Sintesi CTI: l’autore dell’attacco “ EDR”, PS1Bot, il ransomware Charon

Nella rassegna di questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza come i gruppi di ransomware stiano adottando sempre più spesso uno strumento comune per disattivare i sistemi di rilevamento e risposta alle minacce ( endpoint , EDR). Esaminiamo inoltre una campagna di malvertising che diffonde il framework malware modulare PS1Bot e analizziamo la comparsa del ransomware Charon, un attacco in stile minaccia persistente avanzata (APT) che prende di mira settori critici con attacchi personalizzati.

Lo strumento condiviso per l’eliminazione di “ EDR” sta prendendo piede nell’ecosistema del ransomware

Sophos riferisce che i gruppi di autori di ransomware stanno ricorrendo sempre più spesso a uno strumento avanzato condiviso per disabilitare i sistemi di " EDR ", eludere il rilevamento e ottimizzare l'esecuzione degli attacchi.

[Pensate che il vostro " EDR " vi garantisca una copertura adeguata? Scoprite in che modo le lacune nella visibilità e i tempi di risposta lenti potrebbero lasciare i vostri endpoint esposti a rischi.]

Si ritiene che lo strumento sia stato sviluppato da RansomHub ed è considerato un’evoluzione di EDRKillShifter. Sfrutta driver firmati e l’iniezione di processi per aggirare i sistemi di protezione.

Anche gruppi di hacker quali Blacksuit, Medusa, Qilin, DragonForce, Crytox, Lynx e INC hanno adottato lo strumento, il che indica un utilizzo diffuso nell’ecosistema del ransomware.

In migliaia di campioni di ransomware è stato individuato un payload in grado di eludere i sistemi antivirus

Sophos ha documentato questo payload in migliaia di campioni, rilevando che viene spesso utilizzato nel corso dell’attacco e che è spesso incorporato in utility legittime per eludere il rilevamento e disattivare le difese antivirus.

[Scoprite le difficili decisioni che stanno alla base della risposta al ransomware — dalla scelta se pagare o meno a come prepararsi al prossimo attacco — in questa puntata del podcast “ Tanium ”.]

Ad esempio, in un caso gli autori dell’attacco hanno incorporato il payload nella funzione “Clipboard Compare” di Beyond Compare, un’utilità legittima sviluppata da Scooter Software. Gli autori dell'attacco hanno iniettato il codice del loader e incorporato il payload dannoso come risorsa, insieme ad ulteriori componenti del loader.

Una volta eseguito, il payload si è autodecodificato, consentendo a Sophos di identificare diverse caratteristiche chiave:

• Il codice è fortemente offuscato e protetto.
• Cerca un'unità con un nome casuale di cinque lettere.
• Il driver è firmato tramite un certificato compromesso.
• È rivolto a diversi fornitori di soluzioni di sicurezza.
• L'elenco dei bersagli varia a seconda dei campioni.

È stato accertato che il file eseguibile fosse un “AV killer”, progettato specificatamente per colpire i prodotti Sophos. Sophos rileva che esistono diverse versioni, ciascuna delle quali si rivolge a prodotti di sicurezza diversi.

In tutte queste varianti, lo strumento cerca di identificare e terminare i processi e i servizi presenti nel proprio elenco di obiettivi. L'ultima variante utilizza un driver firmato da Fuzhou Dingxin Trade Co., Ltd.

Come viene solitamente distribuito il malware “ EDR ”

La maggior parte degli attacchi osservati ha inizio con un dropper compresso con HeartCrypt, che distribuisce un eseguibile dannoso protetto da EDR e carica un driver firmato con un certificato compromesso.

I ricercatori hanno osservato che il file eseguibile tentava di caricare un driver associato, sebbene l’esecuzione venga spesso bloccata da rilevamenti statici generici o da protezioni dinamiche quali SysCall o HollowProcess.

Dopo l’attivazione del malware “ EDR ”, Sophos ha rilevato un avviso relativo al ransomware RansomHub, sebbene sequenze simili abbiano preceduto anche attacchi da parte di altre famiglie di ransomware.

Casi di studio: MedusaLocker e INC Ransomware in azione

Per illustrare in che modo questo strumento venga adattato alle diverse famiglie di ransomware, Sophos presenta due casi degni di nota:

1. MedusaLocker: Sophos mette in evidenza un caso relativo al ransomware MedusaLocker, in cui gli autori dell’attacco hanno probabilmente sfruttato una vulnerabilità zero-day di tipo RCE presente in SimpleHelp per ottenere l’accesso iniziale. Il programma dannoso AV è stato eseguito tramite un componente di SimpleHelp denominato “ ” (JWrapper-Remote Access), che prendeva di mira prodotti di ESET, Symantec, Sophos, HitManPro, Webroot e Kaspersky.
2. INC: Nel rapporto “ giugno 2025”, Sophos ha individuato un attacco ransomware di tipo INC in cui l’autore ha utilizzato due strumenti di “packer-as-a-service” per garantire una maggiore protezione.

