Da siti falsi di Proton VPN a mod di giochi, questo infostealer di Windows è ovunque

Ruslan Mikhalov Capo della Ricerca sulle Minacce presso SOC Prime

Segui

Da siti falsi di Proton VPN a mod di giochi, questo infostealer di Windows è ovunque

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Sommario

Un infostealer di Windows noto come NWHStealer si sta diffondendo tramite pagine di download VPN false, utility hardware in bundle, strumenti di mining e mod di gioco compromesse. Il malware viene solitamente distribuito in archivi ZIP dannosi che si basano su auto-iniezione, DLL hijacking e process hollowing, con RegAsm frequentemente utilizzato come processo target. Una volta eseguito, NWHStealer ruba le credenziali del browser, raccoglie dati del portafoglio di criptovalute ed esfiltra le informazioni rubate attraverso canali di comando e controllo criptati.

Indagine

I ricercatori hanno identificato due metodi di distribuzione principali. In uno, archivi ZIP dannosi ospitati su una piattaforma di web hosting gratuita avviavano lo stealer tramite auto-iniezione. Nell’altro, siti web di Proton VPN falsi distribuivano un caricatore basato su DLL che abusava di DLL hijacking. Il caricatore poi decriptava risorse incorporate, svuotava un processo RegAsm e infine eseguiva NWHStealer in memoria o lo iniettava direttamente nei processi relativi al browser.

Mitigazione

Gli utenti devono evitare di scaricare software da fonti non attendibili, incluse versioni non ufficiali su GitHub, pagine sospette su SourceForge e link condivisi tramite descrizioni su YouTube. Le organizzazioni devono verificare le firme digitali prima dell’esecuzione, utilizzare strumenti di sicurezza endpoint che bloccano URL dannosi conosciuti e monitorare attività sospette di task pianificati o directory nascoste create nei percorsi dei profili utente.

Risposta

I difensori dovrebbero cercare i nomi DLL conosciuti di NWHStealer, l’attività di iniezione dei processi RegAsm, le cartelle nascoste sotto LOCALAPPDATA, e i task pianificati che avviano eseguibili mascherati come file di sistema legittimi. I domini di comando e controllo identificati e il link di dead-drop di Telegram devono essere bloccati immediatamente. Qualsiasi sistema compromesso deve essere isolato e sottoposto a un’analisi forense completa.

"graph TB %% Class Definitions classDef action fill:#ffcccc classDef tool fill:#c2c2f0 classDef process fill:#c2f0c2 classDef malware fill:#ffd966 %% Nodes initial_access["Azione – T1204.002 Esecuzione Utente: La vittima scarica un file ZIP dannoso da un sito VPN o utility hardware falso e lo esegue."] class initial_access action malicious_zip["Malware – Nome: Archivio ZIP Dannoso Offuscamento: T1027.015 Compressione"] class malicious_zip malware powershell_loader["Processo – Nome: Caricatore PowerShell Tecnica: T1059.001 Interprete di Comandi e Script"] class powershell_loader process defender_exclusion["Azione – T1564.012 Nascondere Artefatti: Aggiunge le sue cartelle alla lista di esclusione di Windows Defender."] class defender_exclusion action impair_defenses["Azione – T1562 Indebolire Difese: Modifica le impostazioni di sicurezza tramite PowerShell per evadere il rilevamento."] class impair_defenses action cmstp_tool["Strumento – Nome: cmstp.exe Tecnica: T1218.003 Esecuzione di Proxy Binario di Sistema"] class cmstp_tool tool uac_bypass["Azione – T1548.002 Bypass UAC: Utilizza CMSTP con un file INF appositamente creato per ottenere diritti elevati."] class uac_bypass action regasm_tool["Strumento – Nome: regasm.exe Tecnica: T1218.009 Esecuzione di Proxy Binario di Sistema"] class regasm_tool tool process_hollowing["Azione – Process Hollowing: Crea processo Regasm e lo svuota tramite API NT."] class process_hollowing action dll_hijack["Azione – T1574.001 DLL Hijacking: Distribuisce iviewers.dll dannoso che viene caricato da eseguibili legittimi."] class dll_hijack action persistence["Azione – T1546 Esecuzione Attivata da Evento & T1547 Avvio Automatico all’Avvio o al Logon: Pianifica task per eseguire il payload al logon dell’utente con privilegi elevati."] class persistence action cred_browser["Azione – T1555.003 Credenziali dai Browser Web: Raccoglie password e cookie da più browser."] class cred_browser action cred_cookie["Azione – T1539 Rubare Cookie di Sessione Web: Estrae cookie di sessione per servizi web."] class cred_cookie action browser_discovery["Azione – T1217 Scoperta Informazioni del Browser: Enumera profili del browser, estensioni e impostazioni."] class browser_discovery action c2_dead_drop["Azione – T1102.001 Risolutore di Dead Drop del Servizio Web: Recupera ulteriori informazioni C2 da un canale di deadu2011drop su Telegram."] class c2_dead_drop action c2_bidirectional["Azione – T1102.002 Comunicazione Bidirezionale del Servizio Web: Comunica con C2 su HTTP criptato."] class c2_bidirectional action %% Connections initial_access –>|fornisce| malicious_zip malicious_zip –>|esegue| powershell_loader powershell_loader –>|crea directory nascoste e aggiunge esclusioni| defender_exclusion powershell_loader –>|modifica impostazioni di sicurezza| impair_defenses powershell_loader –>|invoica| cmstp_tool cmstp_tool –>|abilita| uac_bypass uac_bypass –>|avvia| regasm_tool regasm_tool –>|esegue| process_hollowing process_hollowing –>|libera| dll_hijack dll_hijack –>|facilita| persistence persistence –>|fornisce appoggio per| cred_browser cred_browser –>|raccoglie| cred_cookie cred_browser –>|raccoglie| browser_discovery cred_cookie –>|usato per| c2_dead_drop browser_discovery –>|fornisce informazioni a| c2_dead_drop c2_dead_drop –>|comunica via| c2_bidirectional

Flow dell’Attacco

Rilevamenti

Possibile Side Loading di DLL WindowsCodecs tramite Calc (tramite image_load)

Team SOC Prime

16 Apr 2026

Visualizza

Possibile Abuso di Telegram come Canale di Comando e Controllo (tramite dns_query)

Team SOC Prime

16 Apr 2026

Visualizza

Comando e Controllo sospetto tramite Richiesta DNS di Dominio di Livello Superiore (TLD) Insolito (tramite dns)

Team SOC Prime

16 Apr 2026

Visualizza

IOC (HashSha256) da rilevare: Da siti Proton VPN falsi a mod di gioco, questo infostealer di Windows è ovunque

Regole AI SOC Prime

16 Apr 2026

Visualizza

Simulazione

Stiamo ancora aggiornando questa parte. Iscriviti per ricevere notifiche

Notificami

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis