Minacce · 73 giorni fa
Il rischio vero non è il singolo backdoor, ma la sua permanenza: GoSerpent è stato usato per mesi per tenere aperto l’accesso, rubare credenziali e accumulare file prima di portarli fuori più tardi. In uno scenario del genere, la pulizia dell’endpoint chiude solo una parte del problema; il materiale già raccolto può restare in attesa su shared drive fino all’estrazione finale.
Kaspersky colloca la campagna da fine 2025 contro enti governativi e diplomatici del Sud-est asiatico. A maggio 2026 l’operatore è tornato con un toolkit evoluto, aggiungendo un nuovo Stowaway RAT, un proxy tool e un componente più discreto per esfiltrare dati raccolti nei mesi precedenti attraverso network share; il malware ha anche usato credential dumper e SOCKS5 per mantenere il traffico e i privilegi utili al furto.
Questo rende il caso più ampio di un implant da rimuovere: il problema è la combinazione di accesso persistente, credenziali già sottratte e dati già staged per un’uscita che può assomigliare a normale movimento interno. Per chi presidia ambienti governativi e diplomatici nella regione, il segnale da cercare è un compromesso di lunga durata che può aver già superato la soglia dell’endpoint.
story_meaning
why_now
2 fonti che coprono questa storia
New GoSerpent Malware Targets Southeast Asian Governments and Diplomats for Espionage
New GoSerpent malware targets Southeast Asian government and diplomatic entities, deploying SOCKS5 proxies, credential dumpers, and data theft tools.
GoSerpent backdoor attacks in Southeast Asia
Two-phase attacks with the GoSerpent backdoor, Stowaway RAT, ThumbcacheService and other tools aim to steal data from government entities in Southeast Asia.
Part of the PlainSec briefing for 2026-07-18