Questi casi illustrano come lo strumento venga adattato alle diverse famiglie di ransomware.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

La diffusione su larga scala delle armi letali di tipo “ EDR ” rappresenta uno sviluppo preoccupante. Gli strumenti malevoli stanno diventando sempre più accessibili a una gamma più ampia di autori di minacce e contribuiscono ad aumentare la velocità e la portata degli attacchi.

Questa ricerca condotta da Sophos evidenzia inoltre come gli strumenti vengano riutilizzati e adattati da diversi gruppi di autori di ransomware. La maggiore collaborazione e la condivisione di codice tra i criminali informatici rendono più agevole lo svolgimento delle loro attività e più difficile attribuirne la responsabilità.

Una campagna di malvertising diffonde il framework modulare di malware PS1Bot

Cisco Talos riferisce che una sofisticata campagna di malvertising sta attivamente diffondendo PS1Bot, un framework malware modulare realizzato in PowerShell e C#. Ruba di nascosto le credenziali, acquisisce schermate e, , elude il rilevamento antivirus — il tutto mentre viene eseguito interamente in memoria.

Diffuso tramite annunci ingannevoli e tecniche di “SEO poisoning”, PS1Bot viene eseguito interamente in memoria e si evolve rapidamente, rappresentando una minaccia significativa sia per la sicurezza informatica delle aziende che per quella dei privati.

Panoramica della campagna: malvertising ed esecuzione in memoria

Cisco Talos sta monitorando una campagna attiva che utilizza il malvertising per diffondere un framework di malware a più fasi.

Il framework fornisce moduli aggiuntivi — quali programmi per il furto di informazioni, keylogger e strumenti di cattura dello schermo — riducendo al minimo le tracce forensi grazie all’esecuzione interamente in memoria. Cisco Talos definisce questo malware basato su PowerShellcon il codice PS1Bot.

Di seguito sono riportati i principali aspetti tecnici emersi dalla campagna PS1Bot , che illustrano in che modo il malware garantisca occultamento, persistenza e funzionalità modulare:

• Consegna: Le vittime vengono indotte, tramite tecniche di “SEO poisoning” o “malvertising”, a scaricare un archivio compresso contenente un unico file:FULL DOCUMENT.js. Questo file JavaScript funge da programma di download, avviando la fase successiva della catena di infezione PS1Bot .
• Recupero della fase uno: Una volta eseguito, il malware recupera uno scriptlet JScript e ne esegue il contenuto per preparare le fasi successive dell’attacco. Ciò comporta la creazione di uno script PowerShell nella directory ProgramData e la sua esecuzione per stabilire una connessione C2 persistente. Il malware entra in un ciclo continuo, contattando costantemente il server C2 per ricevere ulteriori comandi.
• PowerShell moduli: Cisco Talos ha rilevato la distribuzione di diversi moduli PowerShell dopo l’infezione iniziale, tra cui quelli destinati al rilevamento antivirus, alla cattura dello schermo, al furto di dati dal portafoglio digitale, alla registrazione dei tasti, alla raccolta di informazioni e alla persistenza. La maggior parte dei moduli include componenti di registrazione integrati che consentono agli autori degli attacchi di monitorare sia le attività di installazione che quelle di esecuzione, con l'invio di aggiornamenti al server C2 .
• Rilevamento antivirus: Il modulo di rilevamento antivirus viene attivato dopo che il malware ha stabilito una connessione C2 . Raccoglie dettagli sui programmi antivirus installati sul dispositivo infetto interrogando l' e WMI e trasmette tali informazioni al C2.
• Cattura schermo: Il modulo di cattura schermo acquisisce schermate utilizzando una DLL di assemblaggio C# eseguita tramite PowerShell in fase di esecuzione. Crea un file immagine .BMP, lo converte in formato JPEG e lo trasmette al server C2 .
• Modulo Grabber: Il modulo Grabber prende di mira la memoria locale del browser, i dati delle estensioni, i dati delle applicazioni e i file contenenti password, concentrandosi principalmente sul furto di portafogli di criptovalute.
• Keylogger: Il modulo keylogger monitora l'attività della tastiera e del mouse, nonché il contenuto degli appunti, e invia i dati acquisiti al C2.
• Raccolta delle informazioni: Il modulo WMIComputerCSHARP di raccoglie informazioni dettagliate sul sistema e sull’ambiente interrogando l’appartenenza al dominio tramite WMI.
• Persistenza: Il modulo di persistenza garantisce che il meccanismo di ripetizione del malware venga rieseguito dopo il riavvio o la chiusura della sessione.

Nel loro insieme, questi moduli illustrano come PS1Bot riesca a mantenere la propria invisibilità e la propria persistenza nei sistemi infetti.

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

Il ricorso da parte della campagna al “SEO poisoning” e al “malvertising” dimostra come gli autori degli attacchi continuino a sfruttare la fiducia degli utenti e i motori di ricerca, sottolineando l’importanza di educare gli utenti ad adottare abitudini di navigazione e di download sicure, anche da fonti apparentemente legittime.

