Un nuovo attacco di cyberspionaggio, denominato Operazione QUICSILVER, ha preso di mira il governo e il settore IT del Myanmar tramite inviti a cerimonie di laurea falsificati, diffondendo il backdoor QUICAgent scritto in Go. Gli esperti attribuiscono l'operazione a un gruppo legato alla Cina.
Un'importante campagna di cyberspionaggio, identificata come Operazione QUICSILVER, è stata scoperta dagli analisti di Seqrite Labs. L'attacco, attivo dal mese di aprile 2026, sfrutta inviti a cerimonie di laurea apparentemente ufficiali per colpire enti governativi e aziende IT in Myanmar, diffondendo un malware backdoor denominato QUICAgent sviluppato in Go.
Catena d'infezione e tecniche di attacco
La campagna inizia con l'invio di file eseguibili mascherati da documenti PDF, come "HolidayNotice.pdf.exe", accompagnati da un finto calendario delle festività Belgio-Myanmar. Nei mesi successivi, sono stati rilevati nuovi artefatti che utilizzano file VHD contenenti collegamenti LNK camuffati da PDF. Quando la vittima apre il file, viene mostrato un invito a una cerimonia di laurea in lingua birmana, apparentemente proveniente dal Dipartimento Information Technology and Cyber Security (ITCSD) del Ministero dei Trasporti e delle Comunicazioni del Myanmar.
Mentre il documento di copertura distrae l'utente, il collegamento LNK avvia in modo silente "ftp.exe", un componente legittimo di Windows, sfruttando l'opzione "-s" per eseguire comandi da uno script locale. Il malware cerca due file nascosti, header.doc e body.doc, li unisce tramite il comando "copy /b" di Windows e ricostruisce così il payload successivo.
Funzionalità di QUICAgent e comunicazione con il C2
Il payload risultante è QUICAgent, un impianto scritto in Go che adotta tecniche di evasione dei sandbox, come ritardi casuali e ripetute operazioni di hashing SHA-256, per eludere l'analisi automatica. Per comunicare con il server di comando e controllo (C2), il malware invia richieste HTTP a due domini Cloudflare Workers per ottenere dinamicamente l'indirizzo del C2, che viene poi raggiunto tramite protocollo QUIC su UDP porta 443. Ogni cinque secondi, QUICAgent invia un beacon con informazioni di base sul sistema compromesso, identificando ogni macchina tramite uno specifico X-Agent-ID.
Le capacità del backdoor includono l'esecuzione di comandi, trasferimento di file, navigazione tra directory e modifica dell'intervallo di beacon. La persistenza viene garantita creando un collegamento LNK nella cartella di avvio di Windows dell'utente, assicurando l'esecuzione automatica a ogni accesso.
Attribuzione e contesto internazionale
Gli esperti attribuiscono con moderata certezza l'operazione a un gruppo di minaccia legato alla Cina. La strategia multi-stadio, che sfrutta strumenti legittimi di Windows (LOLBAS) e tecniche di ricostruzione dei payload, evidenzia una crescente sofisticazione degli attacchi contro infrastrutture critiche in Asia.
Parallelamente, il gruppo Mustang Panda, anch'esso collegato alla Cina, è stato osservato utilizzare una versione aggiornata del backdoor COOLCLIENT, capace di installare un driver in modalità kernel ("Msagent.sys") per aumentare la furtività, come già visto in TONESHELL. Il driver protegge processi, file e chiavi di registro del malware, rendendo più difficile la rilevazione. Queste tecniche sono state rilevate non solo in Myanmar, ma anche in Mongolia, Pakistan e Russia.
Rischi e tendenze nella sicurezza informatica
L'uso di backdoor personalizzati e di tecniche di evasione avanzate conferma la crescente minaccia rappresentata dagli attori statali e dai gruppi sponsorizzati. La capacità di sfruttare strumenti legittimi di sistema e di mascherare i payload tra documenti apparentemente innocui rende questi attacchi particolarmente insidiosi per enti pubblici e aziende IT.
Il fenomeno si inserisce in un contesto più ampio di vulnerabilità e attacchi mirati, come dimostrato anche dalla recente ondata di exploit contro piattaforme note: ad esempio, la vulnerabilità CVE-2026-19478 in GitLab è stata sfruttata immediatamente dopo la sua scoperta, come riportato in un approfondimento dedicato su QWERTYmag.
