Il caso Qatar
1° marzo 2026.
Da ventiquattr’ore il Medio Oriente bruciava. L’Operazione Epic Fury aveva appena cambiato gli equilibri nella regione, le agenzie di stampa trasmettevano in loop immagini di attacchi missilistici, i canali di crisi erano intasati, e chiunque lavorasse in un settore sensibile stava cercando di capire cosa stesse succedendo. In Qatar, nei palazzi delle compagnie energetiche e negli uffici militari, qualcuno stava aprendo la posta elettronica.
A chilometri di distanza, su una console di comando, qualcun altro aspettava che si accendesse una notifica.
L’esca
Gli allegati arrivavano mascherati da materiale informativo urgente: fotografie di attacchi alle basi americane in Bahrain, esattamente il tipo di contenuto che in quel momento chiunque avrebbe voluto vedere, che chiunque avrebbe aperto. Il click sul file per innescava una sequenza automatica: il sistema della vittima veniva istruito a contattare un server remoto già compromesso dagli attaccanti, da cui scaricava il payload successivo. A quel punto entrava in gioco il DLL hijacking ¹, il codice malevolo si nascondeva dentro Baidu NetDisk, un’applicazione legittima e diffusa, e si faceva eseguire al suo posto. Il risultato era l’installazione silenziosa di PlugX ², senza che nessun sistema di sicurezza alzasse un flag. La backdoor era attiva consentendo alle operazioni di spionaggio di iniziare.
Una seconda campagna, parallela, era ancora più raffinata. Gli allegati erano protetti da password, e questo è una modalità che aumenta la fiducia del destinatario perché si avvicina ad una modalità ufficiale. E invece nell’allegato erano presenti comunicazioni generate con l’aiuto delle IA che impersonavano comunicazioni israeliane relative ad attacchi alle infrastrutture energetiche del Golfo.
Anche qui il codice malevolo era nascosto dentro un software insospettabile: un componente di NVDA, uno screen reader open source per persone con disabilità visive, che i sistemi di detection non fermano per definizione. Una volta aperto l’allegato, la sequenza portava all’installazione di Cobalt Strike ³, il framework che avrebbe permesso agli attaccanti di muoversi nella rete compromessa, mappare i sistemi, e valutare cosa valesse la pena portare via. I target erano chiari: settore energetico, settore militare. Il petrolio e il gas del Golfo. Le infrastrutture che tengono in piedi un pezzo dell’economia globale.
Un avversario che conosce il calendario geopolitico meglio di molti analisti
Il gruppo che ha condotto l’operazione è noto agli analisti con almeno tre nomi diversi ⁴, Camaro Dragon, Earth Preta, Mustang Panda, segno di quante organizzazioni lo tracciano in parallelo da anni, ognuna con la propria telemetria e la propria prospettiva. Non è un collettivo improvvisato. È un gruppo di cyber-spionaggio strutturato, riconducibile alla Cina, attivo almeno dal 2018, con un curriculum che include obiettivi governativi, militari e industriali in Asia, Europa, Medio Oriente e Americhe. Governi, università, organizzazioni non governative, aziende strategiche. Chiunque detenga informazioni che qualcuno, da qualche parte, ha interesse a leggere prima degli altri.
La caratteristica che li distingue non è la sofisticazione degli strumenti. PlugX esiste dal 2008. Cobalt Strike è disponibile commercialmente. Il DLL hijacking è una tecnica documentata da anni. Quello che li distingue è qualcosa di più difficile da contrastare: la capacità di trasformare un evento geopolitico in un’operazione offensiva nel giro di ore, con la precisione di chi ha già tutto pronto e aspetta solo il momento giusto per premere il tasto.
Lo stesso toolkit, la stessa chiave di decriptazione identificativa, lo stesso metodo di infezione, era stato usato pochi mesi prima contro obiettivi militari in Turchia. Non è stata costruita una nuova campagna per il Qatar. È stata presa quella che funzionava, sono state cambiate le esche, ed è stato aspettato il contesto giusto. Il contesto giusto è arrivato il 28 febbraio, con l’Operazione Epic Fury.
Un giorno dopo, gli allegati erano già nelle caselle di posta dei target.
Quello che la notizia non dice
C’è una cosa che i comunicati tecnici tendono a lasciare fuori, e che invece è il punto centrale di tutta questa storia.
La notizia del conflitto non era lo sfondo dell’attacco. Era il vettore. La disinformazione e il malware non erano due operazioni parallele, erano la stessa operazione. Il contenuto falso non serviva a cambiare opinioni. Serviva a far aprire un file.
