Operation QUICSILVER colpisce il Myanmar con VHD, LNK e la backdoor Go QUICAgent

🛡️ Executive Summary

• Operation QUICSILVER colpisce personale governativo del Myanmar tramite file VHD camuffati e LNK malevoli che abusano di ftp.exe come LOLBAS.
• Il payload finale QUICAgent è una backdoor Go che usa Cloudflare Workers, QUIC su UDP 443 e traffico RC4 cifrato verso il C2.
• Seqrite attribuisce la campagna a un attore con nexus cinese con confidenza moderata, sulla base di TTP, infrastruttura, vittimologia e artefatti recuperati.

Operation QUICSILVER è una nuova campagna di spionaggio informatico contro personale governativo e diplomatico del Myanmar, costruita attorno a una catena di infezione che combina file VHD, collegamenti LNK, abuso di ftp.exe e una backdoor personalizzata scritta in Go. Il team APT di Seqrite ha denominato il malware finale QUICAgent e valuta con confidenza moderata che l’attività abbia un nexus cinese. La campagna sfrutta esche istituzionali in lingua birmana, documenti diplomatici e infrastrutture legittime come Cloudflare Workers per rendere più difficile distinguere il traffico malevolo da quello ordinario.

Un file VHD porta la vittima dentro una catena LNK e ftp.exe

Secondo l’analisi tecnica pubblicata da Seqrite, l’attacco parte da un Virtual Hard Disk, VHD, presentato come un contenuto apparentemente innocuo. Uno dei campioni analizzati utilizzava come esca un invito in lingua birmana a una cerimonia di diploma attribuita all’Information Technology and Cyber Security Department del Myanmar. Una volta montato il VHD, la vittima incontra un file LNK malevolo che avvia il primo stadio della catena.

L’operatore sfrutta quindi ftp.exe come LOLBAS, cioè un binario legittimo di Windows utilizzato per eseguire attività non previste dal suo normale scopo. Lo script successivo ricostruisce il payload combinando due file camuffati, header.doc e body.doc, prima di avviare il binario finale. È un modello particolarmente utile negli attacchi mirati perché riduce il numero di eseguibili apertamente sospetti presenti sul disco e sfrutta componenti già disponibili sul sistema operativo.

L’uso di utility legittime per attraversare più stadi ricorda la logica osservata in altre campagne di spionaggio dove il malware cerca di confondersi con il normale ambiente Windows invece di introdurre immediatamente tooling riconoscibile.

Le esche puntano direttamente a governo, diplomazia e affari regionali

La vittimologia è uno degli elementi più rilevanti dell’operazione. Seqrite ha ricostruito tre campagne collegate osservate tra aprile e luglio 2026. Il primo campione, HolidayNotice.pdf.exe, utilizzava un falso calendario delle festività Belgio-Myanmar, elemento che secondo i ricercatori potrebbe indicare interesse verso personale di ambasciate, ONG o organizzazioni belghe presenti nel Paese.

A giugno compare TrainingAnnouncement.jpg, seguito a luglio da ACMECS_Pillar_1.vhd: le due campagne condividono payload, infrastruttura C2 e catena di infezione. Nel cestino del VHD gli analisti hanno inoltre recuperato documenti cancellati relativi a BIMSTEC, ASEAN, incontri ONU e attività diplomatiche del Myanmar, compreso un documento sulla politica malese e un falso report intitolato “Inside Story of Trump’s Visit to China”. Seqrite precisa correttamente che questi file non risultano essere stati consegnati direttamente alle vittime, ma il loro contenuto fornisce un contesto importante sulla preparazione delle esche e sul tipo di intelligence ricercata. Il Myanmar compare già in altre campagne associate ad attori cinesi, come quella di Mustang Panda con CoolClient e un rootkit kernel-mode, segno di un interesse persistente verso l’area.

