GoSerpent ritorna con proxy e data staging su network share
Il rischio vero non è il singolo backdoor, ma la sua permanenza: GoSerpent è stato usato per mesi per tenere aperto l’accesso, rubare credenziali e accumulare file prima di portarli fuori più tardi. In uno scenario del genere, la pulizia dell’endpoint chiude solo una parte del problema; il materiale già raccolto può restare in attesa su shared drive fino all’estrazione finale.
Kaspersky colloca la campagna da fine 2025 contro enti governativi e diplomatici del Sud-est asiatico. A maggio 2026 l’operatore è tornato con un toolkit evoluto, aggiungendo un nuovo Stowaway RAT, un proxy tool e un componente più discreto per esfiltrare dati raccolti nei mesi precedenti attraverso network share; il malware ha anche usato credential dumper e SOCKS5 per mantenere il traffico e i privilegi utili al furto.
Questo rende il caso più ampio di un implant da rimuovere: il problema è la combinazione di accesso persistente, credenziali già sottratte e dati già staged per un’uscita che può assomigliare a normale movimento interno. Per chi presidia ambienti governativi e diplomatici nella regione, il segnale da cercare è un compromesso di lunga durata che può aver già superato la soglia dell’endpoint.
story_meaning
why_now