Questo cambia tutto nella prospettiva di chi deve difendere un’organizzazione. La domanda non è più solo: i nostri sistemi riconoscono PlugX ?
La domanda è: i nostri analisti sanno leggere una notizia geopolitica e capire in tempo reale che potrebbe diventare un vettore di attacco nelle prossime ore?
Quella seconda competenza non si installa con una patch. Non si compra con una licenza. Non si costruisce con un corso, nemmeno con il corso giusto. Si forma nel tempo, nell’esperienza, nella curiosità di chi segue il mondo oltre i confini del proprio perimetro tecnico, di chi la sera legge le stesse cose che legge durante il giorno, non perché deve, ma perché vuole.
È il tipo di intelligenza che appartiene alle persone prima che agli strumenti, e che non si misura in ore di formazione né in certificazioni conseguite.
Nelle organizzazioni più esposte, e la pubblica amministrazione lo è per definizione, queste persone spesso ci sono già. Hanno costruito quel patrimonio nel tempo, a volte senza che nessuno glielo chiedesse, a volte nonostante il sistema intorno a loro non fosse progettato per riconoscerlo. Non mancano le competenze. Manca, più spesso, qualcuno che sappia cercarle nel posto giusto e metterle nelle condizioni di lavorare.
Note tecniche
¹ DLL hijacking — una tecnica di evasione che sfrutta il modo in cui Windows carica le librerie dinamiche (.dll). Quando un’applicazione legittima viene avviata, il sistema operativo cerca le sue dipendenze seguendo un ordine predefinito di directory. Gli attaccanti inseriscono una DLL malevola in una posizione che viene letta prima di quella originale: l’applicazione carica il codice malevolo pensando sia quello legittimo, e lo esegue con gli stessi privilegi e la stessa fiducia dell’applicazione originale. Poiché il processo malevolo gira “dentro” un programma trusted, molti sistemi di detection non lo intercettano.
In questa campagna il software scelto come veicolo era Baidu NetDisk — il servizio di cloud storage più diffuso in Cina, l’equivalente di Google Drive o Dropbox sviluppato da Baidu, il principale motore di ricerca cinese. È installato su centinaia di milioni di dispositivi, soprattutto in Asia, è firmato digitalmente da un vendor riconosciuto, e i sistemi di sicurezza lo trattano come software trusted per definizione. La sua presenza su un sistema non desta nessun sospetto — in certi contesti regionali è atteso quanto un browser. Per gli attaccanti era la scelta ovvia.
² PlugX — backdoor modulare associata a numerosi gruppi APT di matrice cinese almeno dal 2008. La sua architettura a plugin la rende estremamente flessibile: a seconda del modulo caricato, permette accesso remoto al sistema, esfiltrazione di file, cattura degli screenshot, logging dei tasti digitati, esecuzione di comandi arbitrari. La sua longevità — quasi vent’anni di utilizzo attivo — è indicativa: non è lo strumento più sofisticato disponibile, ma è affidabile, documentato internamente, e continuamente adattato per evadere le signature dei sistemi di detection. La chiave di decriptazione 20260301@@@ identificata in questa campagna ha permesso ai ricercatori di collegare l’operazione ad attività precedenti del gruppo.
³ Cobalt Strike — framework commerciale nato per il penetration testing legittimo, progettato per simulare le tecniche degli attaccanti reali e testare la resilienza delle difese. È diventato uno degli strumenti più abusati nel panorama degli APT perché è potente, flessibile, e — ironia della sorte — proprio perché è usato dai team di sicurezza offensiva, il suo traffico di rete può confondersi con attività legitimate. In questa campagna veniva usato come payload finale per la fase di ricognizione: mappare la rete compromessa, valutare i sistemi presenti, decidere se e come procedere con un’intrusione più profonda.
⁴ Tre nomi per lo stesso gruppo — nel threat intelligence è normale che lo stesso attore venga tracciato con nomi diversi da organizzazioni diverse: Camaro Dragon è la nomenclatura di Check Point Research, Earth Preta è quella di Trend Micro, Mustang Panda è quella originale di CrowdStrike. A questi si aggiungono Bronze President (Secureworks) e HoneyMyte (altri vendor). Ogni nome riflette la prospettiva e la telemetria dell’organizzazione che ha scoperto o analizzato il gruppo per prima. Per chi deve difendersi, questo significa che un alert su “Mustang Panda” e uno su “Camaro Dragon” potrebbero riferirsi esattamente allo stesso attaccante — e che correlare queste fonti richiede competenza analitica, non solo strumenti.
