Questa settimana, il team Cyber Threat Intelligence (CTI) di Tanium analizza tre minacce emergenti che stanno delineando l’attuale panorama delle minacce. Il primo è Katz Stealer, una piattaforma di tipo “malware-as-a-service” (MaaS) emersa di recente e che sta rapidamente guadagnando terreno tra gli autori delle minacce. Segue poi la ricomparsa di Lumma Stealer, un famigerato malware specializzato nel furto di informazioni. Infine, il team analizza NailaoLocker, una variante di ransomware che prende di mira i sistemi Windows .
Katz Stealer: un famigerato strumento “chiavi in mano” per il furto di informazioni, che prende di mira credenziali e criptovalute
SentinelOne ha pubblicato su un avviso relativo a Katz Stealer, una piattaforma MaaS di recente comparsa, progettata per sottrarre credenziali, dati relativi ai portafogli di criptovalute e altre risorse sensibili.
Katz Stealer offre ai criminali informatici una piattaforma personalizzabile e di facile utilizzo per il furto di dati. La natura “chiavi in mano” del malware, unita alle sue capacità di occultamento, ha contribuito alla sua rapida diffusione.
Carichi utili modulari e campagne basate sugli affiliati
Gli affiliati pagano per accedere a un pannello di gestione online che consente loro di generare versioni personalizzate di malware. Queste configurazioni possono essere personalizzate attivando o disattivando funzionalità quali i controlli anti-VM, i moduli per il furto di dati e i formati di distribuzione. Tale flessibilità, unita a un'interfaccia utente intuitiva, consente agli autori delle minacce di avviare e gestire campagne con il minimo sforzo.
Catena di consegna ed esecuzione discreta
Katz Stealer si diffonde solitamente tramite e-mail di phishing o download infettati da trojan contenenti dropper JavaScript offuscati. Questi dropper eseguono comandi “ PowerShell ” per recuperare file immagine dannosi contenenti payload steganografici.
Una volta installato, il malware eleva i propri privilegi aggirando il controllo UAC, garantisce la propria persistenza tramite attività pianificate ed elude il rilevamento ricorrendo a controlli anti-analisi e alla tecnica dell’“hollowing” dei processi.
Funzionalità complete per la protezione dai furti di dati
Il malware prende di mira un’ampia gamma di applicazioni e servizi. Estrae credenziali e token e compila automaticamente i dati dai browser; raccoglie informazioni da client di messaggistica, giochi, posta elettronica, FTP e VPN; inoltre, acquisisce schermate, audio e video. Le sue capacità di furto di criptovalute sono particolarmente aggressive, in quanto effettuano la scansione alla ricerca di oltre 150 ID di estensioni del browser e di elementi relativi ai portafogli desktop.
Soluzioni alternative per l'iniezione nel browser e la crittografia
Inserendosi nei processi del browser, Katz Stealer è in grado di accedere a dati sensibili tramite API esposte. L'analisi tecnica di SentinelOne illustra inoltre in dettaglio in che modo il malware eluda i meccanismi di crittografia progettati per proteggere le credenziali e i dati dei portafogli memorizzati.
Comunicazioni persistenti di comando e controllo (C2) ed esfiltrazione continua
Ogni istanza di malware contiene un indirizzo C2 e un ID campagna fissati in modo permanente nel codice. Una volta attivato, mantiene una connessione persistente con il server C2 , sottraendo continuamente i dati aggiornati delle vittime — il che sottolinea il suo ruolo di strumento di sorveglianza e furto a lungo termine, piuttosto che di attacco isolato.
“Katz Stealer non è un programma di furto di informazioni ‘one shot’; è progettato per sottrarre continuamente i dati della vittima.”SentinelOne
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Katz Stealer rappresenta l’ultimo esempio di come la criminalità informatica stia diventando sempre più un prodotto di massa, abbassando così la barriera di accesso per gli autori delle minacce.
L’attenzione di Katz Stealer verso i portafogli di criptovalute e le credenziali memorizzate nei browser suggerisce inoltre che gli autori delle minacce si stiano adattando agli attuali stack tecnologici aziendali per ottenere il massimo impatto possibile.
