8BitSecurity

Sempre più spesso ti sarà capitato di leggere acronimi come RaaS, MaaS, IaaS. Sigle diverse per indicare un semplice concetto: anche i malware sono diventati a tutti gli effetti un prodotto, un servizio.

Questo perché, mentre il dark web continua a essere il metodo di accesso ad attività illecite, tra tutte le sue offerte troviamo in continua ascesa il mercato nero dei malware. Software malevoli progettati per rubare, distruggere o controllare informazioni sono oggi alla portata di chiunque, anche di chi ha competenze tecniche minime, grazie a modelli di distribuzione sempre più sofisticati e orientati al servizio.

In questo articolo analizziamo i cinque malware più venduti attualmente nei marketplace underground, raccontando cosa fanno, quanto costano e perché rappresentano una minaccia concreta e in crescita.

Disclaimer: Questo contenuto ha scopo puramente informativo ed educativo. Non promuoviamo in alcun modo l’uso o l’acquisto di software malevolo.

1. RedLine Stealer

• Categoria: Infostealer
• Prezzo: $100 – $150 una tantum
• Descrizione: RedLine è uno dei malware più longevi e diffusi nella categoria degli info-stealer. Ruba una vasta gamma di informazioni: credenziali memorizzate nei browser, cookie, cronologia di navigazione, portafogli di criptovalute e perfino configurazioni del sistema operativo.
• Distribuzione: Si propaga principalmente tramite campagne di phishing, siti web compromessi e software contraffatti, spesso mascherati da crack o utility gratuite.
• Caratteristiche: La sua interfaccia di gestione intuitiva e la documentazione disponibile lo rendono una scelta popolare per attori malevoli anche alle prime armi. Inoltre, il suo codice è stato più volte riutilizzato e modificato per creare varianti sempre più elusive.
• Evoluzione: RedLine si è adattato nel tempo alle nuove tecniche di rilevamento, diventando progressivamente più furtivo. Alcune versioni più recenti utilizzano tecniche di offuscamento avanzate e comunicazioni crittografate con i server di comando e controllo (C2).

2. Raccoon Stealer v2

• Categoria: Infostealer-as-a-Service (IaaS)
• Prezzo: $75/mese
• Descrizione: Raccoon Stealer ha guadagnato popolarità come servizio malevolo in abbonamento. Dopo una pausa dovuta all’arresto di uno dei suoi operatori nel 2022, il malware è tornato nel 2023 con una nuova versione, ancora più efficace e modulare.
• Distribuzione: Diffuso principalmente attraverso campagne di malspam e download fraudolenti, è spesso impiegato in attacchi mirati contro utenti finali e piccole imprese.
• Caratteristiche: Oltre alla sua versatilità, ciò che rende Raccoon letale è la sua semplicità d’uso. Chiunque può accedervi e iniziare a raccogliere dati sensibili in poche ore. L’infrastruttura è costantemente aggiornata e supportata da una community di sviluppatori underground.
• Caratteristiche: Supporta oltre 60 applicazioni, compresi browser, client FTP e wallet di criptovalute. Può inviare automaticamente i dati esfiltrati a server remoti via HTTP o Telegram.

3. LummaC2 Stealer

• Categoria: Modular Infostealer
• Prezzo: $250 – $300
• Descrizione: Entrato sulla scena nel 2024, LummaC2 ha attirato rapidamente l’attenzione per le sue capacità evasive. Utilizza tecniche di crittografia e anti-debugging che lo rendono molto difficile da analizzare, anche per i ricercatori più esperti.
• Distribuzione: In genere veicolato attraverso dropper multistadio, spesso nascosti in pacchetti software che circolano nei canali Telegram e nei forum dark web. In alcuni casi è stato osservato l’uso di campagne SEO poisoning.
• Caratteristiche: Non solo raccoglie una quantità significativa di dati, ma è anche in grado di auto-aggiornarsi e cambiare comportamento in base all’ambiente target. Questo lo rende particolarmente adatto ad attacchi prolungati e mirati.
• Modularità: Può includere moduli aggiuntivi per la persistence, lo screenshotting e l’esfiltrazione via WebSocket, rendendolo uno strumento completo nelle mani degli attaccanti.

