Minacce · 55 giorni fa
Kaspersky GERT ha documentato una nuova campagna di NightEagle contro aziende russe. Il punto non è solo l’attacco di un singolo APT: la catena usa credenziali compromesse, tunnel Cloudflare WARP e componenti presi da GitHub, quindi è facile da adattare o copiare da altri operatori.
Dentro Exchange, NightEagle ha piazzato GhostContainer, un backdoor che gira in memoria e fa proxy del traffico, mentre su AD e RDP usa strumenti per il movimento laterale. In pratica, un accesso valido e un login remoto dall’aspetto normale possono bastare per entrare, restare nascosti e spostarsi senza un exploit evidente a terra.
Per i team che affidano il perimetro a VPN, Exchange, AD e RDP, il segnale è che l’abuso di credenziali e di logins tunneled via cloud può aggirare il modello tradizionale di difesa anche senza una nuova catena di exploit.
3 fonti che coprono questa storia
The Record from Recorded Future
Hacking group ‘NightEagle’ targeting China’s high-tech sector expands operations to Russia
Over the past year, Russian cybersecurity firm Kaspersky said it investigated several incidents involving the group at Russian businesses.
Three Threat Groups Target Russian Enterprises With Backdoors, Ransomware, and Wipers
Kaspersky reports three threat clusters targeting Russian enterprises with backdoors, ransomware, wipers, and compromised VPN credentials.
NightEagle APT targets Russian organizations
Kaspersky GERT experts have uncovered a new campaign by the NightEagle APT, featuring the GhostContainer backdoor and tools hosted on GitHub.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-09-21