Telepuz usa ClickFix e VIDAR per distribuire un malware MaaS modulare

🛡️ Executive Summary

• ClickFix induce la vittima a eseguire PowerShell, avviando VIDAR e una catena che installa lo stager e il backdoor Telepuz.
• Il malware carica moduli per credential stealing, keylogging, web injection e cookie theft, aggiungendo escalation, hollowing ed evasione avanzata.
• WebSocket, Telegram, Steam e blockchain Polygon forniscono canali C2 alternativi, mentre build quotidiane indicano un MaaS in rapido sviluppo.

Elastic Security Labs ha individuato Telepuz, una nuova piattaforma Malware-as-a-Service distribuita attraverso campagne ClickFix e un loader attribuito alla famiglia VIDAR. L’operazione, osservata con frequenza crescente dall’inizio di giugno 2026, induce le vittime a copiare nel terminale un comando PowerShell presentato come soluzione a un problema tecnico. Il comando avvia una catena multistadio che scarica un loader in Go, installa uno stager e infine esegue il backdoor modulare mediante rundll32. Telepuz può ricevere componenti per furto di credenziali, keylogging, web injection ed estrazione dei cookie, mentre l’infrastruttura di comando combina WebSocket, Telegram, profili Steam e riferimenti pubblicati sulla blockchain Polygon.

ClickFix trasforma la vittima nell’esecutore iniziale dell’attacco

La catena parte da una pagina web costruita per convincere l’utente che sia necessario eseguire manualmente una procedura di verifica, correzione o sblocco. La vittima copia una stringa preparata dagli aggressori, apre PowerShell e la incolla nel terminale, avviando direttamente il download del payload successivo. ClickFix aggira così una parte delle protezioni riservate agli allegati e agli eseguibili scaricati, perché il comando viene lanciato volontariamente dall’utente e può apparire come un’attività amministrativa legittima. Non è necessario sfruttare una vulnerabilità del browser: la falla principale risiede nella manipolazione della fiducia e nella capacità di presentare istruzioni tecniche plausibili. Matrice Digitale ha seguito a lungo l’industrializzazione di questa tecnica, compresa la campagna in cui ClickFix abusava delle conversazioni di Claude per distribuire BABLO e Potemkin. Telepuz conferma che il modello si presta ormai a una distribuzione su scala, nella quale landing page, script e payload vengono sostituiti rapidamente senza modificare l’inganno di base. La formazione degli utenti resta necessaria, ma non può essere l’unica difesa: i terminali aziendali devono impedire o limitare comandi che scaricano ed eseguono codice da domini appena visitati.

Una variante Go di VIDAR prepara lo stager di Telepuz

Il comando PowerShell recupera una seconda fase descritta come variante in Go di VIDAR. Questo componente agisce da loader e non rappresenta ancora il backdoor finale: scarica lo stager di Telepuz e il relativo binario principale, predisponendo la directory di installazione e i parametri necessari all’esecuzione. Lo stager è di dimensioni ridotte e avvia la DLL attraverso rundll32.exe, specificando l’export previsto dal malware. Il ricorso a un programma nativo di Windows riduce la necessità di introdurre un loader evidente e consente di eseguire il codice dentro un processo comunemente presente negli ambienti Microsoft.

Tutti i componenti mostrano tecniche di offuscamento comuni, elemento che suggerisce una filiera coordinata invece della semplice combinazione occasionale di strumenti appartenenti a operatori differenti. VIDAR è già stato distribuito attraverso repository falsi, installer e campagne di ingegneria sociale, come nel caso dell’attacco che utilizzava un falso leak di Claude Code per consegnare l’infostealer. In Telepuz, però, il loader assume il ruolo di ponte verso un’architettura MaaS più ampia e modulare.

