Redazione RHC : 14 Ottobre 2025 16:00
I ricercatori di McAfee hanno segnalato una nuova attività del trojan bancario Astaroth, che ha iniziato a utilizzare GitHub come canale persistente per la distribuzione dei dati di configurazione.
Questo approccio consente agli aggressori di mantenere il controllo sui dispositivi infetti anche dopo la disattivazione dei server di comando e controllo primari, aumentando significativamente la capacità di sopravvivenza del malware e complicandone la neutralizzazione.
L’attacco inizia con un’e-mail di phishing mascherata da notifica di servizi popolari come DocuSign o contenente presumibilmente il curriculum di un candidato. Il corpo dell’e-mail contiene un collegamento per scaricare un archivio ZIP.
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
All’interno è presente un file di collegamento (.lnk) che avvia JavaScript nascosto tramite mshta.exe. Questo script scarica un nuovo set di file da un server remoto, il cui accesso è geograficamente limitato: il malware viene scaricato solo sui dispositivi nelle regioni prese di mira.
Il kit scaricato include uno script AutoIT, un interprete AutoIT, il corpo crittografato del Trojan stesso e un file di configurazione separato. Lo script distribuisce lo shellcode in memoria e inietta un file DLL nel processo RegSvc.exe, utilizzando tecniche di bypass dell’analisi e la sostituzione dell’API standard kernel32.dll.
Il modulo scaricato, scritto in Delphi, controlla accuratamente l’ambiente: se viene rilevato un sandbox, un debugger o un sistema con impostazioni locali in inglese, l’esecuzione viene immediatamente terminata.
Astaroth monitora costantemente le finestre aperte. Se l’utente visita il sito web di una banca o di un servizio di criptovaluta, il trojan attiva un keylogger, intercettando tutte le sequenze di tasti. Prende di mira nomi di classi di Windows, come Chrome, Mozilla, IEframe e altri. Le risorse prese di mira includono i siti web delle principali banche brasiliane e piattaforme di criptovaluta, tra cui Binance, Metamask , Etherscan e LocalBitcoins. Tutti i dati rubati vengono trasmessi al server degli aggressori utilizzando un protocollo proprietario o tramite il servizio reverse proxy Ngrok.
Una caratteristica unica di questa campagna è che Astaroth utilizza GitHub per aggiornare la propria configurazione. Ogni due ore, il trojan scarica un’immagine PNG da un repository aperto contenente una configurazione crittografata steganograficamente. I repository scoperti contenevano immagini con un formato di denominazione predefinito e sono stati prontamente rimossi su richiesta dei ricercatori. Tuttavia, questo approccio dimostra come le piattaforme legittime possano essere utilizzate come canale di comunicazione di riserva per il malware.
Per infiltrarsi nel sistema, il trojan inserisce un collegamento nella cartella di avvio, assicurandosi che venga eseguito automaticamente a ogni avvio del computer. Nonostante la complessità tecnica dell’attacco, il vettore principale rimane l’ingegneria sociale e la fiducia degli utenti nelle e-mail.
Durante l’indagine, gli specialisti hanno scoperto che la maggior parte dei contagi si concentra in Sud America, principalmente in Brasile, ma anche in Argentina, Colombia, Cile, Perù, Venezuela e altri paesi della regione. Sono possibili casi anche in Portogallo e Italia.
McAfee sottolinea che tali schemi evidenziano la necessità di una maggiore vigilanza quando si lavora con piattaforme aperte come GitHub, poiché gli aggressori le utilizzano sempre più spesso per aggirare i tradizionali meccanismi di blocco. L’azienda ha già segnalato repository dannosi, che sono stati prontamente rimossi, interrompendo temporaneamente la catena di aggiornamenti di Astaroth.
RedazioneIl CEO di NVIDIA, Jen-Hsun Huang, oggi supervisiona direttamente 36 collaboratori suddivisi in sette aree chiave: strategia, hardware, software, intelligenza artificiale, pubbliche relazioni, networki...
La Duma di Stato della Federazione Russa ha adottato all’unanimità un appello a tutti gli sviluppatori di reti neurali nazionali e stranieri, chiedendo che all’intelligenza artificiale venga impe...
OpenAI ha presentato Aardvark, un assistente autonomo basato sul modello GPT-5 , progettato per individuare e correggere automaticamente le vulnerabilità nel codice software. Questo strumento di inte...
Analisi RHC sulla rete “BHS Links” e sulle infrastrutture globali di Black Hat SEO automatizzato Un’analisi interna di Red Hot Cyber sul proprio dominio ha portato alla luce una rete globale di ...
Abbiamo recentemente pubblicato un approfondimento sul “furto del secolo” al Louvre, nel quale sottolineavamo come la sicurezza fisica – accessi, controllo ambientale, vigilanza – sia oggi str...