QUICAgent è una backdoor Go con comandi essenziali ma sufficienti

Il payload finale, Windowsupdate.exe, è un binario Windows a 64 bit compilato in Go 1.20. Seqrite lo identifica come una backdoor personalizzata e gli assegna il nome QUICAgent. Il malware raccoglie informazioni di base sul sistema compromesso, tra cui hostname DNS e nome utente attivo, e apre una sessione con il server di comando e controllo. Ogni vittima riceve un identificatore X-Agent-ID, utilizzato dal backend per distinguere gli endpoint compromessi. Il set di comandi è ridotto ma copre tutte le operazioni necessarie per mantenere accesso e svolgere attività di raccolta: shell permette di eseguire comandi, set_heartbeat modifica l’intervallo del beacon, upload e download gestiscono i file, mentre list_dir permette di enumerare directory. I nomi dei comandi non sono memorizzati direttamente in chiaro nel binario, ma vengono confrontati attraverso costanti intere a 64 bit, scelta che rende più scomoda l’analisi statica. La semplicità dell’implant non deve ingannare: per un’operazione di spionaggio mirato, shell remota e trasferimento file sono già sufficienti per raccogliere documenti e introdurre strumenti successivi.

Cloudflare Workers nasconde dinamicamente il vero server C2

Uno degli aspetti più efficaci è la risoluzione dinamica del comando e controllo. QUICAgent contatta inizialmente due endpoint Cloudflare Workers, dai quali riceve in chiaro il nome dell’host C2 effettivo. Durante l’analisi, uno dei Workers ha restituito register[.]mediumser[.]com, risolto all’indirizzo 104[.]64[.]211[.]22. Questo livello intermedio permette agli operatori di modificare il backend senza dover distribuire una nuova versione del malware. L’abuso di Cloudflare Workers come componente di infrastruttura malevola è ormai ricorrente perché il traffico verso domini workers.dev può confondersi facilmente con l’utilizzo legittimo della piattaforma serverless.

Meccanismi simili sono stati osservati anche in CloudZ-Pheno, che utilizza Cloudflare Workers e Pastebin per distribuire configurazioni e payload, e nelle recenti campagne npm che usano Workers come primo canale di download. Per i difensori il problema è evidente: bloccare indiscriminatamente Cloudflare può essere impraticabile, quindi servono correlazione comportamentale e controllo degli endpoint specifici.

Il traffico usa QUIC su UDP 443 e RC4 sopra HTTP/3

Dopo avere ottenuto l’indirizzo reale del backend, QUICAgent stabilisce una comunicazione attraverso QUIC sulla porta UDP 443, quindi sostanzialmente HTTP/3. Il malware invia un beacon ogni cinque secondi per impostazione predefinita e protegge il contenuto JSON con RC4 prima della trasmissione. Seqrite ha individuato direttamente nel binario la chiave hardcoded MySecretEncryptionKey2025!@#$%. La scelta di QUIC ha un duplice vantaggio operativo: il protocollo è sempre più comune nel normale traffico Web e utilizza UDP 443, canale che molte organizzazioni devono consentire per non degradare servizi moderni. Aggiungere RC4 sopra il livello di trasporto rende inoltre meno immediata l’ispezione del contenuto applicativo anche quando la sessione viene osservata. Non si tratta di una tecnica crittograficamente sofisticata, dato che RC4 è obsoleto, ma è sufficiente per impedire la lettura diretta delle strutture JSON nel traffico catturato. L’abuso di servizi cloud e protocolli moderni come elementi di C2 conferma una tendenza già evidente nelle campagne in cui infrastrutture legittime vengono sfruttate per ridurre la visibilità delle comunicazioni malevole.

QUICAgent prova a consumare il tempo delle sandbox prima di collegarsi

Prima di aprire la comunicazione, la backdoor introduce alcune semplici tecniche di sandbox evasion. Il malware attende un intervallo casuale compreso tra 100 e 600 millisecondi e poi esegue 1.000 iterazioni di hashing SHA-256. Lo scopo non è ottenere un risultato utile, ma consumare tempo di esecuzione all’interno di sandbox automatiche con finestre limitate. La tecnica è elementare rispetto alle forme più complesse di fingerprinting dell’ambiente, ma evidenzia una scelta pragmatica: aumentare il costo dell’analisi senza aggiungere molte dipendenze o codice. In contesti di malware mirato, anche pochi secondi sprecati possono essere sufficienti per superare controlli automatizzati progettati per analizzare grandi volumi di campioni. La stessa logica di ritardo artificiale e workload inutile è comune negli impianti che preferiscono rimanere piccoli e stabili invece di integrare una lunga lista di controlli anti-VM.

