ESET, leader globale nel settore della cybersecurity, ha pubblicato l’ultimo report di ESET Research su Gamaredon, gruppo malintenzionato legato alla Russia, e sulle sue attività nel corso del 2025. Il documento analizza i nuovi strumenti aggiunti al proprio arsenale, i cambiamenti significativi nel modo in cui protegge la propria infrastruttura di rete e il crescente utilizzo di servizi legittimi di terze parti per nascondere sia le informazioni di comando e controllo (C&C) sia i dati rubati. Per tutto il 2025, Gamaredon è rimasto molto attivo e ha continuato a concentrarsi esclusivamente sull’Ucraina, allineando le proprie attività agli obiettivi geopolitici della Russia, prendendo di mira le istituzioni governative e militari ucraine per ottenere un vantaggio in termini di intelligence.
“Sebbene il gruppo abbia registrato una breve pausa operativa nel gennaio 2025, Gamaredon ha dedicato gran parte dei propri sforzi nella prima metà di quell’anno allo sviluppo e distribuzione di nuovi strumenti. ESET ha osservato che molti aggiornamenti sono stati effettuati in vista delle principali festività in Russia e in Crimea. In particolare, non sono stati rilevati aggiornamenti durante o immediatamente dopo tali festività, il che suggerisce che gli operatori di Gamaredon siano probabilmente dipendenti affiliati al governo”, ha affermato Zoltán Rusnák, ESET researcher che si occupa delle indagini su Gamaredon. Il gruppo è attribuito dal Servizio di Sicurezza dell’Ucraina al 18° Centro per la Sicurezza Informatica dell’FSB russo e si ritiene che operi dalla Crimea occupata.
All’inizio del 2025, Gamaredon ha collaborato con Turla, un altro threat actor allineato alla Russia. Questa cooperazione sottolinea il potenziale di operazioni di cyber spionaggio tra gruppi allineati alla Russia, destinate probabilmente ad amplificare il loro impatto operativo. In passato, Gamaredon ha collaborato anche con threat actor scoperto da ESET e denominato InvisiMole. Più in generale, il 2025 ha fornito un altro esempio di cooperazione e condivisione dei compiti tra attori allineati alla Russia: ESET ha osservato il gruppo UAC-0099, allineato alla Russia, condurre operazioni di accesso iniziale e successivamente trasferire gli obiettivi convalidati a Sandworm per attività di follow-up.
Nella seconda metà dell’anno, Gamaredon si è orientato maggiormente verso campagne di spear phishing più estese e frequenti. Il cambiamento più evidente ha riguardato il ritmo. Il gruppo è risultato molto più attivo nella seconda metà dell’anno, quando le campagne sono diventate sia più frequenti che di maggiore portata. Oltre allo spear phishing, Gamaredon ha continuato a utilizzare strumenti personalizzati per il movimento laterale. Questi strumenti trasformano in armi le chiavette USB, le unità di rete mappate e persino i programmi di installazione del software, aiutando il gruppo a diffondersi all’interno o tra le organizzazioni dopo la compromissione iniziale.
Nel 2025 Gamaredon ha presentato sei nuovi strumenti, tutti scritti in PowerShell: PteroDee, PteroCache, PteroDum, PteroOdd, PteroPaste e PteroEffigy. Tra questi spicca PteroPaste, che è notevolmente più complesso rispetto agli altri. Combina un downloader, uno strumento di weaponizzazione USB e un componente di esecuzione utilizzato per la persistenza e l’orchestrazione. Inoltre, ha riportato in auge un vecchio strumento di weaponizzazione basato su VBScript – PteroSetup, apparso per la prima volta nel 2021.
Inoltre, gli operatori di Gamaredon hanno cercato nuovi modi per proteggere la propria infrastruttura di rete, nascondendo i propri server C&C dietro vari servizi di terze parti quali tunnel, worker, DDNS (DNS dinamico) e PaaS (platform as a service).
Uno degli aspetti più importanti delle operazioni di Gamaredon nel 2025 è stato l’ampio ricorso verso servizi dead-drop. Il termine deriva dallo spionaggio tradizionale – invece di incontrarsi direttamente, un agente lascia delle informazioni in un luogo pubblico o nascosto e un altro le recupera in un secondo momento. Online, il principio è simile. Anziché incorporare direttamente il vero server dannoso nel malware, gli operatori collocano tali informazioni su un sito web o una piattaforma legittima e il malware le recupera da lì. Ciò significa che il malware può prima contattare una pagina pubblica su un servizio legittimo, leggerne un valore nascosto o predisposto e, solo allora, connettersi al vero server C&C. Nel 2025, Gamaredon ha sfruttato in questo modo numerosi servizi: canali Telegram, Dropbox, i social network DEV Community, Mastodon e altri.
L’altro importante cambiamento a livello di infrastruttura osservato da ESET ha riguardato l’esfiltrazione dei dati. Gamaredon ha aggiornato due dei suoi principali file stealer, PteroPSDoor e PteroVDoor, per caricare i file rubati su servizi di archiviazione cloud compatibili con S3 – ovvero provider che supportano l’API Amazon S3 (Wasabi, Tebi e Intercolo), consentendo agli stessi strumenti e allo stesso codice di funzionare con diversi storage vendors. Allo stesso tempo, PteroBox ha continuato a caricare file su Dropbox.
Il caricamento dei file rubati su servizi di archiviazione cloud riduce la necessità per Gamaredon di mantenere una propria infrastruttura per la ricezione di grandi quantità di dati rubati. Inoltre, contribuisce a far passare inosservato il traffico dannoso, confondendolo con l’accesso a legittimi storage providers. In sostanza, Gamaredon ricorre sempre più spesso a servizi di terze parti non solo per nascondere la provenienza delle istruzioni, ma anche per occultare la destinazione dei dati rubati.
Per ulteriori dettagli su Gamaredon e sulle attività nel 2025, consultare il blogpost di ESET Research e il white paper “Gamaredon in 2025: Leveraging tunnels, workers, dead drops, and new alliances,” disponibile su WeLiveSecurity.com. Assicurarsi di seguire ESET Research su Twitter (oggi noto come X), BlueSky e Mastodon per le ultime notizie da ESET Research.