Il rapporto di Cisco Talos evidenzia inoltre un’altra tendenza, che prevede l’utilizzo di strumenti nativi del sistema, quali l’ PowerShell , per eludere il rilevamento e mantenere la propria presenza sul dispositivo lasciando tracce forensi minime. Ciò rende il rilevamento estremamente difficile.

Il ransomware Charon fa la sua comparsa con tattiche in stile APT rivolte a organizzazioni di alto profilo

Trend Micro ha individuato una nuova variante di ransomware, denominata Charon, che impiega tecniche avanzate di tipo APT — tra cui il sideloading di DLL, l’iniezione di processi e funzionalità anti-EDR — per sferrare attacchi altamente mirati e devastanti.

Ransomware Charon: attacchi mirati e analogie tecniche con Earth Baxia

Il ransomware Charon è stato individuato per la prima volta nel corso di un attacco mirato in Medio Oriente, che ha colpito organizzazioni del settore pubblico e di quello aeronautico. L'autore dell'attacco ha utilizzato il sideloading di DLL e altre tecniche che ricordano le campagne Earth Baxia. Le richieste di riscatto personalizzate menzionavano le vittime per nome, a conferma della natura mirata dell’operazione. Tali tattiche riflettono una tendenza crescente da parte degli autori di ransomware ad adottare metodi simili a quelli delle APT.

L'attacco è iniziato con l'esecuzione di un file binario legittimo, Edge.exe (rinominato da Cookie_exporter.exe durante l'attacco), che è stato utilizzato in modo improprio per eseguire il sideload di una DLL dannosa denominata msedge.dll. Questa DLL fungeva da caricatore, decriptando il payload del ransomware e iniettandolo in un nuovo processo svchost.exe di . Fingendosi un servizio legittimo di Windows , il malware aumenta le proprie possibilità di eludere i tradizionali meccanismi di rilevamento.

Trend Micro ha scoperto che Charon ricorre all’estrazione del payload in più fasi. È emerso che un file apparentemente innocuo, DumpStack.log, conteneva uno shellcode crittografato che, in ultima analisi, ha rilasciato il payload del ransomware. L'analisi forense ha rivelato la presenza di due livelli di crittografia a protezione del payload finale.

[Scoprite come muovervi nel mondo ad alto rischio delle trattative relative al ransomware grazie a strategie volte a proteggere i vostri dati, la vostra reputazione e i vostri profitti.]

Profilo tecnico di Charon: crittografia, tecniche di elusione e comportamenti di targeting

Sulla base di tali risultati, Trend Micro ha analizzato più approfonditamente il file eseguibile di Charon, osservandone le sofisticate funzionalità e le caratteristiche operative ben consolidate:

• Inizializzazione e parametri: Una volta inizializzato, Charon accetta parametri che controllano l’archiviazione dei log degli errori, i server o gli indirizzi IP di destinazione, l’ambito di crittografia e l’ordine. Inoltre, crea un mutex denominato “ ” OopCharonHere.
• Comportamento prima della crittografia: Prima che abbia inizio la crittografia, Charon arresta i servizi relativi alla sicurezza, termina i processi attivi, elimina le copie shadow e svuota il Cestino per impedire il ripristino. Successivamente, valuta i core del processore disponibili e avvia più thread per la crittografia dei file.
• Logica di crittografia: Durante la crittografia, Charon evita di crittografare i file .exe,, .dll,, .Charon, e i file contenenti le richieste di riscatto. Ai file crittografati viene aggiunto l’estensione .Charon e viene inserito un messaggio indicante l’infezione:“hCharon is enter to the urworld!”. Il ransomware utilizza Curve25519 la crittografia a curva ellittica combinata con ChaCha20 il cifrario a flusso.
• Comportamento successivo alla crittografia: Una volta completata la crittografia, Charon distribuisce la propria richiesta di riscatto su tutte le unità, le reti e le directory.

Tra gli altri comportamenti figurano la ricerca attiva e la crittografia delle condivisioni di rete accessibili, delle unità mappate e dei percorsi UNC. Charon include inoltre un componente driver progettato per disabilitare le soluzioni di tipo “ EDR ”.

[Scoprite perché affidarsi esclusivamente all’ EDR e potrebbe rendere la vostra organizzazione vulnerabile e cosa occorre realmente per difendersi dalle moderne minacce informatiche.]

Commenti degli analisti del team Cyber Threat Intelligence di Tanium

Gli autori di ransomware stanno adottando metodi sempre più discreti e sofisticati per potenziare i propri attacchi. Come sottolinea Trend Micro, ciò «costringe le aziende a riconsiderare gli approcci tradizionali e a rafforzare il proprio livello di sicurezza con difese a più livelli».

Nel rapporto “ ”, Trend Micro illustra inoltre alcune best practice relative all’ , volte a fornire protezione contro il ransomware Charon.

Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.

Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .