// TOM'S HARDWARE ITALIA — CYBERSECURITY
Parole innocue nascondono malware, è il trucco di WordlistLoader
I ricercatori di Gen Threat Labs hanno individuato WordlistLoader, un nuovo loader che nasconde codice malevolo dietro liste di comuni parole inglesi. Il programma agisce tra la compromissione iniziale e il payload finale, ricostruendo il componente eseguibile necessario a installare Amatera sui sistemi Windows senza esporlo immediatamente ai controlli di sicurezza.
La minaccia viene distribuita attraverso campagne riconducibili a ClearFake, un cluster che compromette siti web legittimi per mostrare esche come falsi CAPTCHA. Una volta avviata la catena d'infezione, il loader prepara l'ambiente, elude i sistemi di monitoraggio e passa l'esecuzione ad Amatera Stealer, malware specializzato nel furto di informazioni.
Il passaggio iniziale sfrutta spesso la tecnica ClickFix, basata sull'ingegneria sociale anziché su una vulnerabilità del sistema operativo. La vittima viene convinta a copiare o eseguire manualmente un comando presentato come soluzione a un problema, verifica CAPTCHA o procedura necessaria per accedere a una pagina compromessa.
La caratteristica distintiva del loader è una tabella composta da 256 parole diverse. Ogni posizione corrisponde a un valore compreso tra 0x00 e 0xFF: il programma confronta gli indirizzi delle parole, recupera l'indice associato e lo scrive nel buffer di uscita. Ripetendo l'operazione sull'intera sequenza, WordlistLoader ricostruisce lo shellcode che avvia gli stadi successivi dell'attacco.
Il loader interviene anche sui moduli già caricati, rimuovendo gli hook inseriti da alcuni prodotti di sicurezza nelle funzioni del sistema operativo. Integra inoltre un bypass per Event Tracing for Windows, il meccanismo di registrazione Microsoft utilizzato dagli strumenti di difesa per osservare l'attività del sistema, insieme a controlli di anti-emulazione e tecniche pensate per ostacolare l'analisi.
Amatera circola da poco più di un anno ed è proposto secondo il modello malware-as-a-service, che permette a più gruppi criminali di impiegarlo nelle proprie operazioni. Derivato da ACR Stealer, può raccogliere credenziali, dati conservati nei browser, cronologie dei messaggi e informazioni relative a wallet software e portafogli di criptovalute.
Lo sviluppo continuo di Amatera mostra quanto rapidamente possa cambiare il mercato degli infostealer. Quando firme e comportamenti diventano riconoscibili, gli operatori aggiornano loader, metodi di offuscamento e canali di consegna. Nel caso di WordlistLoader, parole apparentemente innocue diventano una rappresentazione alternativa del payload, mentre l'intervento manuale richiesto da ClickFix complica ulteriormente la separazione tra attività dell'utente e azione del malware.
Aggiungi Tom's Hardware alle tue fonti preferite su Google