Utility fiscale indiana contraffatta usata in una campagna per distribuire DcRAT, secondo i ricercatori

I ricercatori di sicurezza affermano che un gruppo di minacce sospettato di essere legato alla Cina ha preso di mira contribuenti indiani, consulenti fiscali e addetti alla finanza con email di phishing che conducono a un trojan ad accesso remoto dannoso noto come DcRAT.

La campagna, monitorata da Seqrite Labs con il nome Operation DragonReturn, è stata osservata per la prima volta a metà maggio 2026 e sembra essere stata programmata in concomitanza con la stagione annuale della dichiarazione dei redditi in India. Secondo i ricercatori, l’operazione è stata realizzata con cura anziché essere distribuita indiscriminatamente, utilizzando un linguaggio realistico relativo alle imposte, contenuti bilingui e riferimenti a procedure ufficiali per fare apparire legittimi i messaggi.

Come funziona l’attacco

La catena d’intrusione inizia con email che imitano il Dipartimento indiano delle imposte sul reddito e segnalano presunte violazioni o sanzioni. I destinatari vengono invitati ad aprire un allegato PDF contenente un link a un dominio governativo contraffatto. Il sito indirizza quindi gli utenti a scaricare un file ZIP che si presenta come un’utility offline per la compilazione della dichiarazione dei redditi.

All’interno dell’archivio, la struttura dei file è progettata per sfruttare il DLL sideloading. Viene caricata una libreria dannosa, che in seguito inietta ulteriore codice nella memoria. Il malware verifica se dispone dei privilegi di amministratore e può attivare una richiesta di Controllo dell’account utente di Windows qualora sia necessario un accesso elevato.

Da quel momento, il malware esegue controlli anti-analisi, recupera un file JPG da un server esterno ed estrae un payload secondario nascosto all’interno dell’immagine. Il payload viene copiato in una directory di Windows Media Player e quindi duplicato nuovamente come Mixed Reality.exe. Il malware crea inoltre un servizio Windows per assicurarsi di essere avviato automaticamente dopo il riavvio.

Seqrite ha dichiarato che un componente funge da loader, disabilita la scansione AMSI di Windows, mantiene la persistenza e decritta DcRAT sul computer infetto. Un altro modulo è in grado di acquisire screenshot e inviare i dati rubati a un server remoto.

Possibili collegamenti ad altre attività allineate alla Cina

I ricercatori non hanno attribuito con certezza l’operazione a un gruppo specifico, ma hanno rilevato indicatori tecnici riconducibili a infrastrutture basate in Cina e un pannello di gestione in lingua cinese collegato al server di comando e controllo. Seqrite ha inoltre affermato che la campagna presenta sovrapposizioni con tattiche precedentemente associate a Silver Fox, un gruppo collegato a campagne di phishing a tema fiscale e alla distribuzione di ValleyRAT.

• Obiettivi principali: contribuenti indiani, team finanziari e professionisti del settore fiscale
• Metodo di distribuzione: email di phishing, link dannosi in PDF e download di file ZIP
• Payload: DcRAT, oltre a componenti per il caricamento e il mantenimento della persistenza
• Obiettivo probabile: furto di credenziali, esfiltrazione di dati e accesso prolungato

La divulgazione segue rapporti distinti pubblicati da LevelBlue, Cybereason e altri soggetti, che descrivono campagne RAT correlate in cui falsi installer ed esche di phishing vengono utilizzati per distribuire ValleyRAT e altre famiglie di malware tra gruppi di utenti di lingua asiatica.