Telepuz separa backdoor dai moduli specializzati

Il componente principale è una DLL Windows a 64 bit scritta in C, progettata per scaricare e caricare funzionalità aggiuntive soltanto quando richieste dall’operatore. L’impianto può ricevere moduli per sottrarre credenziali, registrare i tasti premuti, intercettare o modificare form web ed estrarre i cookie di Chrome. Questa separazione riduce il peso del payload iniziale e permette ai criminali di adattare l’infezione al valore della vittima. Un computer personale può ricevere soltanto lo stealer, mentre un endpoint aziendale può essere dotato di keylogger, web injector e funzioni di controllo più persistenti. L’architettura consente inoltre agli sviluppatori di aggiornare un singolo modulo senza dover distribuire nuovamente l’intera piattaforma. È uno dei tratti caratteristici dei servizi Malware-as-a-Service, nei quali il team centrale mantiene codice e infrastruttura mentre affiliati o clienti gestiscono campagne, bersagli e monetizzazione. Telepuz sembra trovarsi in una fase di crescita: l’elevata frequenza delle build e la comparsa continua di varianti indicano sviluppo attivo, sperimentazione e correzioni rapide.

Process hollowing e token theft ampliano il controllo dell’host

Telepuz supporta il process hollowing, tecnica con cui un processo legittimo viene creato in stato sospeso, svuotato del proprio codice e riempito con il payload malevolo. Il malware può così operare sotto il nome e il contesto di un eseguibile atteso, complicando i controlli fondati esclusivamente sul processo visibile. La piattaforma può inoltre rubare token di altri processi e tentare un bypass UAC per ottenere privilegi superiori. Queste funzioni consentono di passare da un’esecuzione iniziale nel contesto dell’utente a un controllo più profondo del sistema, soprattutto quando sono presenti processi con autorizzazioni elevate o configurazioni UAC permissive. Il furto dei token evita in alcuni casi di richiedere nuovamente credenziali, perché l’attaccante riutilizza un contesto di sicurezza già autenticato. La presenza simultanea di escalation, injection e moduli di raccolta mostra che Telepuz non è un semplice infostealer: è una piattaforma capace di sostenere persistenza, ricognizione e attività successive dopo la compromissione iniziale.

CipherAllocator garantisce persistenza come servizio Windows

Per sopravvivere ai riavvii, Telepuz installa un servizio denominato CipherAllocator e copia il payload in directory associate all’avvio automatico. Il nome appare volutamente tecnico e può essere scambiato per un componente crittografico o una funzione di sistema, soprattutto in inventari che non dispongono di una baseline verificata dei servizi autorizzati.

La persistenza tramite servizio consente l’esecuzione automatica con privilegi definiti dalla configurazione e può mantenere il malware attivo anche senza una nuova interazione dell’utente. Le organizzazioni devono controllare la creazione di servizi provenienti da PowerShell, rundll32 o processi collocati in directory utente e temporanee. CipherAllocator costituisce un indicatore utile, ma il nome può essere modificato facilmente nelle build successive. Il rilevamento deve quindi concentrarsi anche sulla sequenza: comparsa di una nuova DLL, registrazione del servizio, esecuzione tramite export non documentati e collegamento immediato verso endpoint WebSocket.

Il C2 combina WebSocket con canali di fallback distribuiti

Il canale principale utilizza WebSocket e messaggi JSON, soluzione che permette una comunicazione persistente e bidirezionale sopra protocolli web ordinari. Quando il server non risponde o viene bloccato, Telepuz può recuperare informazioni alternative attraverso Telegram, profili Steam e interrogazioni alla blockchain Polygon. Questi meccanismi trasformano servizi pubblici e decentralizzati in directory di emergenza dalle quali ottenere nuovi indirizzi o configurazioni. Un profilo Steam o un messaggio Telegram può essere aggiornato senza redistribuire il malware, mentre una transazione blockchain è difficile da rimuovere dopo la pubblicazione.

L’uso di Polygon si inserisce nella tendenza a spostare parte dell’infrastruttura C2 su registri distribuiti, già osservata con Aeternum e il comando e controllo incorporato negli smart contract. Telepuz non dipende quindi da un singolo dominio: può cambiare rotta e continuare a ricevere istruzioni anche dopo il blocco del server primario. Per i difensori diventa necessario correlare il traffico verso servizi normalmente legittimi con il processo che lo genera e con la sequenza di eventi precedente.