Katz Stealer sta riscuotendo un ampio successo tra gli autori degli attacchi, il che potrebbe potenzialmente determinare un aumento degli attacchi basati sulle credenziali. Detto questo, solo il tempo potrà dire quale successo avrà questo infostealer in un panorama in cui abbondano gli infostealer.
La Lumma Stealer torna alla ribalta con una maggiore discrezione e una potenza modulare
A seguito di un’operazione di smantellamento condotta dalle forze dell’ordine nell’ maggio 2025, Lumma Stealer è tornato con tecniche di occultamento potenziate e un’architettura modulare, che lo rendono più elusivo e adattabile a diversi vettori di attacco.
Trend Micro avverte che questa evoluzione richiede una rinnovata vigilanza e strategie di difesa a più livelli.
Intervento delle forze dell’ordine e presunto recupero
L'operazione di smantellamento ha portato alla chiusura di oltre 2.300 domini dannosi, interrompendo la comunicazione tra i computer infetti e l'infrastruttura di Lumma.
Tuttavia, il gruppo responsabile di Lumma ha successivamente affermato su alcuni forum clandestini che il server principale non era stato sequestrato, bensì che vi si era avuto accesso sfruttando una vulnerabilità. Hanno affermato che l'accesso al server è stato ripristinato poco dopo l'interruzione.
Rapida ricostruzione delle infrastrutture e ripresa operativa
I dati di telemetria di Trend Micro indicano che l’infrastruttura di Lumma Stealer è stata rapidamente riattivata nel giro di poche settimane dal suo smantellamento. Sebbene l’attività abbia subito un calo temporaneo, è tornata ben presto ai livelli precedenti all’interruzione, a dimostrazione della resilienza e della determinazione dell’autore dell’attacco.
Evoluzione delle tattiche di occultamento delle reti
In precedenza, Lumma faceva ampio ricorso a Cloudflare per mascherare i propri domini dannosi. A seguito dello smantellamento, Trend Micro ha osservato un cambiamento strategico: ora sono meno i domini che utilizzano Cloudflare e gli operatori del malware hanno diversificato la propria infrastruttura su più fornitori di servizi per ridurre il rischio di rilevamento.
Campagne successive alla rimozione e innovazioni nella distribuzione
Le campagne più recenti hanno fatto ricorso a metodi di diffusione ingannevoli, tra cui strumenti fasulli e la tecnica ClickFix.
ClickFix sotto i riflettori: un’analisi dell’evoluzione di questa
tattica di ingegneria socialeClickFix continua a guadagnare terreno come metodo preferito per la diffusione di malware, utilizzato sia dai criminali informatici che da attori sponsorizzati dallo Stato. Il team CTI di Tanium ha monitorato attentamente la sua evoluzione nel corso di diverse campagne. Di seguito sono riportate alcune delle ultime analisi
:• Rogue Tools, ClickFix e BlueNoroff (Pubblicato 25 giugno, 2025): CTI analizza un’impennata delle campagne ClickFix che coinvolgono il malware GHOSTPULSE, sottolineando come tale tecnica venga adottata da attori statali provenienti dalla Corea del Nord, dall’Iran e dalla Russia.
• Deepfakes, ToyMaker IAB e ClickFix (Pubblicato 30 aprile, 2025): CTI illustra in dettaglio come gli autori degli attacchi stiano utilizzando ClickFix per diffondere un agente Havoc Demon modificato, sottolineando come tale tecnica si basi sull’interazione dell’utente e la sua crescente popolarità
.• Silk Typhoon, false richieste di riscatto e ClickFix (Pubblicato 12 marzo, 2025): Questa rassegna mette in evidenza una campagna di phishing in stile ClickFix che sfrutta SharePoint e l’API Microsoft Graph per distribuire in modo furtivo un agente Havoc Demon modificato.
Lumma Stealer è stato diffuso anche tramite i repository di GitHub e le piattaforme dei social media, il che evidenzia l’agilità dei suoi operatori nello sfruttare canali affidabili per la diffusione del malware.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il ritorno di Lumma Stealer evidenzia la determinazione degli autori delle minacce e la loro capacità di evolvere continuamente le proprie tattiche per aggirare le moderne difese.
