Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza una nuova evoluzione delle famiglie di malware BeaverTail e OtterCookie. Successivamente, il team esamina tre nuove famiglie di malware collegate al gruppo COLDRIVER, sostenuto dallo Stato russo. Infine, concludiamo con una panoramica su Vidar Stealer 2,0.
Il noto Chollima combina BeaverTail e OtterCookie in un nuovo malware JavaScript
Cisco Talos ha individuato , un’evoluzione delle famiglie di malware BeaverTail e OtterCookie, entrambe collegate a Famous Chollima, un gruppo di minaccia persistente avanzata (APT) allineato con il governo nordcoreano e noto per prendere frequentemente di mira chi è alla ricerca di un impiego.
Questa ultima campagna prevede l’implementazione di un nuovo modulo JavaScript progettato per potenziare le funzionalità e la capacità di occultamento del malware.
Modulo di registrazione dei tasti e di acquisizione schermate di OtterCookie
I ricercatori di Cisco Talos hanno individuato, nell’ambito della campagna “Famous Chollima”, un modulo di keylogging e di acquisizione di schermate di cui non si era mai parlato prima. Hanno inoltre individuato su VirusTotal alcuni campioni di OtterCookie contenenti questo modulo, provenienti dal sito aprile 2025.
Questo modulo è in grado di registrare i tasti premuti, acquisire schermate del desktop e inviare i dati al server di comando e controllo (C2) di OtterCookie. Il malware salva i tasti digitati e gli screenshot in una sottocartella temporanea prima di inviarli.
Estensione OtterCookie per Visual Studio Code
Cisco Talos ha inoltre individuato un'estensione di Visual Studio (VS) Code che tentava di eseguire OtterCookie. L'estensione si presenta come uno strumento di inserimento lavorativo. I ricercatori non sono in grado di confermare che l’autore sia proprio quell’attore, ma ritengono che ciò possa indicare una fase di sperimentazione di nuovi metodi di diffusione.
Moduli aggiuntivi di OtterCookie
Nel corso della ricerca, Cisco Talos ha individuato diversi moduli OtterCookie aggiuntivi. Tra questi figurano:
- Modulo shell remoto
- Modulo di caricamento file
- Modulo di furto di estensioni per criptovalute
Il rapporto contiene ulteriori dettagli su ciascun modulo all'indirizzo .
L'evoluzione di OtterCookie
Il malware OtterCookie è comparso per la prima volta alla fine del 2024. In “ aprile 2025”, Cisco Talos ha iniziato a rilevare l’inclusione di nuovi moduli che hanno reso il malware modulare anziché semplice.
Nel documento “ agosto 2025”, Cisco Talos ha individuato l’ultima versione, denominata v5. Questa versione ha introdotto un modulo di keylogging e, una volta deoffuscato, ha rivelato che il codice sorgente combina elementi sia di OtterCookie che di BeaverTail.
Funzionalità di BeaverTail
Il codice BeaverTail è in grado di enumerare i profili e le estensioni del browser, scaricare una distribuzione Python e un payload client dal proprio server C2 , nonché disabilitare la registrazione in console prima del caricamento dei moduli.
BeaverTail è attivo almeno dal maggio 2023. Ha avuto inizio come un piccolo programma di download nelle applicazioni JavaScript ed è comparso in pacchetti npm dannosi nell’ambito di attacchi alla catena di fornitura del software di tipo “ ”.
Il malware è inoltre in grado di scaricare i moduli di payload dello stealer InvisibleFerret scritti in Python.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Gruppi APT come Famous Chollima stanno ora adottando i principi dello sviluppo agile nella progettazione di malware. Ciò consente loro di iterare, testare e implementare rapidamente nuove funzionalità senza dover rivedere l’intera infrastruttura, in linea con le moderne pratiche di ingegneria del software.
Il fatto che questo attore continui a ricorrere allo spear phishing e a siti di lavoro fasulli dimostra come gli autori delle minacce continuino a sfruttare le vulnerabilità umane, rendendo fondamentali una sensibilizzazione e una formazion i degli utenti .
COLDRIVER diffonde tre nuove famiglie di malware
Il Threat Intelligence Group (GTIG) di Google ha recentemente individuato tre nuove famiglie di malware collegate a COLDRIVER, un gruppo sostenuto dallo Stato russo. Il nuovo malware viene utilizzato in campagne di phishing mirate e dimostra un aumento del ritmo di sviluppo e delle operazioni da parte di questo gruppo di hacker.
Google è emerso che la riorganizzazione di questo attore è iniziata con una nuova DLL dannosa denominata NOROBOT. È stato diffuso tramite un link esca ClickFix , basato su un CAPTCHA, con modalità simili a quelle degli attacchi COLDRIVER precedenti. Inizialmente NOROBOT aveva distribuito una backdoor denominata YESROBOT, ma Google ha rilevato che l’autore dell’attacco ha abbandonato tale backdoor per passare a un’altra, identificata come MAYBEROBOT.
L'ultima catena di infezione coinvolge tre diversi componenti che vengono distribuiti tramite un file esca denominato COLDCOPY ClickFix. Con questa esca, l’utente viene indotto a scaricare ed eseguire un file DLL tramite rundll32 dopo che gli è stato chiesto di confermare di non essere un robot.
NOROBOT, YESROBOT e MAYBEROBOT
- NOROBOT (noto anche come BAITSWITCH) è una DLL in fase di sviluppo da alcuni mesi. Il suo obiettivo principale è quello di passare alla fase successiva del corso C2. NOROBOT scaricherà ed estrarrà un’installazione di Python 3,8 , che, come sottolinea Google , è «un artefatto rumoroso che rischia di destare sospetti». NOROBOT garantirà inoltre la persistenza tramite un’attività pianificata.
