Tortoiseshell allarga il suo accesso furtivo in Europa e Medio Oriente
Group-IB ha trovato nuova infrastruttura di Tortoiseshell e due campioni non documentati prima, segno che il gruppo sta ampliando i modi con cui mantiene accesso furtivo in Europa e Medio Oriente. La novità non è solo l’aggiunta di nuovo malware, ma l’estensione del suo playbook verso canali più difficili da distinguere dall’attività normale di Windows.
Un campione si finge una DLL di sistema e usa il client OpenSSH della macchina per aprire un reverse tunnel verso l’operatore; l’altro si presenta ancora come wtsapi32.dll e richiama una backdoor in C++ con funzioni di file transfer, esecuzione di comandi e caricamento di DLL. In pratica, il traffico di comando può passare per componenti legittimi del sistema, e la persistenza non dipende da un solo implant noto.
Per difesa, aerospace, IT services e ambiente militare, il punto è che la caccia ai soli artefatti già noti non basta più: Tortoiseshell mostra più di un modo per rimanere dentro e per deviare il controllo attraverso il sistema compromesso. La nuova infrastruttura suggerisce anche un profilo di targeting più ampio, con ricadute che possono estendersi oltre i bersagli storici del gruppo.