Il 27 luglio il collettivo di investigazione Intrusion Truth ha pubblicato un dossier OSINT che identifica Guangdong Chanming come fornitore di infrastrutture relay anonimizzate per il PLA e per quasi una dozzina di gruppi APT cinesi. La società non ha sito web, non ha clienti commerciali noti e non lascia tracce digitali convenzionali. La sua scoperta conferma che la catena industriale dello spionaggio cibernetico cinese include vendor invisibili la cui interruzione può essere più efficace del targeting dei singoli attori.
- Guangdong Chanming non dispone di presenza commerciale pubblica: nessun sito web, storefront o catalogo visibile, secondo il dossier di Intrusion Truth.
- Record di procurement militare su plap.mil.cn nominano Chanming come fornitore di "Anonymous Network System" a un'unità nel distretto di Haidian, Pechino, sede del PLA Cyberspace Force.
- Il progetto VPN personale FCN del suo azionista Wang Huiping condivide comandi tecnici identici con il malware WHIPWEAVE, componente della rete ORBWEAVER documentata da Symantec.
- Quasi una dozzina di cluster APT distinti, inclusi attori del PLA e del Ministero della Pubblica Sicurezza, hanno utilizzato la stessa infrastruttura relay acquistata da questo singolo vendor.
Come si scopre un'azienda che non vuole essere trovata
La metodologia di Intrusion Truth parte dai filing societari cinesi. Guangdong Chanming risulta registrata con due azionisti: Dai Zhoujun e Wang Huiping. Il numero di telefono di Wang, 13760865234, compare in un dump di data breach associato all'indirizzo email boywhp@126.com. Questa email è collegata al repository GitHub di FCN (Free Connect), un progetto VPN personale di Wang ora cancellato ma con fork rimanenti.
Il dominio xfconnect.com, associato a FCN, ospita binari su VirusTotal che includono un file analogo a stn.exe ("STN Security Tunnel") attribuito a Chanming. Le stringhe interne referenziano FCN, stabilendo un ponte tra il progetto personale e il prodotto aziendale. Il binario stn.exe è registrato tra i prodotti di Chanming, insieme a sistemi per l'estrazione dati da Android, la raccolta da Telegram e il testing di vulnerabilità di rete.
Le build Linux di FCN utilizzano un comando insolito per identificare le interfacce di rete. Lo stesso comando è documentato da Mandiant nel malware WHIPWEAVE, file bulbature, componente centrale della rete RedRelay/ORBWEAVER. Symantec ha confermato tecnicamente che Whipweave funge da tunneling tool per la rete Orbweaver ed è derivato da FCN.
Dal progetto personale al prodotto militare
La catena tecnica ricostruita dal dossier è lineare: FCN evolve in STN Security Tunnel, che si trasforma in infrastruttura-as-a-service per relay multi-hop. Due brevetti di Chanming descrivono un'architettura di anonimizzazione multi-hop che corrisponde al design noto di RedRelay. Il passaggio dal codice open-source personale al sistema brevettato enterprise non è anomalo nel contesto cinese; è il modello che Resecurity ha documentato per altri contractor come Knownsec e i-Soon.
RedRelay è classificata da Mandiant come rete ORB1: nodi da dispositivi IoT e router compromessi, con ciclo di rotazione di 31 giorni o meno per evitare il tracking. Dal 2020 circa, gruppi APT cinesi hanno adottato sistematicamente questo modello. Il valore strategico è la condivisione di infrastruttura tra attori diversi, che diluisce le tracce di attribuzione geografica del traffico C2.
"Either the FCN's unusual commands coincidentally match those of a covert-network malware which matches patent descriptions that name the FCN developer. Or FCN is a variant of the malware and the patents are an attempt to legitimise it." — Intrusion Truth
Quando quasi una dozzina di APT condivide lo stesso fornitore
L'indagine collega l'infrastruttura Chanming ad APT15 (Ke3chang, Vixen Panda, Red Vulture, NICKEL, Nylon Typhoon, Playful Dragon), con nuove designazioni proposte da Intrusion Truth: Unit 61046 e CSF 8th Bureau, l'8th Technical Reconnaissance Base del PLA Cyberspace Force. Queste designazioni non sono verificabili indipendentemente come designazioni ufficiali PLA; sono ricostruzioni analitiche del collettivo.
