Operation Double Barrel: quando lo spionaggio nordcoreano incontra il ransomware
Una joint advisory delle agenzie di sicurezza sudcoreane ha identificato collegamenti tecnici tra un gruppo di minacce state-sponsored e il ransomware Gunra, suggerendo possibili condivisioni di infrastrutture e tool tra cyberspionaggio e cybercrimine.
Un'analisi condotta da AhnLab Security intelligence Center (ASEC), nell'ambito di una joint advisory emessa da National Intelligence Service (NIS), National Police Agency (NPA), Korea Internet & Security Agency (KISA) e Financial Security Institute (FSI) della Corea del Sud, ha identificato evidenze preoccupanti circa la relazione tra un gruppo di minacce sponsorizzato da uno Stato e il gruppo ransomware Gunra.
La campagna: dal 2025 al 2026
Secondo i ricercatori, un gruppo di minacce state-sponsored ha condotto una campagna continuativa di distribuzione malware dal 2025 attraverso la prima metà del 2026, sfruttando vulnerabilità in software di sicurezza finanziaria utilizzati per servizi istituzionali e bancari coreani.
Gli attaccanti hanno indotto le vittime ad accedere a URL malevoli attraverso diverse tecniche, tra cui attacchi watering hole e spear-phishing, per poi sfruttare le vulnerabilità ed installare backdoor. Siti legittimi coreani di diverse industrie – inclusi media, istituzioni educative, sanitarie e manifatturiere – sono stati confermati come compromessi in attacchi watering hole durante questo periodo.
Il doppio binario: spionaggio e ransomware
Parallelamente sono stati identificati casi di attacco in cui le stesse vulnerabilità nei software di sicurezza finanziaria erano sfruttate, ma con un obiettivo diverso: l'installazione del ransomware Gunra per crittografare file ed esfiltrare informazioni sensibili.
Sebbene i due tipi di attacco differissero per obiettivi finali e payload, sono state identificate numerose somiglianze:
- Vulnerabilità sfruttate durante l'accesso iniziale – le stesse falle nei software di sicurezza finanziaria A e I
- Malware installati – famiglie di backdoor in comune
- Fingerprint delle chiavi SSH – identici tra le due campagne
- Infrastruttura di rete – indirizzi di download e tunneling inversi sovrapposti
I malware coinvolti
Nelle campagne di spionaggio statali sono stati identificati due backdoor principali:
- Struggle (SIGNBT 3.0) – backdoor multi-funzione con capacità di esfiltrazione dati
- Brandoor (COPPERHEDGE) – backdoor noto per operazioni di lungo termine
Accanto a questi, sono stati rilevati tool di privilege escalation e dropper utilizzati per la consegna dei payload.
La possibile supply chain attack
Un aspetto particolarmente significativo riguarda la possibilità di un attacco alla supply chain: molti dei siti compromessi negli attacchi watering hole risultavano associati alla stessa società coreana di sviluppo e gestione di siti web. Questo suggerisce che gli attaccanti potrebbero aver ottenuto accesso ai sistemi di gestione dei contenuti o alle infrastrutture di hosting condivise per compromettere simultaneamente multiple vittime.
Collaborazione o condivisione di risorse?
Le agenzie di sicurezza sudcoreane non possono determinare definitivamente la relazione tra i due attori di minaccia basandosi esclusivamente sulle informazioni disponibili. Tuttavia, le evidenze suggeriscono che, sebbene il gruppo state-sponsored e il gruppo Gunra appaiano come attori distinti con obiettivi diversi, potrebbero aver condiviso tecniche, tool e infrastrutture – o collaborato in misura limitata – durante gli attacchi.
Per questa ragione, ASEC ha denominato la campagna "Operation Double Barrel", paragonando i flussi di attacco comuni e gli indicatori di collegamento tecnico a due canne di una stessa arma puntate nella stessa direzione.
Implicazioni strategiche
La scoperta solleva interrogativi significativi sulla natura della minaccia nordcoreana nel cyberspazio. Tradizionalmente divisa tra operazioni di cyberspionaggio condotte da unità dello Stato e attività di cybercrimine finalizzate al profitto, la community di intelligence osserva da tempo possibili convergenze tra questi due mondi.
L'ipotesi di una condivisione di infrastrutture tra attori statali e criminali suggerisce che:
- Le risorse tecniche sviluppate per lo spionaggio possono essere monetizzate attraverso ransomware
- Gli stessi operatori potrebbero essere coinvolti in entrambe le tipologie di attività
- L'attribuzione delle minacce diventa sempre più complessa quando tool e infrastrutture sono condivisi
Raccomandazioni per la difesa
Per le organizzazioni che utilizzano software di sicurezza finanziaria coreani, le raccomandazioni includono:
- Aggiornamento immediato dei software di sicurezza finanziaria A e I alle versioni corrette
- Monitoraggio delle chiavi SSH con fingerprint identificati nel report
- Analisi del traffico di rete verso gli indirizzi di C2 documentati
- Ispezione dei log per identificare accessi anomali ai siti web gestiti dalla società di sviluppo coinvolta
L'advisory completo, con indicatori di compromissione (IoC) dettagliati, è disponibile nei report ufficiali di AhnLab pubblicati il 30 luglio 2026.
La community di threat intelligence continuerà a monitorare la situazione per eventuali sviluppi sulla natura esatta della relazione tra questi attori di minaccia.