Ricercatori di cybersecurity hanno rivelato una campagna malware che utilizza falsi installatori di software, mascherati da strumenti popolari come LetsVPN e QQ Browser, per distribuire il framework Winos 4.0. La campagna, individuata per la prima volta da Rapid7 nel febbraio 2025, coinvolge l’uso di un loader multi-stadio residente in memoria chiamato Catena.
“Catena utilizza shellcode incorporato e logica di commutazione della configurazione per caricare payload come Winos 4.0 interamente in memoria, eludendo gli strumenti antivirus tradizionali,” hanno affermato i ricercatori di sicurezza Anna Širokova e Ivan Feigl. “Una volta installato, si connette silenziosamente a server controllati dagli attaccanti – per lo più ospitati a Hong Kong – per ricevere istruzioni successive o malware aggiuntivo.”
Gli attacchi, simili a quelli che hanno distribuito Winos 4.0 in passato, sembrano concentrarsi specificamente su ambienti di lingua cinese, con la società di cybersecurity che sottolinea la “pianificazione attenta e a lungo termine” da parte di un attore di minaccia molto capace.
Winos 4.0 (noto anche come ValleyRAT) è stato documentato pubblicamente per la prima volta da Trend Micro nel giugno 2024, utilizzato in attacchi mirati a utenti di lingua cinese tramite file MSI dannosi per app VPN. L’attività è stata attribuita a un cluster di minacce tracciato come Void Arachne, noto anche come Silver Fox.
Le campagne successive che distribuiscono il malware hanno sfruttato applicazioni legate al gaming come strumenti di installazione, acceleratori di velocità e utility di ottimizzazione come esche per ingannare gli utenti a installarlo. Un’altra ondata di attacchi dettagliata nel febbraio 2025 ha preso di mira entità a Taiwan tramite email di phishing che si spacciavano per il National Taxation Bureau.
Costruito sulle fondamenta di un trojan di accesso remoto noto come Gh0st RAT, Winos 4.0 è un framework malevolo avanzato scritto in C++ che utilizza un sistema basato su plugin per raccogliere dati, fornire accesso shell remoto e lanciare attacchi DDoS.
Flusso di infezione basato su QQBrowser osservato nel febbraio 2025. Rapid7 ha dichiarato che tutti gli artefatti segnalati nel febbraio 2025 si basavano su installatori NSIS confezionati con app esca firmate, shellcode incorporato in file “.ini” e iniezione DLL riflessiva per mantenere segretamente la persistenza sugli host infetti ed evitare il rilevamento. L’intera catena di infezione è stata denominata Catena.
“La campagna è stata finora attiva per tutto il 2025, mostrando una catena di infezione coerente con alcuni aggiustamenti tattici – indicando un attore di minaccia capace e adattabile,” hanno detto i ricercatori.
Il punto di partenza è un installatore NSIS trojanizzato che si spaccia per un installatore per QQ Browser, un browser web basato su Chromium sviluppato da Tencent, progettato per distribuire Winos 4.0 utilizzando Catena. Il malware comunica con un’infrastruttura di comando e controllo (C2) codificata su porta TCP 18856 e porta HTTPS 443.
Da LetsVPN Installer a Winos 4.0 nell’aprile 2025. La persistenza sull’host viene raggiunta registrando attività pianificate che vengono eseguite settimane dopo il compromesso iniziale. Mentre il malware presenta un controllo esplicito per…
Fonte: The Hackers News
