L'FBI ha recentemente condotto un'operazione di successo contro il malware PlugX, eliminando il software dannoso da oltre 4.250 computer compromessi. Questa missione, durata diversi mesi, è stata autorizzata da una corte ed è stata annunciata dal Dipartimento di Giustizia degli Stati Uniti. PlugX, noto anche come Korplug, è un trojan di accesso remoto frequentemente utilizzato da hacker legati alla Repubblica Popolare Cinese per rubare informazioni e controllare dispositivi compromessi.

L'operazione di disinfezione

L'FBI ha identificato che la variante di PlugX in questione è collegata a un gruppo di hacker sponsorizzato dallo stato cinese noto come Mustang Panda. Questo gruppo ha preso di mira una vasta gamma di obiettivi, inclusi governi e aziende statunitensi, europei e asiatici, nonché gruppi dissidenti cinesi. Tra i paesi colpiti dalle campagne del gruppo vi sono Taiwan, Hong Kong, Giappone, Corea del Sud, Mongolia, India, Myanmar, Indonesia, Filippine, Thailandia, Vietnam e Pakistan.

L'operazione di "disinfezione" è iniziata a fine luglio 2024, con l'obiettivo di ripulire i sistemi compromessi dal malware PlugX. I dettagli dell'attività sono stati precedentemente condivisi dall'Ufficio del Procuratore di Parigi e dalla società di cybersecurity Sekoia. Questa specifica variante di PlugX è nota per diffondersi attraverso dispositivi USB collegati e per comunicare con un server controllato dagli attaccanti per ricevere ulteriori comandi e raccogliere dati dal sistema ospite.

Dettagli dell'operazione

In aprile 2024, Sekoia ha rivelato di aver speso solo 7 dollari per prendere il controllo del server utilizzato dal malware, permettendo così di inviare un comando di autodistruzione per eliminare il malware dai dispositivi infetti. Questo comando ha eseguito vari passaggi per rimuovere il malware, tra cui l'eliminazione dei file creati da PlugX, delle chiavi di registro utilizzate per l'avvio automatico e l'arresto dell'applicazione PlugX.

L'FBI ha assicurato che il comando di autodistruzione non ha influenzato alcuna funzione o file legittimo sui dispositivi presi di mira negli Stati Uniti, né ha trasmesso altri dati da essi. Sekoia ha dichiarato che, nel corso dell'operazione, sono stati emessi 59.475 payload di disinfezione mirati a 5.539 indirizzi IP, in un quadro legale stabilito per condurre il processo di disinfezione in 10 paesi.

Questa operazione dimostra il livello di pericolo e l'aggressività degli hacker sponsorizzati dallo stato cinese, capaci di infettare migliaia di computer basati su Windows in tutto il mondo, compresi molti computer domestici negli Stati Uniti. Tali azioni sottolineano l'importanza di rafforzare le difese informatiche a livello globale.