Come vengono creati gli infostealer?

Gli infostealer vengono sviluppati come Malware-as-a-Service (MaaS). Questo modello consente ai criminali informatici privi di approfondite conoscenze tecniche di ottenere l'accesso a malware avanzati semplicemente pagando un abbonamento. Ciò rende gli infostealer più accessibili a una gamma più ampia di criminali, che possono così lanciare attacchi senza dover sviluppare autonomamente il malware.

In questo modello MaaS, le reti criminali offrono i propri infostealer come soluzioni pronte all'uso, in modo simile a come le aziende di software legittime offrono i loro prodotti tramite abbonamento. Infostealer noti come Redline, Raccoon e Lumma vengono sviluppati e costantemente aggiornati da criminali informatici per poi essere venduti su vari marketplace del dark web a chiunque sia disposto a pagare. Ciò ha portato a una crescente professionalizzazione all'interno dell'ecosistema criminale. Le strategie di marketing utilizzate per promuovere questi infostealer ricordano quelle delle software house legittime, complete di annunci pubblicitari che evidenziano l'efficacia del loro malware.

‍

Processo di Sviluppo Interno

Gli sviluppatori di malware che si celano dietro gli infostealer seguono rigorosi processi di sviluppo, lavorando costantemente per eludere i software antivirus. Una parte fondamentale di questo processo consiste nell'implementare tecniche quali l'oscuramento del codice e la crittografia, facendo sì che il malware appaia diverso a ogni infezione e risulti difficile da rilevare per i tradizionali programmi antivirus. Inoltre, gli sviluppatori aggiungono continuamente nuove funzionalità per rendere il malware più potente, come strumenti per prevenire la scadenza delle sessioni, estrarre super cookie o impedire ai dispositivi di entrare in modalità di sospensione.

‍

Dashboard di Command & Control

Insieme allo sviluppo del malware vero e proprio, i provider MaaS offrono ai propri clienti l'accesso a dashboard di Command & Control (C2) user-friendly. Queste dashboard funzionano in modo simile ai portali dei servizi SaaS legittimi e forniscono ai distributori di infostealer una panoramica dei dispositivi infetti. I distributori possono accedere a questi portali, spesso situati in sezioni nascoste del dark web, e gestire facilmente le proprie infezioni.

Una volta effettuato l'accesso alla dashboard C2, i distributori possono eseguire azioni quali il dirottamento della sessione (session hijacking), consentendo loro di accedere immediatamente alle sessioni degli utenti infetti senza dover ripetere l'autenticazione. Dalla dashboard possono anche esportare i dati rubati, come credenziali di accesso e token di sessione, e rivenderli nei marketplace criminali.

‍

Rimanere Sotto i Radar

Una parte cruciale del processo di sviluppo consiste nell'assicurarsi che il malware infostealer rimanga non rilevato dai programmi antivirus. Gli sviluppatori utilizzano tecniche come l'oscuramento del codice e la crittografia per nascondere il malware ai software antivirus basati su firme. Questi metodi garantiscono che il malware appaia diverso a ogni infezione, rendendo più difficile per i normali programmi antivirus rilevare l'infostealer.

Inoltre, il malware viene spesso confezionato in piccoli frammenti di codice poco appariscenti, consentendogli di essere eseguito in modo lento e quasi invisibile sui sistemi delle vittime. Questo viene spesso combinato con tecniche come il malware "fileless", in cui l'infostealer viene eseguito direttamente nella memoria del computer anziché essere memorizzato sul disco rigido, rendendo il rilevamento ancora più difficile.

‍

Evoluzione e Innovazione

Come i software legittimi, anche gli infostealer vengono continuamente valutati e migliorati. Sia le infezioni riuscite che quelle fallite forniscono informazioni preziose, consentendo agli sviluppatori di creare nuove funzionalità e correggere le vulnerabilità nei loro malware. Ad esempio, una nuova funzionalità introdotta di recente è l'estrazione dei supercookie, che consente agli aggressori di rimanere connessi per periodi significativamente più lunghi, e questi supercookie sono molto più difficili da invalidare.

Le community di infostealer monitorano attivamente lo sviluppo di nuovi strumenti che memorizzano i dati localmente. Un esempio recente è stato l'annuncio del modulo Recall di Microsoft Copilot, che acquisisce screenshot e li memorizza localmente. Ogni volta che i dati vengono memorizzati localmente, si presenta un'opportunità per gli infostealer di rubare queste informazioni e metterle in vendita.

‍

Conclusione

Gli infostealer, grazie alla combinazione di funzionalità avanzate e facilità d'uso, sono diventati uno strumento sempre più attraente per i criminali informatici. Il modello Malware-as-a-Service riduce la barriera d'ingresso per gli attori criminali e facilita la gestione di infezioni su larga scala e la generazione di profitti. Ciò non solo aumenta la minaccia per gli individui e le organizzazioni, ma evidenzia anche come l'ecosistema dei criminali informatici assomigli sempre più a quello delle aziende tecnologiche legittime. Gli infostealer, con la loro combinazione di funzionalità avanzate e facilità d'uso, sono diventati uno strumento sempre più attraente per i criminali informatici. Il modello Malware-as-a-Service riduce la barriera d'ingresso per gli attori criminali e rende più facile gestire infezioni su larga scala e generare profitti. Questo non solo aumenta la minaccia per gli individui e le organizzazioni, ma evidenzia anche che l'ecosistema degli infostealer sta diventando più professionale, assomigliando sempre più a una vera e propria azienda tecnologica.