Nel mondo della cybersecurity, una nuova minaccia sta attirando l’attenzione degli esperti: la campagna JS#SMUGGLER, un attacco multi-stadio che sfrutta siti web compromessi per distribuire il malware NetSupport RAT. Gli attacchi iniziano con l’iniezione di un loader JavaScript altamente offuscato all’interno di siti legittimi, trasformandoli in vettori di infezione. Il JavaScript, denominato “phone.js”, viene caricato da un dominio esterno e utilizza un sistema di profilazione dei dispositivi per decidere il percorso dell’infezione: se la vittima accede da mobile, viene servito un iframe a schermo intero; se da desktop viene attivato un secondo script remoto.
Questa sofisticata catena di attacco prevede poi il download di una HTML Application (HTA), eseguita tramite mshta.exe, che a sua volta scarica e lancia uno stager PowerShell cifrato. Il payload PowerShell viene scritto su disco, decifrato ed eseguito direttamente in memoria per evitare i sistemi di rilevamento tradizionali. Dopo aver eseguito la sua funzione, il payload elimina ogni traccia dello stager, riducendo al minimo gli indizi per l’analisi forense.
Il risultato finale di questa catena è l’installazione di NetSupport RAT, un potente trojan di accesso remoto che consente agli attaccanti il pieno controllo sul sistema compromesso: accesso remoto al desktop, esecuzione di comandi, gestione file, furto di dati e funzionalità di proxy. JS#SMUGGLER mostra una notevole consapevolezza del contesto, attivando il codice malevolo solo al primo accesso per ridurre il rischio di rilevamento. La logica device-aware consente inoltre di nascondere le sue attività agli ambienti di analisi e di massimizzare il tasso di infezione servendo payload mirati al sistema operativo della vittima.
Il dominio principale utilizzato per il caricamento del JavaScript malevolo, boriver[.]com, è stato collegato a precedenti campagne del gruppo SmartApeSG, noto per aver sfruttato siti web compromessi per diffondere NetSupport RAT tramite script JavaScript. Tuttavia, non è ancora chiaro se la campagna attuale sia opera dello stesso attore.
Strategie difensive consigliate
- Enforcement rigoroso delle Content Security Policy (CSP)
- Monitoraggio dei script
- Logging avanzato di PowerShell
- Restrizioni su mshta.exe
- Analisi comportamentale per intercettare attacchi così evoluti
L’evoluzione della minaccia JS#SMUGGLER conferma la tendenza dei cybercriminali a combinare tecniche di evasione, offuscamento e vettori web per colpire aziende e utenti.
