I ricercatori di cybersecurity hanno individuato un nuovo malware chiamato GoSerpent utilizzato in attacchi mirati contro enti governativi e diplomatici nel Sudest asiatico a partire dalla fine del 2025. La campagna punta a ottenere accesso di lungo periodo e a svolgere attivita di spionaggio informatico attraverso raccolta di file sensibili e furto di credenziali, con una strategia a piu fasi che combina backdoor, strumenti di proxy e moduli di esfiltrazione dati.
Caratteristiche tecniche di GoSerpent
GoSerpent e un impianto sviluppato in Go che riceve parametri cifrati e codificati in Base64, contenenti indirizzo del server di comando e controllo e una password di comunicazione. Dopo la decodifica, il malware stabilisce una connessione cifrata verso il C2 e utilizza l hash SHA256 della password come chiave di cifratura, rendendo piu complessa l analisi del traffico e l intercettazione dei comandi.
Funzioni principali della backdoor
- Segnalazione dell infezione
- Apertura e chiusura di porte in ascolto
- Connessione a server remoti
- Avvio di una shell sulla macchina compromessa
- Upload e download di file o directory
- Attivazione di un proxy SOCKS5
Proprio il SOCKS5 consente agli attaccanti di instradare il traffico attraverso host violati, mascherare l indirizzo IP reale e raggiungere reti interne altrimenti non accessibili.
Distribuzione di payload secondari e furto di credenziali
Un elemento centrale della catena di attacco e la capacita di distribuire payload secondari. Tra gli strumenti associati emergono moduli per la raccolta strutturata di documenti e per la sottrazione di credenziali, inclusi dump della memoria del processo LSASS e l estrazione degli hash delle password locali dal database SAM. In parallelo e stata osservata una variante piu leggera, un RAT con funzioni di proxy, port forwarding, trasferimento file e shell remota, utile per mantenere presenza e muoversi lateralmente.
Evoluzione della campagna e fase di esfiltrazione
Dopo mesi di raccolta silenziosa, gli operatori sono tornati nell ambiente compromesso nel maggio 2026 distribuendo un set evoluto di strumenti, tra cui un ulteriore tool di accesso remoto e proxy con funzioni di reverse tunneling e tunneling SSH, oltre a un loader in C plus plus che rilascia un payload cifrato dedicato all esfiltrazione dei dati precedentemente accumulati, anche tramite condivisioni di rete. Questa sequenza evidenzia una pianificazione operativa avanzata, orientata a sottrarre informazioni con continuita e ridurre la probabilita di rilevamento.