Una nuova minaccia informatica sta circolando in rete e prende il nome di TELEPUZ, un malware modulare che si diffonde tramite siti web compromessi che usano esche ClickFix. Questa tecnica di social engineering induce gli utenti a eseguire manualmente comandi malevoli, presentandoli come soluzioni a falsi errori del browser, aggiornamenti software o verifiche CAPTCHA.
Il punto chiave è il pastejacking, cioè il dirottamento degli appunti, per cui la pagina copia uno script negli appunti della vittima e la guida a incollarlo, eseguirlo e infettare il sistema.
La catena di infezione associata a TELEPUZ porta all’esecuzione di PowerShell, che scarica un payload di secondo stadio da un URL remoto. In seguito viene avviato un componente basato su Go collegato a una variante di Vidar Stealer, noto per il furto di dati sensibili e per la capacità di distribuire ulteriore malware. In questo caso viene rilasciato uno stager che avvia la libreria telepuz.dll tramite rundll32.exe. Lo scenario evidenzia un modello di attacco a più fasi, progettato per aumentare affidabilità e persistenza su Windows.
TELEPUZ risulta leggero e altamente modulare, con indizi di sviluppo rapido e continuo. Il volume di build osservate suggerisce un possibile modello malware-as-a-service, dove il codice viene fornito a terzi per campagne diverse. Per ostacolare l’analisi, integra offuscamento con istruzioni inutili, hashing dei nomi di import, cifratura delle stringhe e system call indirette.
Prima di agire, il malware esegue controlli anti-VM e di geolocalizzazione, verificando risorse hardware minime e bloccando alcune aree geografiche tramite controlli sul locale di sistema. Confronta anche nome utente e nome computer con liste tipiche di sandbox e ambienti di ricerca, terminando se rileva condizioni sospette.
Superati i controlli, tenta di disabilitare il monitoraggio rimuovendo hook su NTDLL e interferendo con AMSI ed ETW. Poi crea un identificatore univoco della vittima e avvia thread dedicati a elevazione privilegi e comunicazione con il server di comando e controllo. La persistenza può avvenire come servizio Windows, con tentativi di ottenere privilegi SYSTEM tramite furto di token da processi specifici.
La comunicazione C2 usa WebSockets con TLS opzionale e abilita funzioni come keylogging, esecuzione comandi, screenshot, gestione processi, web injection ed estrazione cookie dai browser Chromium. Sono previsti anche metodi di fallback per recuperare l’indirizzo C2 tramite profili online, DNS e persino smart contract su blockchain.