera campagna di phishing o i pacchetti di sideloading già predisposti.

Ospedali, ministeri e università vengono compromessi con webshell e tunnel

La cronologia Bash esposta ha permesso di seguire diverse intrusioni quasi in ordine temporale. Contro un ospedale pubblico vietnamita, gli aggressori hanno tentato più accessi al sistema PACS, la piattaforma utilizzata per archiviare e distribuire immagini mediche, sfruttando applicazioni Java e interfacce JMX. Dopo il posizionamento delle webshell, hanno utilizzato suo5, tunnel SOCKS5 su HTTP capace di trasformare il server compromesso in un punto di ingresso verso la rete interna. Nei confronti del ministero degli Esteri malese è stato invece impiegato Neo-reGeorg, strumento per creare tunnel attraverso webshell e mantenere l’accesso anche quando le connessioni dirette risultano bloccate.

I comandi mostrano tentativi falliti, installazione di dipendenze e apertura di listener Netcat su più porte, offrendo una visione rara del processo di sperimentazione degli operatori. L’infrastruttura comprendeva inoltre iox per il port forwarding, fscan per la ricognizione interna e una versione offuscata di NPS, proxy capace di multiplexing e accesso alle intranet. L’obiettivo non era limitarsi al primo server esposto, ma usarlo come ponte verso segmenti più sensibili e meno accessibili. La stessa logica di persistenza modulare è emersa con GoSerpent contro governi e rappresentanze diplomatiche del Sudest asiatico, dove proxy SOCKS5, forwarding e credenziali rubate permettevano di muoversi tra host compromessi senza esporre direttamente il comando centrale.

Hong Kong viene scandagliata con 14.653 URL e vulnerabilità critiche

Sul server è stato trovato un file contenente 14.653 URL collegati soprattutto al settore educativo di Hong Kong. La lista includeva sottodomini, indirizzi IP, servizi Whois, registrar, endpoint eduGAIN e 117 porte differenti, comprese RDP, SSH, FTP, MySQL e interfacce web non standard. Gli attaccanti hanno installato Nuclei tramite Go, isolato i template classificati come critici e avviato una scansione automatizzata in modalità silenziosa. L’output indicava tredici vulnerabilità uniche su appliance di rete, applicazioni enterprise e software web. Tra le falle approfondite figuravano CVE-2018-11511, SQL injection in Photo Gallery per ASUSTOR ADM, e CVE-2021-24139, altra SQL injection nel plugin WordPress 10Web Photo Gallery, entrambe con punteggio CVSS 9.8.

Comparivano inoltre CVE-2021-31755, buffer overflow nei router Tenda AC11, e CVE-2021-32305, esecuzione arbitraria di comandi in WebSVN. La selezione mostra come JadeProx combini campagne mirate e sfruttamento opportunistico di vulnerabilità note: prima costruisce grandi inventari, poi concentra l’attività sugli host che presentano falle critiche o accessi utili. I difensori non possono quindi limitarsi a cercare il malware finale. Scansioni distribuite su porte non convenzionali, richieste riconducibili ai template Nuclei, sfruttamento di CVE datate e successiva comparsa di webshell rappresentano una sequenza più stabile degli hash dei singoli payload. La scelta di colpire università e organizzazioni pubbliche asiatiche si inserisce nel quadro già osservato con Shadow-Earth-053 contro governi regionali attraverso server Exchange non aggiornati, dove vulnerabilità note e sistemi esposti fornivano l’accesso iniziale a campagne di intelligence prolungate.

Proxy, miner e phishing rivelano un’infrastruttura a uso multiplo

Il server JadeProx non ospitava soltanto strumenti di spionaggio. Tra i file comparivano un server SOCKS5 compilato in Go, un proxy per XMRig, componenti NPS e uno script modificato denominato fuckaliyun.sh, progettato per disabilitare i sistemi di monitoraggio Cloud Shield e Yundun di Alibaba. Le modifiche allo script indicano che gli operatori possedevano direttamente l’istanza cloud e cercavano di nascondere le proprie attività al provider, non di compromettere il server dall’esterno. Funzioni aggiunte ma non richiamate automaticamente consentivano di avviare un proxy SOCKS5 o compilare XMRig Proxy, suggerendo che la stessa infrastruttura potesse essere riutilizzata, dopo le operazioni principali, per inoltrare traffico o aggregare attività di mining. Group-IB ha inoltre individuato un portale ancora attivo che imitava il sistema tributario municipale di una giurisdizione dello Stato Bolívar, in Venezuela, con lo scopo di raccogliere credenziali. Le esche latinoamericane non appaiono casuali: il falso estratto conto honduregno era indirizzato a un’istituzione precisa e il portale venezuelano riproduceva un servizio amministrativo reale. Il quadro suggerisce un’infrastruttura condivisa tra spionaggio, furto di accessi e sfruttamento economico delle risorse compromesse. Per contrastarla, le organizzazioni devono controllare caricamenti DLL da directory non standard, applicazioni firmate che importano librerie inattese, callback Win32 associate a memoria appena decifrata, tunnel HTTP persistenti e nuove webshell. La bonifica deve comprendere anche la rotazione delle credenziali, l’analisi dei sistemi interni raggiunti attraverso i proxy e la verifica delle appliance vulnerabili: la rimozione di TriBack dal primo endpoint non elimina gli accessi laterali già ottenuti dagli operatori.