Un gruppo di hacker filorusso, noto come Partisan Zmiy o Cyber Partisans, è riuscito a mantenere una presenza nascosta per quasi due anni all'interno della rete di un'organizzazione sanitaria russa, utilizzando una backdoor sofisticata chiamata Vasilek e sfruttando componenti VMware per eludere il rilevamento.
Un'attività di spionaggio informatico di lunga durata è stata scoperta all'interno di un'organizzazione sanitaria russa, dove un gruppo di hacker affiliato alla Bielorussia, identificato come Partisan Zmiy (noto anche come Cyber Partisans), è riuscito a operare indisturbato per quasi due anni. Secondo un rapporto della società di cybersecurity russa Solar, il gruppo, attivo almeno dal 2020, ha preso di mira in precedenza infrastrutture industriali e governative in Russia e Bielorussia.
Il principale strumento utilizzato da Partisan Zmiy è una backdoor denominata Vasilek, che sfrutta la piattaforma di messaggistica Telegram per le operazioni di comando e controllo (C2) e per l'esfiltrazione dei dati. Alcuni attacchi hanno impiegato tecniche di phishing per distribuire un installer in grado di installare sia il software legittimo FortiClient VPN sia DNSCat2, un programma open-source che consente agli attaccanti di assumere il controllo del sistema compromesso.
Una tattica distintiva del gruppo è la capacità di eseguire attacchi distruttivi con uno wiper chiamato Pryanik, accompagnata da una meticolosa cancellazione dei log degli eventi di Windows tramite un'utility denominata Evlx. Questo approccio mira a rendere più difficile l'analisi forense post-incidente.
L'intrusione nell'organizzazione sanitaria è stata scoperta nel dicembre 2025, ma le prime evidenze di compromissione risalgono all'inizio del 2024. Il vettore di accesso iniziale non è stato identificato, così come il nome specifico dell'organizzazione colpita. A differenza di altre operazioni attribuite ai Cyber Partisans, in questo caso gli attaccanti hanno mantenuto una presenza prolungata senza condurre attività distruttive, suggerendo un cambiamento nel loro modus operandi, probabilmente orientato all'intelligence gathering.
Un aspetto cruciale della campagna di spionaggio è stato l'uso di un servizio loader-scheduler, denominato "vmauad", che si spaccia per un componente legittimo di VMware. Questo servizio è stato impiegato per garantire la persistenza del malware sulla rete e per eludere un'ispezione superficiale. Gli aggressori hanno sfruttato una directory di VMware Tools considerata attendibile ma non monitorata per inserire eseguibili malevoli o sostituire librerie DLL legittime ("vmtools.dll") con versioni infette contenenti la backdoor.
Il servizio malevolo "vmauad" è responsabile dell'avvio di un binario rogue ("C:\Program Files\VMware\VMware Tools\authd.exe"). Questo binario, oltre a stabilire un tunnel GOST ogni sabato sera, esegue una versione aggiornata di Vasilek (la 1.5.8) circa otto ore dopo l'avvio del servizio.
Una volta installata, la backdoor Vasilek è in grado di svolgere una vasta gamma di azioni malevole: raccogliere informazioni sul sistema infetto, eseguire comandi Windows, avviare e terminare processi, trasferire file, catturare screenshot, registrare la digitazione dell'utente (keylogging) e ottenere privilegi elevati tramite la funzione runas. Può anche impedire al sistema di entrare in modalità di sospensione e gestire autonomamente i propri aggiornamenti o la disinstallazione.
Una nuova funzionalità osservata è il comando "move_cursor", che permette alla backdoor di simulare l'interazione dell'utente muovendo il cursore del mouse sullo schermo della vittima. Questo potrebbe essere utilizzato per manipolare interfacce grafiche o per bypassare alcuni meccanismi di sicurezza basati sull'attività utente.
Il gruppo pone una forte enfasi sulla stealth e sulla sicurezza operativa, investendo più in queste aree che nello sviluppo di nuove funzionalità. Tra le tecniche di occultamento impiegate figurano il hostname binding in componenti separati, l'esecuzione pianificata dei payload, l'ereditarietà delle impostazioni proxy di sistema, il mascheramento come software legittimo ma inutilizzato, la rotazione dei file negli stessi percorsi, il time-stomping (modifica dei timestamp dei file per nascondere l'attività) e la soppressione dei messaggi in uscita.
Nonostante la sua efficacia, la comunicazione tra la backdoor Vasilek e i server C2 è diventata instabile a causa del blocco di Telegram in Russia da parte degli Internet Service Provider (ISP).
Il rapporto di Solar ha anche evidenziato altre attività malevole. Una campagna di phishing utilizza allegati JavaScript che imitano documenti aziendali per distribuire una nuova famiglia di malware denominata HypeAgent. Questo trojan completo è in grado di assumere il controllo totale dei sistemi compromessi, rubare file, aprire console, modificare lo sfondo del desktop, attivare la webcam, registrare la digitazione, stabilire sessioni VNC e RDP nascoste, controllare il mouse e persino installare un cryptominer.
HypeAgent è inoltre capace di rubare cookie da piattaforme popolari come Discord, Steam, GitHub, Instagram, Telegram, Binance, ChatGPT, Claude e Cursor. Ha dimostrato anche la capacità di manipolare l'applicazione wallet Exodus per iniettare JavaScript e sottrarre password, PIN, frasi mnemoniche e chiavi private delle vittime.
Infine, è stata osservata l'infrastruttura legittima compromessa dal malware ProxyCB, che effettuava richieste automatizzate verso siti web e piattaforme online russe. Sono stati identificati possibili collegamenti tra l'infrastruttura di ProxyCB e attività storiche legate a TeamSpy, un gruppo noto per l'abuso di TeamViewer per attività di ricognizione e furto di dati.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