4. XWorm

• Categoria: RAT / Infostealer / DDoS Tool
• Prezzo: $300 – $500
• Descrizione: Scritto in .NET, XWorm rappresenta una minaccia multipurpose estremamente adattabile. Combina funzionalità di controllo remoto (RAT), furto di informazioni e capacità offensive come DDoS.
• Distribuzione: Tipicamente distribuito all’interno di toolkit acquistabili nei forum underground. Alcune varianti sono integrate con crypter commerciali che ne aumentano la resistenza all’analisi.
• Caratteristiche: Grazie alla sua architettura modulare, XWorm è ideale per attori che vogliono gestire campagne complesse da un unico strumento. Può essere personalizzato facilmente tramite script e plug-in.
• Funzionalità avanzate: Supporta keylogging, controllo di desktop remoto, download/upload di file e uso di proxy SOCKS. Alcune versioni hanno perfino integrato moduli per l’esfiltrazione di credenziali da software enterprise.

5. BlackGuard

• Categoria: Infostealer
• Prezzo: $80 – $150
• Descrizione: Alternativa più economica a RedLine, BlackGuard è spesso il malware d’ingresso per criminali informatici alle prime armi. Nonostante il prezzo contenuto, è estremamente efficace nel furto di dati.
• Distribuzione: Circola in modo massivo anche in versioni crackate, il che lo rende ancora più accessibile. Le campagne automatizzate ne facilitano la diffusione su larga scala.
• Caratteristiche: Il basso costo abbassa ulteriormente la soglia d’ingresso per il cybercrimine. Il malware è in grado di esfiltrare dati da browser, VPN, wallet crypto e app di messaggistica come Telegram e Discord.
• Caratteristiche aggiuntive: Integra funzioni di screenshotting, elusione di sandbox e monitoraggio clipboard (es. per wallet crypto). In contesti aziendali non protetti, può causare gravi fughe di dati.

Osservazioni sul mercato

Il panorama del malware è profondamente cambiato. Oggi il dark web funziona come un e-commerce: ci sono descrizioni dettagliate, recensioni degli utenti, supporto clienti e persino sconti per acquisti multipli. I malware vengono offerti in bundle con crypter, loader e pannelli di controllo, e spesso sono aggiornati regolarmente per evitare il rilevamento.

Questa evoluzione ha dato origine al concetto di Malware-as-a-Service (MaaS), che consente anche agli attori meno competenti di lanciare attacchi su vasta scala. Inoltre, i metodi di pagamento in criptovaluta e l’anonimato offerto dalle reti come Tor rendono estremamente difficile risalire agli autori.

Come difendersi

Proteggersi da questi malware richiede un approccio multilivello:

• Soluzioni EDR avanzate: Utilizzare strumenti di Endpoint Detection and Response con funzioni di analisi comportamentale.
• Monitoraggio continuo: Implementare sistemi SIEM per analizzare in tempo reale log e anomalie.
• Formazione del personale: Gli utenti restano l’anello debole della catena. Investire in training regolari su phishing e social engineering è cruciale.
• Isolamento delle applicazioni: Sandbox e virtualizzazione per testare applicativi sospetti in ambienti controllati.
• Aggiornamenti costanti: Mantenere aggiornati sistemi operativi, software e antivirus riduce drasticamente il rischio di compromissione.

Conclusione

Il malware non è più un’arma esclusiva dei gruppi APT o degli hacker professionisti. Grazie alla diffusione di modelli criminali as-a-service, oggi chiunque abbia $100, una connessione internet e una guida su Reddit può diventare un cybercriminale. La soglia d’ingresso si è abbassata, ma le conseguenze restano gravi e spesso devastanti, soprattutto per piccole imprese e utenti poco preparati.