L’offuscamento mira a neutralizzare analisi, AMSI ed ETW

Il malware utilizza istruzioni spazzatura, stringhe cifrate con RC4 e un sistema personalizzato di hashing delle importazioni, evitando di esporre in chiaro i nomi delle API richiamate. L’impiego di syscall indirette riduce la dipendenza dai normali percorsi delle librerie Windows e può ostacolare i prodotti che intercettano le funzioni di alto livello. Telepuz esegue controlli anti-VM e anti-debugger, tentando di riconoscere sandbox e ambienti di ricerca prima di attivare completamente le proprie capacità. Può inoltre ripristinare una copia non modificata di NTDLL, neutralizzare hook inseriti dai prodotti EDR, patchare AMSI ed ETW e rimuovere callback di notifica relative al caricamento delle DLL. L’obiettivo è ridurre la telemetria disponibile e impedire che script e moduli vengano analizzati durante l’esecuzione. Queste tecniche non rendono invisibile il malware, ma spostano il rilevamento verso eventi più profondi: modifiche alla memoria dei processi, syscall insolite, servizi appena creati e connessioni che seguono l’esecuzione di PowerShell.

Build quotidiane indicano un MaaS ancora in fase di espansione

Elastic ha osservato build caricate quotidianamente su VirusTotal e modifiche rapide a partire dall’inizio di giugno 2026. La frequenza suggerisce che un piccolo team stia sviluppando e testando attivamente la piattaforma, correggendo problemi e producendo varianti per clienti o campagne differenti. I domini di staging adottano spesso pattern riconducibili a stringhe come telemetriawork e vengono protetti attraverso Cloudflare, mentre i server C2 principali risultano ospitati anche su siti compromessi in Brasile e India. L’impiego di infrastrutture legittime o violate consente di cambiare rapidamente indirizzi e di sfruttare domini dotati di reputazione pregressa. L’assenza di un’attribuzione a gruppi noti rafforza l’ipotesi di un nuovo servizio criminale che sta ancora costruendo la propria base di affiliati. Il modello ricorda l’evoluzione di ErrTraffic, servizio che aveva trasformato ClickFix in una piattaforma commerciale per distribuire molteplici famiglie malware, analizzata da Matrice Digitale nell’articolo sull’industrializzazione degli attacchi ClickFix.

Il rilevamento deve partire da PowerShell e dalla creazione del servizio

Le organizzazioni devono monitorare comandi PowerShell che contengono download remoti, decodifica di stringhe, esecuzione in memoria o collegamenti verso domini visitati immediatamente prima dall’utente. L’avvio di rundll32.exe con DLL provenienti da cartelle temporanee o directory del profilo deve essere considerato sospetto, soprattutto quando precede la creazione di CipherAllocator o di altri servizi non presenti nelle baseline. Occorre inoltre rilevare process hollowing, accessi ai token di processi privilegiati e patch in memoria delle funzioni collegate ad AMSI ed ETW. Le connessioni WebSocket devono essere associate al processo di origine e confrontate con il ruolo dell’host: un backoffice o una workstation amministrativa che comunica con siti compromessi, profili Steam o endpoint blockchain non previsti richiede un’indagine. Hash e domini pubblicati dai ricercatori sono utili per la ricerca retrospettiva, ma le build multiple e il padding rendono insufficienti le sole firme.

La difesa contro ClickFix deve impedire l’esecuzione, non soltanto spiegare l’inganno

La formazione deve chiarire che un sito web non dovrebbe chiedere di copiare comandi nel terminale per verificare il browser, risolvere un CAPTCHA o accedere a un contenuto. Tuttavia, la ripetizione delle campagne dimostra che affidarsi esclusivamente al comportamento corretto dell’utente non basta. PowerShell deve essere limitato agli account e ai contesti che ne hanno reale necessità, con logging degli script, regole di controllo applicativo e blocco dei processi che scaricano ed eseguono contenuti nella stessa catena. I browser aziendali possono impedire l’accesso a domini appena registrati o pagine già associate a ClickFix, mentre gli endpoint devono isolare automaticamente sistemi nei quali compaiono download PowerShell, rundll32, persistenza e traffico C2 in pochi minuti. Telepuz mostra come una singola istruzione copiata dalla vittima possa aprire una piattaforma modulare capace di adattarsi, aggiornarsi e sopravvivere al blocco della propria infrastruttura primaria.