Nel panorama della sicurezza informatica su Windows sta emergendo Cruciferra, un servizio crypter avanzato osservato in campagne di phishing e utilizzato da più gruppi criminali non necessariamente collegati tra loro. Un crypter è uno strumento pensato per offuscare i payload malevoli, aumentare le probabilità di consegna e ridurre la capacità di rilevamento da parte di antivirus ed EDR.
Nel caso di Cruciferra, la caratteristica distintiva è una combinazione di tecniche di evasione e anti-analisi che rendono più complessa sia l’analisi statica sia la risposta agli incidenti.
Cruciferra è scritto in Mono e adotta routine di cifratura personalizzate con elevata variabilità tra i campioni. Gli algoritmi di protezione di stringhe e payload cambiano spesso e sembrano generati in modo polimorfico a partire da elementi di hashing, generatori pseudo-casuali e cifrari noti. Questo approccio limita l’efficacia di firme e regole statiche, costringendo i difensori a puntare su telemetria comportamentale e correlazioni.
Le campagne che impiegano Cruciferra usano tipicamente il phishing come vettore iniziale, con messaggi inviati su larga scala. I settori più colpiti includono servizi finanziari, sanità, pubblica amministrazione, istruzione e manifattura. Una volta eseguito, il crypter può rilasciare un payload cifrato su disco oppure scaricarlo da un server di staging, offrendo flessibilità operativa agli attaccanti. Tra i malware distribuiti sono stati osservati RAT e infostealer diffusi come Agent Tesla, AsyncRAT, Remcos RAT, Formbook, keylogger e diverse famiglie di stealer.
Dal punto di vista tecnico, l’esecuzione avviene spesso tramite DLL side loading, tecnica utile a mascherare codice malevolo dietro binari legittimi. Cruciferra integra anche API unhooking e IAT unhooking per ridurre la visibilità dei controlli, system call indirette, soppressione di notifiche utente e meccanismi di persistenza tramite chiavi di registro Run. Inoltre tenta l’escalation dei privilegi con bypass UAC usando COM Elevation Moniker.
Un elemento particolarmente critico è l’abuso di BYOVD (bring your own vulnerable driver) per manomettere gli EDR, usando un driver vulnerabile per terminare processi di sicurezza. Infine impiega una variante di Process Ghosting per eseguire il payload da un file temporaneo eliminato prima dell’avvio del processo, riducendo gli artefatti forensi e rendendo più difficile la scansione basata su file. Ulteriori modifiche a routine di sistema mirano a nascondere la cancellazione e a neutralizzare controlli di integrità, aumentando la resilienza del malware in ambienti Windows protetti.