Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Unit 42 ha scoperto CL-CRI-1171, una rete criminale che da almeno due anni vende infezioni secondo il modello pay-per-install. Il loader OfferLoader distribuisce malware diversi sugli stessi dispositivi, sfruttando falsi programmi, motori di ricerca e canali YouTube. Oltre 10.000 campioni e 200 domini mostrano la scala dell'operazione.
I programmi dannosi assomigliano sempre più a prodotti software ordinari. Gli esperti di Unit 42 hanno scoperto una grande infrastruttura che hanno chiamato CL-CRI-1171, il quale per almeno due anni ha venduto agli hacker criminali l’accesso a dispositivi personali di individui.
Lo schema funziona secondo il modello pay-per-install (PPI), dove il cliente paga per la consegna del proprio malware ai computer delle vittime. Un simile modello esiste da molti anni, ma CL-CRI-1171 ha portato questa base ad espandersi a livello di rete pubblicitaria. Un singolo operatore attrae l’audience, verifica i visitatori e distribuisce tra i sistemi infetti programmi di diversi clienti.
Lo strumento principale è diventato OfferLoader. Il nome riflette la terminologia interna del malware stesso: i singoli payload gli sviluppatori li chiamano “offerte”. Dopo l’avvio, il loader si collega all’infrastruttura degli operatori e riceve i comandi di quale malware installare per la vittima specifica. Ad aprile 2026, questo loader consegnava contemporaneamente Insomnia RAT, ARKTunnel e Docro Hijacker, mentre già a giugno il set è stato sostituito da GCleaner e Socks5Systemz.
Le vittime venivano attratte attraverso due canali. Il primo si basava sulla necessità di programmi per roslvere specifiche esigenze: l’utente cercava un programma ordinario come WinDirStat o un driver Bluetooth, finiva su un sito dannoso e scaricava un installer trojanizzato. Il sistema teneva conto del sistema operativo, del browser, della query di ricerca, dell’indirizzo di transizione e dell’IP pubblico, dopo di che decideva se fornire un malware reale o un’esca sicura. Gli scanner automatici e gli analisti spesso ricevevano un placebo.
Il secondo canale era principalmente rivolto ai giovani gamer. Unit 42 ha scoperto 11 canali YouTube con centinaia di migliaia di iscritti e milioni di visualizzazioni. Gli autori pubblicavano consigli perfettamente funzionanti su come aumentare gli FPS, eliminare i crash e configurare i giochi, e nei descrizioni aggiungevano link a strumenti apparentemente utili e set di ottimizzazione. Dopo la notifica da parte di Unit 42, YouTube ha rimosso i canali collegati.
I malware successivi variavano notevolmente. Insomnia RAT ad esempio installa ambienti Node.js e Python, disattiva parte della protezione di Windows Defender e salva due agenti indipendenti per l’accesso remoto. ARKTunnel nasconde un trojan WebSocket all’interno di un’immagine BMP utilizzando la steganografia. Docro Hijacker interferisce con le impostazioni protette di Chrome, cambia il motore di ricerca ed è in grado di mescolare pubblicità in modo invisibile e reindirizzare i passaggi.
La scala dell’infrastruttura è emersa durante l’analisi dei server di controllo. Gli esperti hanno trovato più di 200 nomi di dominio mutevoli, nonché oltre 10.000 campioni unici di OfferLoader. Ogni esemplare è in grado di consegnare una propria combinazione di programmi, quindi i tre gruppi analizzati in dettaglio riflettono probabilmente solo una piccola parte del reale assortimento del servizio criminale.
Nell’analisi della campagna, Unit 42 sottolinea il principale problema di un’infrastruttura del genere. Il loader stesso sembra troppo primitivo e di massa, quindi un singolo host infettato può essere facilmente considerato un incidente insignificante. Ma dietro un loader ordinario, potrebbe nascondersi l’accesso di diversi gruppi criminali indipendenti, ognuno dei quali ottiene il proprio canale di controllo e il proprio obiettivo all’interno del sistema.
Un approccio simile è stato già osservato nell’estate 2026, quando attraverso Google Ads veniva diffuso il malware OXLOADER. La pubblicità falsa di programmi popolari portava gli utenti a CastleStealer.
Il modello non è affatto nuovo. Già PrivateLoader vendeva pacchetti di infezioni perfettamente organizzate geograficamente per consegnare RedLine, Raccoon, Vidar e altri malware attraverso siti con programmi pirata. CL-CRI-1171 mostra quanto più forte diventa un modello del genere quando si uniscono il posizionamento sui motori di ricerca, il contenuto video e la filtrazione automatica dei visitatori.
Un mercato separato si è formato intorno ai loader come servizio. Gli sviluppatori di FakeBat vendevano l’accesso al proprio strumento secondo il modello Loader-as-a-Service, permettendo ai clienti di consegnare Lumma, RedLine, IcedID e altri programmi. OfferLoader sviluppa ulteriormente la stessa idea, trasformando il computer infetto in una piattaforma dove diversi clienti criminali acquistano effettivamente uno spazio per il proprio software dannoso.
Sono ufficialmente aperte le adesioni al Program Sponsor della Red Hot Cyber Conference 2027, la sesta edizione dell’evento annuale gratuito promosso dalla community di Red Hot Cyber per diffondere cultura, competenze e consapevolezza sui temi della cybersecurity, dell’innovazione e delle tecnologie digitali. La Conference si terrà a Roma, martedì 18 e mercoledì 19 maggio 2027, presso l’Auditorium del Seraphicum, nel cuore del quartiere EUR, con una giornata dedicata ai workshop pratici e alle attività tecniche e una seconda giornata interamente dedicata alla conferenza.
Anche per il 2027, le aziende potranno scegliere di sostenere concretamente il progetto attraverso il Program Sponsor, partecipando alla crescita di un appuntamento che mette in relazione professionisti, aziende, istituzioni, studenti, ricercatori e appassionati di tecnologia. Il programma prevede la possibilità di aderire come Sponsor Sostenitore, una formula pensata per le aziende che desiderano essere tra le prime realtà a credere e contribuire alla realizzazione della nuova edizione, oppure attraverso i tre consueti livelli di sponsorizzazione Platinum, Gold e Silver. Ogni livello di sponsorizzazione acquistato, sarà accompagnato da un pacchetto Advertising, con l'opportunità di visibilità attraverso articoli, banner e contenuti all’interno del circuito editoriale di Red Hot Cyber.
Le aziende interessate a conoscere le formule disponibili, il Media Kit e tutte le opportunità previste dal Program Sponsor 2027 possono richiedere informazioni scrivendo a [email protected].