Cyber-spionaggio a Hainan: Overcast Panda e l'attacco USB ai laptop
- Hacker legati allo stato cinese hanno infiltrato camere d'hotel a Hainan per installare backdoor via USB.
- Il gruppo Overcast Panda ha utilizzato il malware FlowCloud, già noto dal 2020, bypassando ogni difesa di rete.
- L'attacco è un'evoluzione dell'evil maid attack: boot da USB esterno senza interazione dell'utente.
- L'operazione evidenzia la vulnerabilità dei dispositivi aziendali durante i viaggi d'affari in aree ad alto rischio.
Una cena di lavoro e una porta socchiusa a Hainan
L'ambientazione è una conferenza del settore agricolo sull'isola di Hainan, in Cina. È la primavera del 2026. Mentre i dirigenti aziendali partecipano a cene di lavoro e sessioni di networking, i loro laptop riposano nelle camere d'hotel, apparentemente al sicuro dietro una porta chiusa. Non c'è stata alcuna email di phishing sospetta, nessun tentativo di intrusione nel firewall aziendale, né pagine di login contraffatte per rubare password.
L'attacco è avvenuto nel modo più analogico possibile: l'accesso fisico. Un intruso è entrato nelle stanze, ha prelevato i computer e li ha avviati utilizzando una chiavetta USB. In pochi minuti, il dispositivo è stato compromesso prima ancora che il sistema operativo principale venisse caricato. Quando i manager sono tornati nelle loro stanze e hanno acceso i laptop il mattino seguente, il danno era già fatto. Senza che nulla apparisse anomalo sullo schermo, una backdoor era stata installata profondamente nello storage della macchina.
Questa operazione, dettagliata da CrowdStrike nel suo 2026 Threat Hunting Report, trasforma il viaggio d'affari in un vettore di rischio critico. L'efficacia dell'azione non risiede nella sofisticatezza del codice, ma nella precisione dell'esecuzione fisica coordinata da un servizio di intelligence statale.
Perché il boot da USB è tornato a essere un'arma?
La tecnica utilizzata si inserisce in una categoria di minacce nota agli esperti di sicurezza come 'evil maid attack'. Il termine, che richiama l'immagine di una cameriera d'hotel che manomette un computer non sorvegliato, descrive l'accesso fisico non autorizzato a un dispositivo per installare malware o rubare dati. Sebbene Joanna Rutkowska avesse già dimostrato la fattibilità di tale attacco con un bootable USB stick nel 2009, la sua applicazione su scala governativa rimane rara.
Il punto di rottura strategico risiede nella modalità di avvio. A differenza di altri gruppi, come MUSTANG PANDA, che si affidano alla speranza che la vittima trovi e inserisca una chiavetta USB abbandonata (social engineering), Overcast Panda ha forzato il boot della macchina direttamente dalla USB. Questo permette di bypassare le protezioni del sistema operativo attivo e di scrivere codice direttamente nello storage.
Analisi strategica: Per un imprenditore, questo significa che la crittografia del disco e le password di accesso al sistema operativo sono insufficienti se il BIOS/UEFI non è protetto da password e se il boot da dispositivi esterni non è disabilitato. L'attaccante non ha cercato di 'entrare' nel sistema, ma ha creato un nuovo punto di ingresso prima che il sistema stesso potesse difendersi.
Overcast Panda: il ritratto di un protagonista
Il gruppo identificato da CrowdStrike come OVERCAST PANDA non è un insieme di hacker isolati, ma un attore legato allo stato cinese. La loro firma non è l'innovazione tecnologica estrema, ma la persistenza e la capacità di combinare operazioni di intelligence sul campo con strumenti di cyber-spionaggio.
Adam Meyers, senior vice president of counter adversary operations di CrowdStrike, ha sottolineato come l'elemento di novità non sia il malware in sé, ma la combinazione di ingresso fisico in camera d'hotel e deployment di malware tramite boot USB. Mentre la maggior parte dei 290 avversari tracciati da CrowdStrike opera nel dominio digitale, Overcast Panda ha dimostrato di poter coordinare agenti fisici per colpire target specifici in momenti di vulnerabilità logistica.
L'obiettivo è chiaro: l'estrazione di informazioni strategiche da figure apicali (executive) che possiedono privilegi di accesso elevati e informazioni sensibili, rendendo l'operazione molto più efficiente di un attacco a tappeto contro l'intera infrastruttura aziendale.
FlowCloud e la persistenza di un codice vecchio di sei anni
Il malware utilizzato, denominato FlowCloud, è un esempio di riciclo di asset digitali. Non si tratta di un'arma nuova, ma di uno strumento che i ricercatori di sicurezza monitorano da anni. Proofpoint aveva già documentato FlowCloud nel 2020, quando veniva distribuito tramite phishing contro utility pubbliche negli Stati Uniti. Successivamente, il SOC di NTT Security ha tracciato infezioni veicolate da USB in filiali estere di organizzazioni giapponesi a partire dall'inizio del 2022.