La persistenza passa dalla cartella Startup dell’utente

Per mantenere l’accesso dopo il riavvio, QUICAgent crea una scorciatoia nella Startup folder dell’utente corrente. Il malware genera temporaneamente uno script PowerShell create_lnk_*.ps1, che produce SystemIn.lnk e lo collega all’eseguibile Windowsupdate.exe. A ogni login il payload viene quindi rilanciato automaticamente. La tecnica non richiede privilegi amministrativi e si adatta bene a un’operazione orientata a workstation diplomatiche e governative dove l’obiettivo principale è la persistenza sotto il profilo dell’utente compromesso. La semplicità rende anche più facile il rilevamento per chi monitora la creazione di nuovi file .lnk nelle directory di Startup, ma può passare inosservata in sistemi dove queste modifiche non vengono normalmente registrate. La combinazione tra LNK iniziale e LNK di persistenza rende inoltre il formato shortcut uno degli artefatti più importanti da includere nelle attività di threat hunting sulla campagna.

GriefLure fornisce uno dei collegamenti tecnici per l’attribuzione

Seqrite collega QUICSILVER a una precedente attività denominata Operation GriefLure, pubblicata nel maggio 2026. Un artefatto decisivo è il nome host di compilazione desktop-stv6gg, individuato anche nel file TrainingAnnouncement.pdf.lnk. Le due campagne condividono inoltre una catena simile: LNK malevolo, abuso di ftp.exe, ricostruzione del payload da header.doc e body.doc. QUICSILVER introduce però una nuova variante della backdoor Go e utilizza infrastrutture differenti. Questa sovrapposizione di TTP e artefatti, combinata con la vittimologia e il materiale diplomatico recuperato, porta Seqrite ad assegnare alla campagna un China nexus con moderata confidenza. La formulazione è importante: non equivale a dimostrare che il governo cinese abbia direttamente ordinato o condotto l’operazione. È una valutazione analitica basata su elementi tecnici e operativi. Lo stesso livello di prudenza è necessario anche in altri casi recenti, come l’attività Chinese-nexus osservata negli attacchi contro VMware vCenter, dove l’attribuzione deriva da molteplici indicatori ma resta espressa attraverso un livello di confidenza.

I difensori devono cercare la catena e non soltanto l’hash del payload

Seqrite pubblica nel report IOC, domini, indirizzi IP, hash e mapping MITRE ATT&CK, utili per bloccare e individuare i campioni osservati. Ma QUICSILVER mostra perché la difesa non possa limitarsi agli indicatori statici. Il backend può cambiare grazie a Cloudflare Workers, il dominio C2 può essere ruotato e il binario Go può essere ricompilato alterando immediatamente l’hash. Molto più stabili sono le relazioni comportamentali: montaggio di VHD ricevuti dall’esterno, esecuzione di LNK, uso anomalo di ftp.exe, ricostruzione di payload da documenti apparentemente innocui, creazione di shortcut Startup e traffico QUIC persistente verso destinazioni non abituali. Per ambienti diplomatici e governativi, dove i documenti ricevuti da enti esterni sono parte integrante del lavoro quotidiano, il valore della campagna sta proprio nella capacità di mascherarsi da normale comunicazione istituzionale. Operation QUICSILVER non introduce una tecnica rivoluzionaria, ma combina in modo efficace esche geopolitiche credibili, living-off-the-land, infrastrutture cloud legittime e una backdoor Go minimale per ottenere un accesso persistente e difficile da distinguere dal traffico ordinario.