PuTTY si trasforma in Trojan! Con Malwertising e SEO Poisoning, una falsa App installa Redline Stealer

Quanti di voi conoscono il celebre client SSH Putty? E quanti di voi l’ha installato scaricandolo da internet senza fare attenzione alla firma rilasciata dal produttore? Se ricadi in questo caso, la prossima volta potrebbe capitare a te!

Gli esperti di sicurezza di Arctic Wolf hanno identificato una nuova ondata di attacchi di avvelenamento SEO volti a distribuire un noto downloader dannoso chiamato Oyster, noto anche come Broomstick o CleanUpLoader. I truffatori utilizzano siti web falsi che imitano le risorse ufficiali di utility popolari come PuTTY e WinSCP per ingannare gli utenti, principalmente professionisti IT, che cercano questi strumenti sui motori di ricerca.

Il sito web dannoso offre il download di una versione falsa del programma desiderato. Una volta avviata, la backdoor Oyster viene installata sul dispositivo della vittima. Gli aggressori ne garantiscono il funzionamento costante creando un’attività pianificata che esegue la libreria DLL dannosa ogni tre minuti utilizzando l’utility “rundll32.exe”. Ciò indica l’utilizzo del meccanismo di registrazione delle DLL per infiltrarsi nel sistema.

I siti falsi utilizzati per distribuire il malware includono domini come updaterputty[.]com, zephyrhype[.]com, putty[.]run, putty[.]bet e puttyy[.]org. Gli esperti sospettano che l’elenco dei programmi utilizzati per distribuire il downloader non si limiti a PuTTY e WinSCP.

Inoltre, sono diventate più attive anche altre campagne che sfruttano il SEO poisoning per promuovere malware correlati all’intelligenza artificiale. Ad esempio, durante la ricerca di strumenti di intelligenza artificiale, gli utenti potrebbero essere indirizzati a siti con codice JavaScript incorporato che verifica la presenza di ad-blocker e raccoglie informazioni sul browser. Questo avvia una serie di reindirizzamenti che portano a una pagina di phishing che offre il download di un archivio ZIP contenente malware.

Secondo Zscaler, il risultato finale del download è spesso Vidar Stealer o Lumma Stealer, entrambi distribuiti come archivi con una password specificata nella pagina di download. L’archivio contiene un programma di installazione NSIS da 800 MB, che crea l’illusione di legittimità e aiuta a bypassare gli antivirus che si concentrano sulle dimensioni dei file. Il programma di installazione esegue uno script AutoIt, responsabile dell’attivazione del payload malware. La variante Legion Loader utilizza un file MSI e uno script BAT per distribuire il malware.

Un’altra campagna simile si basa sullo spoofing delle pagine CAPTCHA di Cloudflare. Gli utenti vengono attirati su pagine false di popolari servizi web che utilizzano la nota tecnica ClickFix per installare RedLine Stealer tramite Hijack Loader.

Secondo Kaspersky Lab, le piccole e medie imprese sono sempre più prese di mira. Solo nei primi quattro mesi del 2025, si sono verificati circa 8.500 attacchi in cui malware o programmi potenzialmente indesiderati si presentavano come strumenti come OpenAI ChatGPT, DeepSeek, Cisco AnyConnect, Google Drive, Microsoft Office, Teams, Salesforce e Zoom. Zoom ha rappresentato il 41% di tutti i file dannosi unici, seguito da Outlook e PowerPoint (16% ciascuno), Excel (12%), Word (9%) e Teams (5%). Il numero di file falsi mascherati da ChatGPT è aumentato del 115%, raggiungendo quota 177.

Gli attacchi che sfruttano il supporto tecnico di marchi famosi nei motori di ricerca sono particolarmente pericolosi. Cercando le pagine di servizio di Apple, Microsoft, Netflix o PayPal, un utente potrebbe finire su un sito falso che sembra ufficiale. Ma invece del vero numero di assistenza, ne viene visualizzato uno fraudolento . Questa tecnica viene implementata inserendo parametri di ricerca, che consentono di modificare la visualizzazione della pagina senza modificarne l’URL nei risultati di ricerca. Queste pagine vengono attivamente promosse tramite risultati a pagamento su Google.

Questi incidenti dimostrano come gli aggressori sfruttino aggressivamente la fiducia in marchi noti, piattaforme pubblicitarie e motori di ricerca per diffondere malware. La combinazione di trucchi social, trucchi tecnici e una portata su larga scala attraverso l’avvelenamento SEO trasforma le normali query di ricerca in potenziali trappole.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.