La scoperta di Intrusion Truth

Una società cinese praticamente invisibile online, la Guangdong Chanming Technology Co., Ltd., è stata identificata come il costruttore della rete RedRelay (nota anche come ORBWEAVER), un sofisticato sistema di proxy botnet utilizzato da quasi una dozzina di gruppi di hacking cinesi legati all'Esercito Popolare di Liberazione (PLA). La scoperta è stata effettuata dal collettivo di intelligence Intrusion Truth, noto per le sue investigazioni sui fornitori di tecnologia delle operazioni cyber sponsorizzate dallo stato cinese.

Una società fantasma

Guangdong Chanming Technology si distingue per la sua totale assenza di presenza web pubblica. Non ha sito internet, profili social o prodotti commerciali riconoscibili. Tuttavia, le indagini di Intrusion Truth hanno rivelato connessioni inequivocabili tra questa entità e la rete RedRelay attraverso l'analisi di documenti di procurement militari, brevetti depositati e artefatti software.

Tra le evidenze raccolte spicca un sistema brevettato per la "raccolta dati da Telegram", che suggerisce una sofisticata capacità di intercettazione delle comunicazioni cifrate. Il brevetto descrive un meccanismo in grado di estrarre informazioni dagli utenti di piattaforme di messaggistica sicura, rappresentando uno strumento di sorveglianza digitale avanzato.

I clienti della rete RedRelay

La rete RedRelay/ORBWEAVER è stata utilizzata da numerosi attori di minaccia cinesi, tra cui spiccano:

• APT15/Ke3chang (noto anche come Vixen Panda, Playful Dragon, Nylon Typhoon)
• Red Vulture
• Altri cluster associati alla PLA Unit 61046 e all'8° Bureau della Cyberspace Force cinese

La rete fungeva da infrastruttura ORB (Operational Relay Box), consentendo agli operatori di nascondere le loro operazioni dietro strati di proxy compromessi, rendendo estremamente difficile l'attribuzione delle attività offensive.

Connessioni con il PLA

Le indagini hanno portato alla luce documenti di procurement militari che mostrano Guangdong Chanming nella fornitura di un "Anonymous Network System" (presumibilmente RedRelay) a unità militari situate nel distretto di Haidian a Pechino, area nota per ospitare quartier generali militari e centri di ricerca avanzati.

Questo caso rappresenta l'ennesimo esempio del modello di "cyber contractor" cinese, dove società tecnologiche private sviluppano strumenti di hacking che vengono poi impiegati da unità militari e di intelligence. Un modello che ricorda casi precedenti come i Chengdu 404 e altri fornitori identificati da Intrusion Truth negli anni passati.

Implicazioni per la sicurezza

La scoperta ha importanti implicazioni per la comprensione dell'ecosistema cinese di cyber spionaggio. RedRelay rappresenta un'infrastruttura "as-a-service" che consente a molteplici gruppi di minaccia di condividere risorse tecniche sofisticate, riducendo i costi e aumentando la resilienza delle operazioni offensive.

Per le organizzazioni bersaglio, la presenza di questa rete significa affrontare un avversario in grado di:

• Mascherare efficacemente la propria origine geografica
• Utilizzare infrastrutture proxy distribuite e resilienti
• Contare su sviluppo tecnologico continuo e sofisticato

Conclusioni

L'identificazione di Guangdong Chanming conferma la complessità e l'organizzazione del settore cinese della cyber warfare. L'esistenza di "ghost company" che operano nel buio totale, senza alcuna presenza pubblica ma con collegamenti diretti con il PLA, rappresenta una sfida significativa per gli sforzi di difesa e di attribuzione delle minacce informatiche a livello globale.