Il Global Research and Analysis Team di Kaspersky ha individuato una campagna malware multi-fase che si maschera da film di grande richiamo, tra cui The Odyssey. I cybercriminali hanno compromesso uno dei più noti archivi pubblici di file torrent e lo hanno trasformato in un canale di distribuzione del payload dannoso.
Le vittime già identificate si contano a centinaia, tra singoli utenti e aziende, in Paesi come Russia, Turchia, Giappone, Kenya, Uganda e Colombia, oltre a diversi Stati europei tra cui Spagna, Paesi Bassi, Belgio e Germania. Tra i bersagli figurano organizzazioni dei settori aziendale, governativo, IT, consulenza, retail, trasporti e agricoltura. La campagna, attiva almeno dalla metà di agosto, resta in corso.
Un framework a più fasi
L’infezione parte da un loader capace di riconoscere le sandbox antivirus, gli ambienti isolati che i prodotti di sicurezza usano per analizzare file sospetti senza rischi. Se rileva di essere sotto osservazione, il malware modifica il proprio comportamento per eludere il rilevamento e complicare le indagini successive.
Una volta attivo, scarica moduli aggiuntivi che ne estendono le capacità: garantiscono la persistenza anche dopo un riavvio o la chiusura forzata del processo, aggirano lo User Account Control di Windows per ottenere privilegi di amministratore senza far comparire il consueto avviso, e aprono infine un canale di accesso remoto al dispositivo compromesso.
Il dettaglio più insolito riguarda il recupero dell’indirizzo del server di comando e controllo: il malware lo legge dalla blockchain di Solana, un’infrastruttura decentralizzata che rende molto più difficile per i ricercatori bloccare o smantellare la rete degli attaccanti. Basta aggiornare una transazione per spostare l’infrastruttura, senza dipendere da domini o server facilmente sequestrabili.
Konstantin Isakov, del team GReAT di Kaspersky, descrive così la logica dell’operazione:
“La campagna si distingue per la combinazione di un espediente comune con un sofisticato design tecnico. Mascherando il malware come torrent di film famosi, gli autori dell’attacco aumentano la probabilità che utenti ignari lo scarichino. Una volta avviato, il malware a più fasi è progettato per eludere il rilevamento, garantire la persistenza e fornire agli autori dell’attacco l’accesso remoto ai dispositivi infetti”.
L’analisi tecnica completa, con indicatori di compromissione, è pubblicata su Securelist.
Le soluzioni Kaspersky rilevano già il malware descritto. Per gli utenti privati, l’azienda ribadisce la raccomandazione più semplice: evitare fonti non ufficiali per film, giochi e mod, e non disattivare mai l’antivirus pur di completare un download. Per le aziende, il consiglio è più strutturato: linee guida chiare sull’uso di software di terze parti sui dispositivi aziendali, visibilità sulle minacce tramite soluzioni EDR/XDR e, dove mancano competenze interne, il ricorso a servizi di sicurezza gestiti per l’intero ciclo di risposta agli incidenti.