- MCTO1025, noto anche come UCA-0050, è un gruppo criminale informatico che ha condotto una campagna prolungata, durata un anno, rivolta contro l’Ucraina, la Romania e la Moldavia, operando da un’infrastruttura ASN single
- Sofisticate campagne di ingegneria sociale che si spacciano per i servizi di sicurezza ucraini e russi, piani di evacuazione e comunicazioni relative alla mobilitazione militare
- Notevole attacco informatico ai danni del canale televisivo moldavo TV8, utilizzato nel gennaio 2024 per operazioni di autopromozione e disinformazione da parte di un gruppo
- Campagne di reclutamento che offrono "un passaggio sicuro" verso la Russia, volte a facilitare le operazioni di riciclaggio di denaro e la raccolta di informazioni
- La distribuzione di malware si concentra su trojan di accesso remoto di uso comune, tra cui QasarRAT, RemoteUtilities, RemcosRAT e RuRAT
- Tra i recenti sviluppi della campagna figura l’utilizzo del loader AnonVNC mediante l’usurpazione dell’identità dei servizi di sicurezza ucraini
Threat intelligence
Un attacco di ingegneria sociale incentrato sui conflitti diffonde RAT in tutta l’Europa orientale
Punti principali
Panoramica della campagna
Il team Mimecast Threat Research continua a monitorare l’attività malevola protratta nel tempo condotta dal 2023 da MCTO1025, un gruppo di criminali informatici che ha mantenuto operazioni costanti rivolte all’Ucraina e ai paesi confinanti, ovvero la Romania e la Moldavia. Questa operazione dimostra una comprensione approfondita delle tensioni geopolitiche regionali e sfrutta tematiche legate ai conflitti per ottenere elevati tassi di coinvolgimento delle vittime tra le popolazioni destinatarie. Le operazioni MCTO1025 comprendono diversi approcci di ingegneria sociale volti a sfruttare la situazione di conflitto in corso e le relative problematiche umanitarie.
I temi della campagna includono l’usurpazione dell’identità dei servizi di sicurezza ucraini e russi, la diffusione di falsi piani di evacuazione in caso di attacchi aerei, comunicazioni fraudolente relative alla mobilitazione militare e offerte di passaggio sicuro dalle zone di conflitto.
Campagne di rilievo nel 2024
TV8 Moldova Hack
All'inizio di gennaio 2024, l'account e-mail del canale televisivo moldavo TV8 è stato violato e utilizzato per inviare messaggi con oggetto «Comunicato stampa di TV8 - Пресс - Релиз от телекомпании TV8», in cui veniva proposta un'intervista al fondatore di un gruppo. Tradotta dall’originale in russo, la seguente spiegazione è apparsa su mediacritica.md: [L'indirizzo e-mail ufficiale di TV8 è stato oggetto di un attacco informatico. Commento del canale televisivo - Mediacritica ]
Nella notte tra l'8 e il 9 gennaio, l'indirizzo e-mail ufficiale di TV8 è stato oggetto di un attacco informatico. Secondo quanto riportato dal media, gli autori dell’attacco, a nome del canale televisivo, hanno inviato un messaggio a diverse persone e agenzie, affermando che un giornalista della redazione del sito web Tv8.md aveva intervistato il fondatore del gruppo di hacker DaVinci Group-DVG8873, che si autodefinisce una forza informatica indipendente " contro l’Ucraina e i paesi della NATO." In un commento rilasciato a Mediacritica, la caporedattrice di TV8, Mariana Rață, ha sottolineato che non è la prima volta che i media moldavi sono oggetto di attacchi informatici.
Secondo le verifiche effettuate dai tecnici di TV8, l’attacco è stato sferrato da un indirizzo IP gestito da un host situato ad Amsterdam, nei Paesi Bassi. "Il proprietario della società di hosting è la società britannica Aeza International LTD, fondata da un cittadino del Kazakistan, Marat Timurov. Aeza International è una delle società di hosting più popolari in Russia ed è presentata su diversi siti specializzati come azienda russa. TV8 ha contattato questa società chiedendo informazioni sugli utenti dell’indirizzo IP da cui è stato sferrato l’attacco informatico, ma non abbiamo ancora ricevuto risposta, ha dichiarato Mariana Rață, di"