Una volta attivato, FlowCloud agisce come una spia silenziosa. Al riavvio della macchina, un trigger (come una chiave di registro) carica il malware, che inizia a eseguire le seguenti operazioni:
- Keylogging (registrazione di ogni tasto premuto)
- Screen capture (screenshot periodici del desktop)
- File collection (raccolta di documenti sensibili)
- Credential harvesting (furto di credenziali di accesso)
Il fatto che un codice del 2020 sia ancora efficace nel 2026 dimostra che la sicurezza perimetrale (firewall, antivirus) è inutile se l'attaccante ha accesso fisico all'hardware. FlowCloud non ha dovuto 'bucare' una difesa, è stato semplicemente depositato all'interno del sistema.
Chi ha ignorato la patch di sicurezza?
L'aspetto più critico di questa vicenda, evidenziato dai report di Novalogiq e VentureBeat, è che le aziende colpite avevano a disposizione una soluzione tecnica per prevenire l'attacco, ma non l'avevano implementata.
Il problema non era l'assenza di una patch, ma la mancata configurazione della sicurezza dell'hardware. Molti laptop aziendali vengono consegnati con impostazioni di fabbrica che permettono il boot da USB per facilitare la manutenzione. Disabilitare questa funzione o proteggere il BIOS con una password è un'operazione standard di hardening, ma spesso ignorata per comodità o per mancanza di policy rigorose sui viaggi d'affari.
Analisi di business: Questo scenario rivela un gap pericoloso tra l'acquisto di tecnologie di sicurezza costose (come gli EDR di CrowdStrike) e la gestione elementare dell'asset fisico. L'investimento in software di difesa è vanificato da una configurazione hardware negligente. La responsabilità si sposta dal dipartimento IT alla governance aziendale: chi ha autorizzato la partenza di executive con macchine non configurate per ambienti ad alto rischio?
Cronologia di un'intrusione fisica tra le 20:00 e le 21:57
L'operazione a Hainan è stata caratterizzata da una rapidità d'esecuzione quasi chirurgica. Sulla base dei timestamp forniti da Adam Meyers, la sequenza degli eventi è stata la seguente:
Periodo dell'operazione: Tra marzo e maggio 2026
Ore 20:00 (circa): L'intruso accede alla prima camera d'hotel mentre l'executive è a cena. Viene inserita la USB, viene forzato il boot, FlowCloud viene scritto nello storage e la macchina viene riavviata per cancellare tracce evidenti di manomissione.
Ore 21:57: Un secondo intruso (o lo stesso agente) accede a una seconda camera, ripetendo l'esatta procedura di infezione sul laptop di un altro dirigente.
Mattino seguente: Gli executive accendono i laptop. Il trigger di sistema avvia FlowCloud. Inizia l'esfiltrazione di dati verso i server di Overcast Panda.
Fase successiva: Il team OverWatch di CrowdStrike rileva l'attività anomala dopo il boot e interrompe l'intrusione.
La vulnerabilità dei laptop aziendali tra NIS2 e i rischi dei viaggi d'affari in Asia
Per un'impresa europea, l'attacco di Overcast Panda non è un aneddoto esotico, ma un monito sulla gestione del rischio. Con l'entrata in vigore della direttiva NIS2, la responsabilità della sicurezza della catena di approvvigionamento e la gestione dei rischi cyber diventano obblighi legali con sanzioni severe per il management.
L'attacco a Hainan dimostra che il perimetro di sicurezza non è più l'ufficio, ma ovunque si trovi il laptop del CEO. In un contesto di geopolitica tesa, i viaggi d'affari in Asia richiedono protocolli di sicurezza specifici che vadano oltre il semplice VPN. La NIS2 impone una gestione del rischio che includa la protezione dei dispositivi mobili e la formazione del personale.
Scenari futuri e indicatori:
1. Adozione di 'Burner Laptops': Le aziende inizieranno a fornire laptop usa-e-getta per i viaggi in aree a rischio, distruggendo l'hardware al ritorno. Indicatore: Aumento delle vendite di hardware low-cost per uso temporaneo nelle policy di procurement IT.
2. Hardening obbligatorio del BIOS: I produttori di laptop potrebbero introdurre standard di sicurezza che disabilitano il boot USB di default, richiedendo autenticazione biometrica per ogni modifica. Indicatore: Rilascio di nuovi firmware UEFI con standard di sicurezza 'Zero Trust' hardware.
3. Espansione di Overcast Panda: Il gruppo potrebbe replicare il modello 'hotel-entry' in altre regioni durante summit internazionali. Indicatore: Segnalazioni di infezioni FlowCloud in coincidenza con G20 o COP.
In sintesi, per le imprese italiane, l'evento di Hainan sottolinea che la cybersecurity non è solo una questione di software, ma di procedure fisiche. Un laptop lasciato in camera d'hotel in Cina è, a tutti gli effetti, un terminale aperto per l'intelligence straniera.
Domande frequenti
Cos'è un 'evil maid attack'?
È un attacco basato sull'accesso fisico a un computer non sorvegliato, dove l'attaccante può installare malware o modificare il sistema tramite l'accesso hardware, ad esempio usando una chiavetta USB.
Come funziona il malware FlowCloud?
È una backdoor che, una volta installata, permette agli hacker di registrare i tasti premuti (keylogging), scattare screenshot, raccogliere file e rubare credenziali di accesso.
Perché le difese software non hanno fermato l'attacco?
Perché l'attacco è avvenuto tramite boot da USB esterno, bypassando il sistema operativo e le sue protezioni prima ancora che queste venissero caricate.
Fonti: Venturebeat, Novalogiq, Aventure ·
Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
