Dalla metà del 2020 ESET ha analizzato molteplici iniziative malevoli, poi attribuite al gruppo di cyberspionaggio Gelsemium, ed è risalita alla prima versione del loro malware principale, Gelsevirine, del 2014. Durante l’indagine, i ricercatori di ESET hanno scoperto una nuova versione di Gelsevirine, una backdoor complessa e modulare. Le vittime delle sue campagne si trovano in Asia orientale e in Medio Oriente e includono organizzazioni governative, religiose, produttori di elettronica e università. Al momento, il gruppo è riuscito a operare senza dare troppo nell’occhio. La ricerca è stata presentata in anteprima esclusiva alla conferenza annuale ESET World questa settimana.
Gelsemium è un malware molto specifico – con un numero limitato di vittime, secondo la telemetria di ESET – ma considerando le sue potenzialità, si ritiene che il gruppo sia coinvolto in attività di cyberspionaggio. Il gruppo ha un ampio numero di componenti adattabili. “L’intera catena di Gelsemium potrebbe sembrare semplice a prima vista, ma il numero esaustivo di configurazioni, impiantate in ogni fase, può modificare in un attimo le impostazioni del payload finale, rendendolo più difficile da cogliere”, spiega Thomas Dupuy, Ricercatore di ESET e co-autore dell’analisi della ricerca su Gelsemium.
Gelsemium utilizza tre componenti e un sistema di plug-in per dare agli utilizzatori una serie di possibilità di raccolta delle informazioni: il dropper Gelsemine, il loader Gelsenicine e il plugin principale Gelsevirine.
I ricercatori di ESET ritengono che Gelsemium sia responsabile dell’attacco alla catena di approvvigionamento contro BigNox, precedentemente segnalato da ESET come Operazione NightScout. Si trattava di un attacco alla supply-chain, che ha compromesso il meccanismo di aggiornamento di NoxPlayer, un emulatore Android per PC e Mac, e parte della gamma di prodotti BigNox, con oltre 150 milioni di utenti in tutto il mondo. L’indagine ha scoperto una certa analogia tra questo attacco e il gruppo Gelsemium. Le vittime originariamente compromesse dall’attacco alla supply-chain sono state successivamente violate da Gelsemine. Tra le diverse varianti esaminate, la “variante 2” illustrata in questo articolo mostra similitudini con il malware Gelsemium.
Maggiori dettagli tecnici su Gelsemium, nel blogpost “Gelsemium: quando gli autori delle minacce fanno shopping” su WeLiveSecurity. Tutte le ultime notizie sono reperibili seguendo ESET Research su Twitter.