- YESROBOT è una backdoor scritta in Python che riceve comandi dal proprio server C2. Richiede che tutti i comandi siano scritti in Python valido, il che ne limita le funzionalità e ne rende l'utilizzo piuttosto macchinoso. GTIG ha rilevato solo due occorrenze di YESROBOT e ritiene che sia stato probabilmente abbandonato a favore di MAYBEROBOT.
- MAYBEROBOT (noto anche come SIMPLEFIX) non richiede Python per l’esecuzione e utilizza un protocollo personalizzato che supporta tre comandi: scaricare ed eseguire file, eseguire comandi
cmd.exeed eseguire blocchi PowerShell . Sebbene rappresenti un miglioramento, MAYBEROBOT presenta ancora “funzionalità integrate minime”.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il rapido passaggio di COLDRIVER a nuove famiglie di malware dimostra un elevato livello di agilità e preparazione, il che fa supporre che si tratti di un attore malintenzionato dotato di risorse adeguate ed esperienza, in grado di mantenere un accesso persistente.
L’ulteriore evoluzione da YESROBOT a MAYBEROBOT evidenzia un compromesso deliberato tra facilità di implementazione e flessibilità operativa, mettendo in luce la comprensione approfondita da parte del gruppo delle tecniche di elusione dei sistemi di rilevamento e dell’accesso a lungo termine.
Il Vidar Stealer 2,0 dimostra funzionalità potenziate
Secondo Trend Micro, l’ultima versione di Vidar Stealer 2,0 segna un’evoluzione significativa del malware di tipo infostealer. Questa versione introduce modifiche architetturali e tecniche avanzate volte a migliorare le prestazioni, ampliare le capacità di furto di dati ed eludere il rilevamento.
Che cos’è Vidar Infostealer?
L’infostealer Vidar è apparso per la prima volta nel 2018, originariamente basato sul codice sorgente dello stealer Arkei, ed era noto per il furto di credenziali dei browser e di portafogli di criptovalute.
Sin dalla sua nascita, Vidar ha costantemente ampliato le proprie capacità. E in occasione dell’ ottobre 2025, il suo sviluppatore ha annunciato Vidar 2,0: un importante aggiornamento volto a potenziare le prestazioni e la capacità di eludere le moderne difese.
Aggiornamenti su Vidar 2,0
Vidar 2,0 presenta diverse modifiche, tra cui una riscrittura completa da C++ a C. Lo sviluppatore di Vidar afferma inoltre che il malware è ora dotato di un sistema multithreading per “consentire un utilizzo estremamente efficiente dei processori multi-core”, rendendo al contempo più veloce l’intero processo di raccolta dei dati. Trend Micro ha riscontrato che l’avanzato sistema multithreading è in grado di regolare automaticamente le prestazioni in base alle specifiche del computer di ciascuna vittima, adattando dinamicamente il numero di thread.
Inoltre, la nuova versione di Vidar 2,0 utilizza metodi esclusivi di bypass di AppBound, quali le tecniche di iniezione in memoria, per eludere la crittografia legata all’applicazione di Chrome. Questi metodi si applicano anche a Chrome, Firefox, Edge e altri browser basati su Chromium.
Un altro importante cambiamento è l’introduzione di un generatore automatico polimorfico (morpher), il che significa che ogni versione del malware è unica e presenta firme binarie diverse.
Dettagli tecnici e flusso di esecuzione di Vidar 2,0
Secondo Trend Micro, «il flusso di esecuzione di Vidar 2,0 rivela una sequenza di operazioni accuratamente orchestrata, progettata per massimizzare la raccolta di dati eludendo al contempo il rilevamento grazie a tecniche avanzate di anti-analisi, elaborazione multithread e meccanismi di elusione adattivi».
- Inizializzazione ed evasione: La fase di inizializzazione di Vidar definisce un’architettura multithread e applica l’offuscamento del flusso di controllo. Nella fase di evasione, esegue controlli anti-analisi quali il rilevamento dei debugger, la verifica dei tempi, la convalida del tempo di attività del sistema e la profilazione hardware, al fine di evitare l’esecuzione in ambienti sandbox.
- Raccolta di informazioni e furto di dati: Successivamente, il malware esegue un’analisi del sistema prima di raccogliere credenziali e altri dati sensibili.
- Esfiltrazione e pulizia: Verso la fine dell’attacco, il malware acquisisce screenshot prima di impacchettare ed esfiltrare i dati raccolti tramite HTTP multipart per inviarli al proprio server C2, utilizzando i bot di Telegram e i profili Steam come canali aggiuntivi. Il malware provvede inoltre a rimuovere i file temporanei.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Come spiega Trend Micro, il rilascio di Vidar 2,0 coincide con il declino di Lumma Stealer. Ciò potrebbe indicare una mossa strategica volta a conquistare quote di mercato nell’ecosistema della criminalità informatica, mettendo in luce le dinamiche competitive tra gli sviluppatori di malware.
La capacità del malware di regolare dinamicamente l’utilizzo dei thread in base alle specifiche di sistema rivela un livello di consapevolezza delle risorse che si riscontra spesso nei software legittimi, rendendo ancora più labile il confine tra comportamenti dannosi e innocui nell’ambito dell’analisi forense.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche pubblicate su “ ” all’indirizzo.
