Il noto infostealer StealC è riemerso sotto una nuova veste: Stadia, un trojan modulare che offre controllo persistente sugli endpoint compromessi. La nuova piattaforma, basata su abbonamento, amplia le capacità di furto di credenziali con funzionalità avanzate di accesso remoto e gestione dei sistemi.
Dopo l'operazione "Endgame" di giugno che aveva colpito duramente StealC, Amadey e SocGholish, il malware StealC sembra aver trovato una nuova forma. I ricercatori di Varonis Threat Labs hanno identificato il ritorno di questo infostealer sotto il nome di Stadia, un trojan di accesso remoto (RAT) modulare che mira a fornire ai criminali informatici una piattaforma completa per il controllo persistente degli endpoint compromessi.
L'operazione "Endgame", coordinata da Europol, aveva portato al sequestro di numerosi server e domini, recuperando milioni di credenziali rubate. Nonostante questo duro colpo, gli sviluppatori di StealC non si sono arresi e hanno rilanciato la loro offerta sotto forma di Stadia. L'analisi del nuovo malware ha rivelato la presenza di codice StealC al suo interno, confermando la continuità con la versione precedente, con tanto di aggiornamenti specifici al modulo di furto dati (StealC 3.5.0).
Stadia si presenta come una piattaforma più sofisticata, offrendo un modello di business basato su abbonamento. I prezzi variano da 300 dollari mensili per la versione Basic, a 550 per la Team e 900 per la Pro, quest'ultima completa di tutti i sei moduli disponibili. Un incentivo per i vecchi clienti di StealC è un mese gratuito della versione Pro, segno che gli sviluppatori puntano a fidelizzare la loro base di utenti esistente.
La forza di Stadia risiede nella sua modularità. La piattaforma include sei moduli principali:
La funzionalità HVNC è particolarmente insidiosa, poiché permette di operare su una sessione desktop separata e invisibile all'utente, rendendo più difficile il rilevamento.
Gli sviluppatori di Stadia hanno implementato diverse tecniche per eludere il rilevamento e garantire la persistenza sui sistemi compromessi. Il malware utilizza la crittografia RC4 e la codifica Base64 per offuscare le stringhe significative, inclusi dati di configurazione e comandi. Inoltre, Stadia controlla la lingua del sistema e si disinstalla automaticamente se rileva localizzazioni russe, ucraine, bielorusse, kazake o uzbeke, suggerendo una possibile origine o target specifico.
Per evitare esecuzioni multiple, viene utilizzato un meccanismo di mutex basato su username e nome del computer. Una volta installato, Stadia si posiziona in una directory casuale all'interno di C:\ProgramData, adottando nomi di file legittimi come MicrosoftEdgeUpdate.exe o GoogleUpdate.exe per mimetizzarsi.
La persistenza è garantita da un task pianificato che avvia il malware al logon e ogni 15 minuti, con una durata configurata per 3.650 giorni. Se il malware ottiene privilegi elevati, utilizza PowerShell per aggiungere la sua directory di installazione alle esclusioni di Microsoft Defender, rendendo ancora più difficile la sua rimozione.
Stadia comunica con i suoi server di comando e controllo (C2) tramite HTTP in chiaro, ma i messaggi scambiati sono crittografati con RC4 e codificati in Base64, nonostante venga dichiarato un content type application/json. L'agente prova i server di C2 in sequenza, con un intervallo di 300 secondi in caso di mancata risposta. Gli indirizzi IP identificati per l'infrastruttura C2 includono 93.152.213.215, 91.92.43.45 e 193.148.56.97.
I dati rubati vengono organizzati per tipologia nel pannello di gestione: password, carte di credito, informazioni da messenger, software, token di sessione (per Chrome, Discord, Steam, Roblox, Azure) e dati relativi alle criptovalute.
Il ritorno di StealC sotto forma di Stadia evidenzia la continua evoluzione delle minacce informatiche e la capacità degli attori malevoli di adattarsi alle azioni di contrasto. La distinzione tra la semplice interruzione dell'infrastruttura e la rimozione degli sviluppatori è cruciale: Stadia mantiene le capacità di furto di StealC, ma le incapsula in un toolkit più ampio e flessibile, orientato al mantenimento di un accesso duraturo ai sistemi compromessi.
Per la difesa, è fondamentale correlare artefatti sospetti con le connessioni all'infrastruttura nota e ispezionare attentamente i file eseguibili inattesi che si presentano come aggiornamenti sotto la directory ProgramData. La combinazione di esclusioni di Defender, task pianificati e nomi di file ingannevoli rende l'analisi forense più complessa, richiedendo un approccio investigativo attento e basato su più indicatori.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
