Il gruppo di spionaggio cinese Mustang Panda ha condotto a giugno 2026 due campagne parallele contro enti governativi indiani e il settore idroelettrico del Paese, introducendo un arsenale di malware in buona parte nuovo. A documentarle è l'Acronis Threat Research Unit, che attribuisce l'attività al gruppo con elevata confidenza. L'elemento più interessante non è solo il software malevolo, ma il modo in cui gli aggressori hanno nascosto le proprie comunicazioni: dentro un servizio cloud perfettamente legittimo.
L'esca e la catena di infezione
Il punto di partenza è un archivio dal nome rassicurante, Hydropower Cooperation Project Proposal.zip, verosimilmente diffuso via spear-phishing e poi caricato su VirusTotal a maggio 2026. Le esche fanno leva su temi geopolitici, con un'attenzione particolare agli uffici governativi coinvolti in memorandum d'intesa con istituzioni taiwanesi. All'apertura, gli archivi attivano una tecnica ormai classica ma sempre efficace: il DLL sideloading, ossia il caricamento di una libreria malevola tramite un eseguibile legittimo e regolarmente firmato, così da eludere i controlli che si fidano della firma del file ospite.
I tre componenti
Il caricatore della catena è SHARDLOADER, che garantisce la persistenza e si occupa di scaricare e avviare gli impianti veri e propri. Da qui partono due strumenti di nuova identificazione. MINIRECON è una backdoor rielaborata, dedicata alla ricognizione iniziale del sistema compromesso. ZOHOMURK è invece il componente più insidioso: sfrutta Zoho WorkDrive — una piattaforma di archiviazione e collaborazione in cloud — come canale di comando e controllo, esfiltrazione dati ed esecuzione remota di comandi.
Perché abusare di un servizio legittimo
Appoggiarsi a una piattaforma cloud affidabile è una scelta deliberata. Il traffico verso Zoho WorkDrive appare come normale attività cloud aziendale e si confonde con il rumore di fondo di una rete moderna, dove decine di servizi SaaS dialogano in continuazione con l'esterno. Bloccare quel dominio significherebbe interrompere un servizio potenzialmente in uso legittimo, e i sistemi di rilevamento basati sulla reputazione del dominio faticano a segnalare come ostile una destinazione nota e ampiamente utilizzata. Il beaconing attivo è stato osservato tra il 12 e il 22 giugno 2026, a conferma di una campagna recente e mirata più che di un'operazione opportunistica.
Cosa imparare
Questo episodio ribadisce due lezioni note ma spesso trascurate. La prima è che la firma digitale di un eseguibile non è una garanzia: il DLL sideloading vive proprio nello spazio tra un binario fidato e ciò che esso carica. La seconda è che il traffico verso servizi cloud legittimi va monitorato, non dato per innocuo: conviene osservare volumi e pattern anomali di comunicazione verso piattaforme SaaS, applicare il principio del privilegio minimo sugli endpoint e trattare con sospetto gli archivi compressi ricevuti via posta, anche quando il nome del file sembra perfettamente in tema con il proprio lavoro.
