Acronis, specialista globale nella protezione informatica, ha identificato due campagne di spionaggio contro enti governativi cambogiani nei settori della difesa e dei lavori pubblici. Entrambe le campagne, rilevate dall’Acronis Theat Research Unit (TRU), hanno distribuito un loader basato su DLL precedentemente non documentato, tracciato come NIGHTFORGE, tramite esche a tema governativo confezionate in archivi autoestraenti (SFX). Una volta eseguito, NIGHTFORGE si è decrittato e avviato direttamente in memoria un payload Havoc Demon. Le due campagne hanno condiviso tooling e infrastruttura quasi identici, con modifiche minime tra i target, suggerendo un basso ritmo di retooling da parte dell’operatore.
Sulla base dei pattern di targeting, della costruzione delle esche e delle caratteristiche dell’infrastruttura, TRU valuta con confidenza moderata che l’attività sia motivata da spionaggio e probabilmente allineata a interessi di raccolta d’intelligence regionali nel Sud-est asiatico. Acronis TRU sta tracciando il cluster, precedentemente non segnalato, come Khmer Shadow.
La catena di attacco
La catena di attacco è iniziata con una sospetta email di spear-phishing che ha consegnato un archivio SFX compresso. L’archivio conteneva più file di libreria benigni insieme a una DLL malevola usata per il sideloading. A questo punto NIGHTFORGE ha stabilito la persistenza, depositato il payload Havoc Demon e si è connesso al server di comando e controllo. La differenza principale tra le due campagne era il documento esca. La campagna rivolta all’Information Collection Bureau (ICB) della Cambogia includeva un PDF esca, mentre la campagna contro il Ministero dei Lavori Pubblici e dei Trasporti ne era sprovvisto. Analizzando il documento esca, è stato scoperto che la lettera era indirizzata a Ms. Pech Nget, apparentemente in forze presso l’Information Collection Bureau (ICB) del Ministero della Difesa Nazionale della Cambogia. Il mittente si è firmato Chen Minglong di una “Divisione Sviluppo e Investimenti” con sede a Pechino. Non sono state trovate tracce pubbliche di nessuno dei due individui, il che suggerisce che l’operatore può aver fabbricato entrambe le identità per conferire credibilità all’esca.
Il contenuto della lettera parlava di una imminente “missione nel maggio 2026” e delineava tre aree di coordinamento proposte: definire un protocollo di scambio dati tra la divisione del mittente e l’ICB, discutere quali risorse tecniche il team ICB possa fornire e organizzare autorizzazioni e incontri per una visita in sito con personale del MOD. Il testo appariva come una normale email di cooperazione bilaterale tra Cina e Cambogia, esattamente il tipo di comunicazione che chiunque impegnato nel coordinamento della difesa avrebbe aperto senza pensarci due volte. In particolare, la lettera citava un individuo chiamato Youthy e un “EOD Administrative team”. Sebbene non sia stato possibile verificare i due riferimenti, la loro inclusione suggerisce che l’operatore ha tentato di incorporare nell’esca dettagli specifici dell’organizzazione per aumentarne la credibilità.
Attribuzione e livello di confidenza
Nella threat intelligence l’attribuzione non è mai semplice. I gruppi di minaccia prendono regolarmente in prestito, condividono e copiano strumenti e tecniche gli uni dagli altri, e una corrispondenza TTP da sola raramente basta per attribuire un’operazione a un attore specifico. Con questo in mente, TRU ha affrontato la campagna con cautela, considerando il quadro completo piuttosto che il singolo artefatto.
L’uso di vmtools.dll come DLL caricata tramite sideloading merita una menzione specifica perché la tecnica è stata osservata già in precedenza, in particolare con APT29 in una campagna contro diplomatici europei all’inizio del 2025 e nel caso di gruppi come Mustang Panda e PatchWork. Il nome del file è una scelta naturale per chi abusa di binari firmati VMware, poiché vmtools.dll viene distribuito con VMware Tools e compare su HijackLibs come bersaglio noto per il sideloading. La sovrapposizione, quindi, non può essere trattata come indicatore di attribuzione. Il profilo di targeting, la costruzione delle esche e le caratteristiche operative delle due campagne sono coerenti con un attore orientato allo spionaggio operante nel Sud-est asiatico: le campagne erano deliberatamente rivolte a enti governativi cambogiani nei settori difesa e lavori pubblici, indicando un chiaro obiettivo d’intelligence. Allo stesso tempo, la combinazione di un loader C++ personalizzato, KaynLdr e Havoc Demon non assomiglia ad alcun cluster precedentemente documentato da TRU, e l’infrastruttura non mostra sovrapposizioni significative con gruppi di minaccia noti. Di conseguenza, al momento l’attività non è attribuita ad alcun attore noto e TRU continua a identificarlo come cluster precedentemente non segnalato, designato come Khmer Shadow.
La campagna riflette un cluster che ha privilegiato la furtività rispetto alla sicurezza operativa. Pur impiegando tecniche di evasione avanzate, tra cui unhooking di NTDLL, risoluzione delle syscall tramite Hell’s Gate e DLL sideloading, Khmer Shadow ha riutilizzato ripetutamente gli stessi payload e la stessa infrastruttura contro bersagli multipli. Questa incoerenza ha consentito la correlazione dell’infrastruttura e ha portato all’identificazione di ulteriori asset controllati dal cluster tramite pivot basati su JARM.
