In breve

• SideWinder, un gruppo di hacker persistente, sta prendendo di mira diplomatici e organismi governativi in India, Sri Lanka, Pakistan e Bangladesh.
• Gli aggressori utilizzano falsi documenti PDF e Word per indurre le vittime a scaricare malware tramite una tecnica chiamata ClickOnce.
• La coppia di malware, ModuleInstaller e StealerBot, ruba dati sensibili e consente il controllo remoto delle macchine infette.
• Le email di phishing spesso imitano messaggi ufficiali del governo per apparire più convincenti.
• Questo segna un’evoluzione rispetto agli attacchi precedenti di SideWinder, mostrando una crescente sofisticazione tecnica e un targeting regionale più preciso.

Bersagli diplomatici sotto tiro digitale

Immaginate un diplomatico a Nuova Delhi che apre quello che sembra un normale PDF su una riunione interministeriale. Invece di note politiche, si stringe una rete invisibile: un solo clic avvia una campagna segreta di spionaggio informatico. Questa è la nuova realtà per ambasciate e ministeri in tutta l’Asia meridionale, mentre SideWinder, un gruppo di minaccia veterano, svela una catena di attacco sofisticata che fonde il phishing tradizionale con nuove astuzie digitali.

Dalle vulnerabilità di Word a ClickOnce: un arsenale in evoluzione

SideWinder non è nuovo sulla scena informatica globale. Conosciuto per aver preso di mira enti governativi e militari, l’ultima ondata del gruppo, attiva per gran parte del 2025, segna un salto tecnico. Invece di limitarsi ai file Word di Microsoft truccati - da sempre un classico nel kit degli hacker - ora utilizzano PDF malevoli che spingono le vittime ad “aggiornare” Adobe Reader. Non si tratta di un normale aggiornamento software: il link scarica silenziosamente un’applicazione ClickOnce, una tecnologia pensata per installazioni sicure con un solo clic, ora sovvertita per diffondere malware.

Per evitare sospetti, gli aggressori confezionano il loro payload in un programma dall’aspetto legittimo, firmandolo persino con un certificato valido. Una volta installato, una componente nascosta avvia ModuleInstaller, che agisce come un facchino digitale - consegnando il vero payload, StealerBot. Questo malware è l’equivalente informatico di un coltellino svizzero: può registrare i tasti premuti, rubare file, catturare schermate e aprire una backdoor segreta per il controllo remoto.

Scacchi geopolitici: perché l’Asia meridionale?

Perché questi attacchi sono così concentrati sull’Asia meridionale? Le tensioni latenti e la diplomazia ad alto rischio della regione la rendono un bersaglio ricco per lo spionaggio. Le campagne di phishing di SideWinder sono confezionate con una precisione sorprendente: le linee oggetto fanno riferimento a crisi reali e gli indirizzi dei mittenti imitano quelli dei ministeri ufficiali. Questa attenzione ai dettagli, unita a una distribuzione del malware limitata alla regione, suggerisce una profonda conoscenza del contesto locale.

I ricercatori di Trellix e Kaspersky seguono da anni l’evoluzione di SideWinder, notando una costante svolta verso attacchi più avanzati e a più stadi. L’uso di ClickOnce e di software legittimi per il “side-loading” di codice malevolo è un modello già visto in altre operazioni di spionaggio di alto profilo, inclusi attacchi contro infrastrutture in Medio Oriente e Africa. Ma la focalizzazione di SideWinder sui circoli diplomatici dell’Asia meridionale è particolarmente persistente - e personale.

Tattiche astute, posta in gioco crescente

Ciò che distingue la campagna di SideWinder non sono solo i trucchi tecnici, ma anche la finezza psicologica. Ogni ondata di phishing è elaborata con la pazienza di un truffatore esperto, fondendo competenze tecniche con acume geopolitico. Mentre la diplomazia digitale diventa la nuova linea del fronte, gli attacchi del gruppo sono un chiaro monito: nell’era della guerra informatica, anche un solo clic può ridisegnare la mappa del potere e della fiducia.

WIKICROOK

• ClickOnce: ClickOnce è uno strumento Microsoft per l’installazione di software con un solo clic, ma gli aggressori possono sfruttarlo per diffondere malware camuffato da app affidabili.
• Phishing: Il phishing è un crimine informatico in cui gli aggressori inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o cliccare su link malevoli.
• DLL Side: DLL Side è una tecnica in cui gli aggressori ingannano i programmi facendogli caricare file DLL malevoli, aggirando la sicurezza e ottenendo accesso o controllo non autorizzato.
• Reverse Shell: Una reverse shell si verifica quando un computer compromesso si collega segretamente all’attaccante, consentendogli il controllo remoto e aggirando le difese di sicurezza standard.
• Comando: Un comando è un’istruzione inviata a un dispositivo o software, spesso da un server C2, che lo dirige a eseguire azioni specifiche, talvolta per scopi malevoli.