Kaspersky ha scoperto il nuovo set di malware di Mirage Kitten

Il Global Research and Analysis Team (GReAT) di Kaspersky ha annunciato di aver rilevato un nuovo set di malware, precedentemente non documentato, utilizzato dal gruppo di minaccia persistente avanzata (APT) noto come “Mirage Kitten”.

Secondo i risultati condivisi durante l'evento annuale Cyber Security Weekend dell'azienda dedicato alla regione Medio Oriente, Turchia e Africa (META), il set di strumenti è stato impiegato in attività di cyber-spionaggio mirate per ottenere un accesso prolungato alle reti delle vittime e sottrarre dati sensibili.

I ricercatori hanno precisato che la campagna ha preso di mira diverse organizzazioni e settori in tutto il Medio Oriente e l'Africa. Tra i risultati figurano organizzazioni in Egitto, PMI ed enti pubblici in Giordania e Tanzania, organizzazioni aerospaziali in Pakistan, società di telecomunicazioni in Etiopia e organizzazioni del settore finanziario in Burkina Faso.

COSA FA IL NUOVO SET DI STRUMENTI?

Secondo Kaspersky, il set è composto da tre strumenti specifici. Al centro di essi si trova NightLedger, una nuova backdoor che prende di mira i sistemi Windows. I ricercatori hanno collegato questo strumento a Mirage Kitten a causa della struttura del codice e delle caratteristiche comportamentali.

NightLedger offre agli aggressori la possibilità di controllare da remoto i sistemi compromessi. Attraverso questo mezzo, è possibile eseguire comandi, visualizzare e trasferire file, oltre a catturare screenshot.

ArcBridge e BridgeHead, presenti nel set, sono definiti come strumenti di tunneling nascosto. Questi strumenti possono utilizzare il computer compromesso come un nodo intermedio per il traffico dell'aggressore, facendo apparire le attività come se provenissero dall'interno della rete della vittima. Questo metodo facilita il superamento dei controlli di sicurezza della rete e rende più difficile rilevare l'accesso per un periodo di tempo prolungato.

Kaspersky ha riferito che uno degli strumenti è stato rilevato nell'aprile 2026 durante attività che prendevano di mira vittime in Medio Oriente. BridgeHead, invece, è stato osservato in ambienti vittima in Egitto e nei sistemi di un'organizzazione aerospaziale in Pakistan, durante le attività condotte dopo l'intrusione iniziale.

Non è ancora chiaro come sia stato ottenuto l'accesso iniziale in molti casi. Tuttavia, i ricercatori hanno riferito di aver trovato tracce di tentativi di phishing mirato, coerenti con i metodi noti del gruppo, in alcuni degli eventi esaminati. In questi tentativi, hanno prevalso messaggi a tema di reclutamento, contenuti che imitano marchi e piattaforme affidabili, pagine di videoconferenza contraffatte e file di archivio dannosi ospitati su servizi di condivisione file di terze parti.

Omar Amin, Senior Security Researcher del GReAT di Kaspersky, ha affermato che gli ultimi risultati dimostrano come Mirage Kitten continui a sviluppare le proprie capacità di malware per supportare le sue operazioni mirate in Medio Oriente e Africa. Amin ha sottolineato che le tecniche di tunneling consentono agli aggressori di superare i controlli di rete e rendono più difficile la loro individuazione.

L'azienda ha raccomandato alle organizzazioni di condurre un monitoraggio attivo delle minacce contro tali pericoli, di monitorare gli indicatori relativi alle backdoor e agli strumenti di tunneling, di sfruttare l'intelligence sulle minacce e di rafforzare le proprie capacità di rilevamento e risposta.

Fonte della notizia: 12punto