Una campagna di SEO poisoning mira agli utenti di PuTTY, distribuendo malware avanzato che sfrutta Node.js e una blockchain per il Command and Control. Le nuove fonti evidenziano come l'AI stia complicando ulteriormente il panorama delle minacce.
Una recente e sofisticata campagna di SEO poisoning ha messo nel mirino gli utenti alla ricerca del popolare client SSH PuTTY. Sfruttando risultati di ricerca manipolati, gli attaccanti hanno reindirizzato le vittime verso un sito web malevolo, puty.ink, attentamente camuffato per assomigliare alla pagina di download ufficiale. L'inganno culmina con il download di un pacchetto .msi infetto.
Una volta eseguito, l'installatore non si limita a installare il malware, ma procede con un doppio passaggio: installa una versione genuina e firmata di PuTTY 0.85, per accreditarsi come software legittimo e abbassare i sospetti, mentre in background avvia una complessa catena di infezione basata su Node.js.
La tecnica impiegata dai cybercriminali è particolarmente insidiosa e rientra nella categoria "Bring Your Own Interpreter". Invece di eseguire direttamente codice binario malevolo, il malware sfrutta interpreti legittimi presenti sul sistema o, se assenti, li scarica automaticamente dal sito ufficiale. Nel caso specifico, se Node.js non è installato, viene scaricato dal sito di Node.js. Successivamente, uno script JScript di supporto orchestra l'esecuzione di un payload JavaScript offuscato. Questo approccio rende difficile per le soluzioni di sicurezza tradizionali distinguere tra attività legittime e malevole, poiché l'esecuzione avviene all'interno di un ambiente di runtime riconosciuto e fidato.
L'elemento di maggiore innovazione in questa campagna è l'utilizzo della blockchain di Ethereum per gestire l'infrastruttura di Command and Control (C2). Attraverso chiamate JSON-RPC (eth_call) a specifici endpoint pubblici, il malware è in grado di interrogare la blockchain per recuperare l'indirizzo del server C2, memorizzato all'interno di uno smart contract. Questa tecnica, denominata EtherHiding, conferisce un'elevata resilienza all'infrastruttura malevola. Gli operatori possono aggiornare dinamicamente l'indirizzo del server C2 modificando semplicemente lo smart contract su Ethereum, senza dover intervenire sul malware già distribuito sui dispositivi compromessi. Ciò rende estremamente difficile l'oscuramento o il blocco dei server di comando e controllo.
Una volta stabilita la connessione con il server C2, il malware opera in modo furtivo, mascherando le sue comunicazioni come richieste legittime di file statici, come immagini o fogli di stile. Il payload è progettato per ricevere ed eseguire comandi JavaScript arbitrari, garantendo agli attaccanti un controllo completo sui sistemi compromessi. Le capacità documentate includono:
Le nuove fonti, sebbene non direttamente correlate a questa specifica campagna, sottolineano un trend preoccupante nel panorama della cybersecurity. Eventi come il Cybertech Europe 2026 evidenziano come l'Intelligenza Artificiale (AI) stia esponenzialmente moltiplicando i rischi cyber, rendendo le minacce più complesse e difficili da gestire. La dipendenza da pochi fornitori tecnologici e la progressiva rinuncia al controllo umano, come discusso in relazione alla Shadow AI e alla Physical AI, sono fattori che aggravano la situazione. L'evoluzione delle AI agentiche, inoltre, sta ridisegnando le strategie di difesa e attacco.
Di fronte a queste minacce in evoluzione, le raccomandazioni di sicurezza rimangono cruciali. È fondamentale che gli utenti, in particolare amministratori di sistema e sviluppatori che gestiscono infrastrutture critiche, scarichino software esclusivamente da fonti ufficiali e verifichino sempre la firma digitale dei file. Il monitoraggio attento dei processi di sistema, come l'esecuzione di msiexec.exe che genera chiamate a cmd.exe o l'avvio nascosto di wscript.exe, può aiutare a identificare attività sospette. In caso di sospetta compromissione, è imperativo isolare immediatamente l'host, analizzare i dati potenzialmente esfiltrati (come i cookie di sessione) e procedere con una rotazione completa delle credenziali e dei token di accesso.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