Lumma Stealer non è l’unico gruppo a tornare in attività dopo essere stato smantellato. Ciò ci ricorda che, sebbene le azioni delle forze dell’ordine possano ostacolare in modo significativo le operazioni, non sempre eliminano la minaccia.
Come sottolinea Trend Micro, gli autori del malware “rappresentano un rischio costante per le organizzazioni e i privati in tutto il mondo”. La formazione sulla consapevolezza in materia di sicurezza è fondamentale, oltre alle misure di difesa tecniche.
NailoLocker Cheese: una minaccia sofisticata per i sistemi “ Windows ” dotata di funzione di decrittografia integrata
I ricercatori di Fortinet hanno identificato NailaoLocker, una variante di ransomware che prende di mira il sistema operativo Windows, soprannominata “Cheese”. Ciò che lo contraddistingue è l’utilizzo di SM2 chiavi crittografiche hardcoded e di una funzione di decrittografia integrata: una combinazione insolita che solleva interrogativi sulle sue reali intenzioni. Potrebbe trattarsi di una rara opportunità di recupero, oppure di una trappola studiata per fuorviare le vittime e i ricercatori?
Installazione invisibile tramite caricamento laterale di DLL
NailaoLocker viene fornito sotto forma di un trio di file:
- Un file eseguibile legittimo (
usysdiag.exe) utilizzato per il side-loading di DLL - Una DLL di caricamento dannosa (
sensapi.dll) - Il payload del ransomware offuscato (
usysdiag.exe.dat)
L'esecuzione ha inizio quando l'autore dell'attacco avvia il file eseguibile legittimo, il quale carica la DLL dannosa e decrittografa il payload direttamente in memoria. Per ridurre al minimo le tracce forensi, il programma di caricamento libera la propria memoria ed elimina la DLL al termine dell'esecuzione.
Comportamento relativo al cambio di modalità e all'inizializzazione
Il ransomware stabilisce se operare in modalità di crittografia o di decrittografia confrontando un valore predefinito con una stringa specifica (“XXXX”). Questo parametro sembra essere interno, poiché NailaoLocker non supporta argomenti della riga di comando per la selezione della modalità.
Durante l’inizializzazione, il programma apre una finestra di console per fornire aggiornamenti in tempo reale sullo stato e crea un file di log (lock.log) per monitorare lo stato di avanzamento, dimostrando così di non avere alcuna intenzione di nascondere la propria attività.
Crittografia multithread con SM2 coppie di chiavi
NailaoLocker utilizza un'architettura multithread per massimizzare la produttività tra i vari core del processore. Crittografa i file utilizzando il codice AES-256-CBC e aggiunge l’estensione “.locked” ai file interessati, impostandoli inoltre come nascosti. L’utilizzo da parte del ransomware di SM2 coppie di chiavi hard-coded — incorporate nel formato ASN.1 DER — costituisce una caratteristica distintiva che consente sia le routine di crittografia che quelle di decrittografia.
Modalità di decrittografia: un percorso di ripristino integrato?
In modalità di decrittografia, NailaoLocker esegue una scansione delle directory alla ricerca di file crittografati e tenta di ripristinarli utilizzando la chiave privata SM2 incorporata. Sebbene tale funzionalità possa offrire un percorso di ripristino, Fortinet avverte che potrebbe anche fungere da esca o da funzione di test interno.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La funzione di decrittografia di NailaoLocker è estremamente insolita e potrebbe indicare la presenza di una backdoor inserita dallo sviluppatore oppure semplicemente una tattica volta a confondere sia gli analisti che le vittime.
Se i ricercatori nel campo della sicurezza riuscissero a scoprire come attivare in modo affidabile la modalità di decrittografia, questo ransomware potrebbe, ironia della sorte, diventare un caso di studio su come gli errori degli aggressori possano trasformarsi in vantaggi per i difensori.
Questa variante di ransomware si distingue inoltre per l’utilizzo di una coppia di chiavi SM2 incorporata, che secondo Fortinet potrebbe essere ancora in fase di sviluppo.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium per avviare una conversazione.
Per ulteriori approfondimenti, consulti le nostre recenti raccolte di informazioni sulle minacce informatiche .
