Negli ultimi mesi le campagne di malware su Windows stanno sfruttando sempre di più tecniche di ingegneria sociale e catene di infezione a più stadi. Due famiglie emerse in modo evidente sono WordlistLoader e SynkLoader, entrambe progettate per aprire la strada a payload successivi e per facilitare il furto di credenziali e l’accesso iniziale agli ambienti aziendali.
WordlistLoader: distribuzione tramite ClearFake e FakeCaptcha (ClickFix)
WordlistLoader viene distribuito tramite campagne ClearFake che mostrano finte verifiche captcha basate sulla tecnica ClickFix, nota anche come FakeCaptcha. La vittima vede la classica casella “I’m not a robot” e, dopo il click, viene guidata a copiare un comando malevolo negli appunti e a incollarlo nella finestra “Esegui” di Windows. Questo passaggio è cruciale perché trasferisce l’azione di esecuzione all’utente, rendendo l’attacco più credibile e spesso più difficile da bloccare con controlli tradizionali.
Siti compromessi, JavaScript multi-stage, EtherHiding e abuso di CDN
Il meccanismo sfrutta siti web compromessi in cui è stato iniettato JavaScript malevolo, spesso offuscato e distribuito in più fasi. In alcuni casi il codice recupera script aggiuntivi tramite smart contract su blockchain, una tecnica conosciuta come EtherHiding, che permette agli attaccanti di cambiare rapidamente gli indirizzi di distribuzione. È stato inoltre osservato l’abuso di servizi CDN legittimi per ospitare script o componenti PowerShell, aumentando la resilienza della campagna.
Catena di infezione e tecniche di evasione
Sul piano tecnico la catena di infezione utilizza conhost per avviare cmd in modo nascosto, mappa una condivisione remota via WebDAV e poi esegue il loader con rundll32 caricando una DLL da remoto su HTTPS. WordlistLoader ricostruisce shellcode memorizzato in forma codificata, ad esempio come sequenza di parole inglesi dove ogni parola rappresenta un byte, oppure come blocchi UUID. Il malware include anche tecniche evasive come bypass di Event Tracing for Windows (ETW) e caricamento riflessivo per avviare Amatera Stealer, variante moderna con forte offuscamento e metodi avanzati di invocazione syscall.
SynkLoader: phishing su Microsoft Teams e catena modulare
SynkLoader invece si diffonde tramite phishing su Microsoft Teams. Un finto IT Service Desk convince l’utente a installare un file MSI ospitato su storage Azure, che appare affidabile. Il pacchetto avvia script PowerShell in memoria, lancia un loader in Python e scarica moduli tra cui persistenza con attività pianificate, schermo di blocco falso per rubare la password di accesso Windows, proxy inverso, shell remota e modulo VNC per controllo desktop.