Il dossier documenta che quasi una dozzina di cluster APT distinti ha utilizzato la stessa infrastruttura relay. Questo dato, ripreso anche da Risky.biz, ha conseguenze operative per i difensori. Mandiant aveva già osservato nel maggio 2024 che "la diffusione delle reti ORB significa che i difensori potrebbero dover abbandonare del tutto il concetto di IP attaccante come indicatore statico di compromissione, e trattare invece le reti relay avversarie come minacce a sé stanti".
Microsoft aveva sequestrato 42 domini nell'operazione contro NICKEL (APT15) nel dicembre 2021. La scoperta di Chanming spiega perché quella disruption sia stata parziale: i domini erano solo il livello visibile di un'infrastruttura commerciale condivisa e rimpiazzabile.
Cosa fare adesso
La conferma che quasi una dozzina di cluster APT condivide un singolo vendor commerciale ha implicazioni operative concrete per i difensori. Il primo passo è integrare gli indicatori tecnici documentati nelle piattaforme di monitoraggio: gli SHA-256 30093c2502fed7b2b74597d06b91f57772f2ae50ac420bcaa627038af33a6982 (Whipweave), 68ee37b260facbae2869b57c85471bce156726b69ebe8a90af400fedb188b143 (FCN-related) e 7b9aa96c19d342b9a352cac8e53b116edc92b871afca86b6b8d6ea834678f029 (stn.exe-related) devono essere trattati come segnali di presenza di infrastruttura ORB, non come indicatori di singolo attore.
Il secondo passo è abbandonare il monitoraggio statico degli IP C2. Con cicli di rotazione di 31 giorni o meno, gli indirizzi IP relay sono rimpiazzabili e condivisi tra multipli attori. I team di threat intelligence devono invece mappare i pattern di dominio e i comportamenti di rete associati alle architetture multi-hop, come descritto nei due brevetti Chanming.
Il terzo passo è valutare la visibilità sui propri asset: dispositivi IoT e router consumer sono i nodi tipici delle reti ORB1. La segmentazione di rete e il rilevamento di traffico tunnelato non autorizzato diventano priorità, dato che questi dispositivi fungono da relay senza che i proprietari ne siano consapevoli.
Per i decisori di intelligence, la designazione proposta di Unit 61046/CSF 8th Bureau come PLA (non MSS) richiede attenzione nella classificazione delle operazioni attribuite ad APT15. La cornice giuridica e le opzioni di risposta cambiano in base all'attribuzione a forze armate o servizi di sicurezza civili.
Perché è importante
Il dossier non specifica se Guangdong Chanming esista ancora operativamente dopo l'esposizione pubblica, né se siano in corso azioni giudiziarie o sanzionatorie nei confronti della società o dei suoi azionisti. La fonte non quantifica con precisione il numero esatto di APT clienti: "quasi una dozzina" rimane un qualificatore vago. Non è nemmeno chiaro se altri vendor cinesi operino con modello identico a Chanming, benché il contesto strutturale lo suggerisca.
Ciò che emerge con chiarezza è invece la vulnerabilità del modello di "plausible deniability" basato su contractor commerciali. Quando un singolo vendor invisibile serve multipli attori statali, la sua identificazione tramite OSINT pubblico espone simultaneamente l'intera rete di clienti. La scoperta di Chanming non è un'anomalia da catalogare; è la dimostrazione che l'attribuzione basata su infrastruttura condivisa può essere più disruptive di quella basata su indicatori tattici.
Per il settore intelligence, la designazione proposta di Unit 61046/CSF 8th Bureau come PLA (non MSS) sposta la cornice giuridica delle operazioni attribuite ad APT15. Per i difensori aziendali, la conferma che multipli APT condividono infrastrutture commerciali rende obsoleto il monitoraggio statico degli IP. Il target efficace diventa il vendor, non il singolo attore.
Le domande che restano aperte
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.techtimes.com/articles/322063/20260729/guangdong-chanming-sold-spy-botnet-pla-nearly-dozen-chinese-hacking-groups.htm
- https://intrusiontruth.wordpress.com/2026/07/27/dear-diary-today-i-found-a-ghost-in-the-network/
- https://www.cryptika.com/researchers-say-a-ghost-chinese-company-built-the-network-hiding-pla-cyberattacks/
- https://www.security.com/threat-intelligence/cloud-espionage-attacks
- https://www.resecurity.com/blog/article/knownsec-data-breach-a-trove-of-espionage-tradecraft-with-an-insider-narrative
- https://news.risky.biz/risky-bulletin-new-chinese-cyber-contractor-identified/
- https://www.qcc.com/cmainmember/5d96ff148bd19263df5c7f1f2c52f48f