The latest APT Activity Report from ESET Research maps the threats between Venezuela, Syria, Gulf countries, South Korea and Ukraine
ESET, a global leader in the cybersecurity sector, has published its latest APT Activity Report, which highlights the activities of some APT (Advanced Persistent Threat) groups documented by ESET Research between October 2025 and March 2026. Over the period monitored, malicious actors aligned with China continued to be particularly active globally, conducting espionage campaigns partly influenced by geopolitical developments related to Beijing's economic and security interests. Following the US military operation in Venezuela and amid ongoing instability in the Gulf region, ESET has detected signs that China-linked groups have been mobilized to improve Beijing's ability to monitor maritime, energy and political developments abroad. At the same time, the North Korea-linked Andariel Group has targeted a company that appears to be operating in the nuclear energy sector.
The FamousSparrow group, also affiliated with China, targeted a Venezuelan government body related to maritime affairs, likely with the aim of monitoring the resilience of oil shipments after US intervention. ESET also observed activity linked to SteppeDriver, another Chinese APT group that targeted a Syrian government network: activity that could reflect both Chinese commercial interest in Syria's reconstruction projects and concerns over the presence of Uyghur fighters in the country. The China-linked UNC5221 group also used the SPAWN family of malware against government entities in Cambodia and Panama, as well as against a South Korean company active in the fields of artificial intelligence and robotics. This latter target is consistent with Beijing's constant interest in strategic technologies in the Made in China 2025 industrial policy.
"In Asia, campaigns have primarily focused on government organizations, strategic industries and advanced technology sectors. In the Middle East, Israel remained the main target of Iran-aligned or linked activities, with attacks targeting both organizations through espionage operations and device manufacturers targeted by destructive tools," says Jean-Ian Boutin, Director of Threat Research at ESET.
La guerra in Iran, iniziata alla fine di febbraio 2026, è stata l’evento determinante per le attività malevoli riconducibili a Teheran durante il periodo analizzato. Paradossalmente, il conflitto ha coinciso con una diminuzione delle attività dei gruppi APT iraniani tradizionalmente monitorati dalla telemetria di ESET, probabilmente a causa delle restrizioni Internet imposte dal regime iraniano, che ne hanno limitato la capacità operativa. Allo stesso tempo, questo scenario sembra aver favorito la mobilitazione di attori proxy e gruppi hacktivisti impegnati in attacchi contro Israele, Stati Uniti e altri Paesi considerati ostili a Teheran. ESET Research ha, inoltre, registrato un insolito aumento di attività contro obiettivi israeliani senza poterle attribuire con certezza a gruppi precedentemente noti. Due cluster di attività non attribuiti, denominati Rusty Boots e MoKhargosh, hanno mostrato sia capacità di spionaggio sia potenziale distruttivo contro Israele, inclusa la distribuzione di un malware wiper in stile bootkit e il mantenimento di strumenti distruttivi per utilizzi successivi.
ESET Research ha, inoltre, rilevato la compromissione di un’azienda della difesa negli Emirati Arabi Uniti e campagne di spionaggio rivolte a utenti di lingua araba tramite spyware Android. L’operazione potrebbe aver preso di mira giornalisti o analisti OSINT (Open Source Intelligence), poiché il nome del canale Telegram utilizzato dagli attaccanti sembrava ispirato a Live Universal Awareness Map (Liveuamap), una nota piattaforma OSINT dedicata al monitoraggio degli incidenti militari a livello globale.
Gli attori malevoli collegati alla Corea del Nord sono rimasti attivi su più fronti. Diversi gruppi hanno continuato a prendere di mira sviluppatori software e l’ecosistema delle criptovalute attraverso campagne di social engineering finalizzate sia a ottenere guadagni economici diretti sia a compromettere la supply chain del software. ESET ha, inoltre, individuato il ritorno del gruppo Andariel in operazioni contro la Corea del Sud. In questo caso il gruppo ha distribuito il malware TigerRAT, tentando di diffondere il ransomware Rook all’interno di una società di ingegneria che sembra produrre apparecchiature per la gestione dell’idrogeno liquido e per l’industria nucleare: tecnologie di evidente interesse per le ambizioni missilistiche e nucleari di Pyongyang.
Gli attori allineati alla Russia hanno continuato a concentrare le proprie attività quasi esclusivamente sull’Ucraina e sulle organizzazioni coinvolte negli sforzi di difesa del Paese. Il gruppo Sednit ha distribuito i malware Covenant e BeardShell contro personale militare ucraino, produttori di droni e organizzazioni impegnate nella ricerca e sviluppo di tecnologie UAV, prendendo di mira anche aziende della logistica e dei trasporti al di fuori dell’Ucraina. Nel frattempo, Sandworm ha intensificato le attività distruttive durante l’inverno, utilizzando diversi nuovi malware wiper contro enti governativi e aziende ucraine. Particolarmente significativo è stato un incidente di distruzione di dati verificatosi a dicembre 2025 ai danni di una società energetica polacca: incidente attribuito da ESET al gruppo Sandworm con un livello medio di attendibilità.
I prodotti di ESET proteggono i sistemi dei clienti dalle attività malevole descritte nel report. Le informazioni condivise si basano principalmente sui dati di telemetria proprietari di ESET e sono state verificate dai ricercatori dell’azienda, che producono report tecnici approfonditi e aggiornamenti periodici sulle attività dei singoli gruppi APT. Queste analisi di threat intelligence, note come ESET APT Report, supportano le organizzazioni impegnate nella protezione dei cittadini, delle infrastrutture critiche nazionali e degli asset strategici dagli attacchi informatici criminali e sponsorizzati dagli Stati.
Maggiori informazioni sugli ESET APT Report e sulla loro intelligence di natura strategica, operativa e tattica sulle minacce informatiche sono disponibili nella pagina dedicata alla Threat Intelligence di ESET.
