DOUBLECUP usa ClickFix per distribuire CountLoader e DeviceManager

🛡️ Executive Summary

• DOUBLECUP è un servizio Loader-as-a-Service che permette agli operatori di creare campagne ClickFix personalizzate attraverso un pannello centralizzato.
• Il loader estrae codice da immagini PNG nella cache del browser e usa l’indirizzo IP della vittima per decifrare il payload.
• I payload osservati includono CountLoader 4.5p per Windows e macOS e il nuovo RAT DeviceManager basato su EtherHiding.

SOCRadar ha scoperto DOUBLECUP, una piattaforma Loader-as-a-Service utilizzata per costruire campagne ClickFix e distribuire malware attraverso falsi CAPTCHA, pagine di accesso contraffatte e comandi copiati negli appunti della vittima. Il servizio mette a disposizione degli operatori un pannello per configurare domini, tecniche di steganografia, catene di esecuzione e payload finali. La sequenza nasconde il primo stadio in un’immagine PNG caricata nella cache del browser e utilizza l’indirizzo IP pubblico del sistema come componente della chiave crittografica. Tra i malware individuati figurano CountLoader 4.5p, disponibile per Windows e macOS, e DeviceManager, un nuovo RAT per Windows che usa blockchain, traffico HTTP e tunnel DNS per raggiungere l’infrastruttura di comando.

DOUBLECUP industrializza le campagne ClickFix

DOUBLECUP è operativo almeno dall’inizio di giugno 2026 e viene offerto attraverso un modello commerciale basato su licenze. Ogni cliente riceve una chiave associata al proprio indirizzo IP, alla durata dell’abbonamento, alla versione del software e alle campagne autorizzate. Il pannello consente di selezionare la catena di esecuzione, il formato dell’archivio, il linguaggio degli script, il metodo steganografico e il tipo di payload da installare. Gli operatori possono scegliere tra PowerShell, VBScript, JScript, batch, C#, MSBuild e altre combinazioni che sfruttano strumenti già presenti in Windows. Il fornitore di DOUBLECUP gestisce le immagini contenenti il codice nascosto, gli endpoint per le sessioni, le chiavi crittografiche e il sistema di ricostruzione automatica, mentre il cliente deve predisporre il sito ClickFix e i relativi modelli grafici.

Secondo l’analisi tecnica pubblicata dalla Threat Research Unit di SOCRadar, la piattaforma include anche un client grafico Windows scritto in Go, attraverso il quale gli affiliati configurano domini, slug, URL dei payload e comandi differenziati per Chrome, Edge, Firefox, Brave e Opera. Il modello riduce le competenze necessarie per avviare un’operazione e trasforma ClickFix da tecnica artigianale in servizio criminale modulare. La stessa evoluzione era già visibile nelle campagne ClickFix basate su EtherHiding e infrastrutture blockchain, dove contenuti ospitati su servizi decentralizzati permettevano agli attaccanti di modificare rapidamente gli indirizzi utilizzati dalla catena di infezione.

Il falso CAPTCHA recupera il codice dalla cache del browser

Le campagne osservate imitano pagine di accesso a servizi aziendali come NetSuite, Odoo, HubSpot e Salesforce, caricando DOUBLECUP attraverso iframe integrati nei siti malevoli. All’apertura della pagina viene creato un identificatore di sessione e il server registra indirizzo IP, browser e parametri della campagna. Il sito scarica silenziosamente una particolare immagine PNG e la lascia nella cache del browser, quindi mostra una procedura FakeCAPTCHA che invita la vittima a copiare un comando e a eseguirlo attraverso la finestra Esegui, PowerShell o un’altra interfaccia di sistema.

Il comando non scarica direttamente il payload da un dominio facilmente individuabile, ma cerca nella cache del browser il file PNG corrispondente a una dimensione specifica. Utilizzando strumenti legittimi come findstr o certutil, estrae dall’immagine il codice nascosto e avvia il primo stadio. Questa soluzione riduce la presenza di collegamenti espliciti al malware nella riga di comando e sfrutta un file già scaricato dal browser prima che l’utente esegua qualsiasi operazione. Il meccanismo rappresenta una variante più complessa delle campagne ClickFix usate da BlueNoroff attraverso falsi inviti Zoom e Microsoft Teams, nelle quali la vittima viene convinta a eseguire personalmente il comando che avvia l’infezione. In entrambi i casi l’attaccante non sfrutta necessariamente una vulnerabilità software, ma trasforma l’utente nel passaggio che autorizza l’esecuzione del codice sul sistema.

L’indirizzo IP diventa la chiave per decifrare il payload

Il secondo stadio di DOUBLECUP opera come dropper fileless e recupera l’indirizzo IPv4 pubblico della macchina attraverso servizi esterni. Il valore viene elaborato con PBKDF2 per derivare una chiave di 32 byte impiegata da un cifrario personalizzato basato su SHA-256 in modalità Counter e operazioni XOR. Il payload finale è conservato in memoria come una grande sequenza frammentata di numeri e valori esadecimali, mescolata con istruzioni inutili per ostacolare l’analisi statica.

Dopo la decifratura, il loader confronta il risultato con un hash SHA-256 incorporato e, se la verifica riesce, crea dinamicamente uno ScriptBlock PowerShell o carica un assembly .NET attraverso reflection. L’impiego dell’indirizzo IP come environmental keying impedisce l’esecuzione corretta del campione quando viene trasferito in una sandbox offline o analizzato da una rete diversa da quella della vittima. In questi casi viene generata una chiave differente e il contenuto resta illeggibile. La tecnica non rende il malware invulnerabile, ma complica la detonazione automatizzata e lega il payload alla sessione per cui è stato preparato. Il sistema comunica inoltre al server quando il primo stadio è stato eseguito e, dopo l’infezione, reindirizza la vittima verso una pagina legittima scelta dall’operatore, riducendo il rischio che l’utente comprenda immediatamente quanto accaduto.

CountLoader 4.5p colpisce Windows e macOS

Uno dei payload distribuiti da DOUBLECUP è CountLoader 4.5p, evoluzione di una famiglia già documentata in precedenti campagne ClickFix. La variante Windows abbandona l’architettura basata su HTA e VBScript in favore di un impianto interamente PowerShell, eseguito prevalentemente in memoria. Il malware copia utility legittime come conhost.exe, powershell.exe e mshta.exe in cartelle scrivibili dall’utente, le rinomina con nomi riconducibili a normali applicazioni e modifica campi dei rispettivi header PE, tra cui nome originale, descrizione e identificativo interno. L’obiettivo è confondere i controlli basati sul nome del processo e rendere meno evidente l’impiego di interpreti di comandi. CountLoader crea inoltre due attività pianificate ridondanti, camuffate come servizi di aggiornamento Google ed Edge, che riattivano il malware ogni 25 minuti. Una delle attività scarica un pacchetto portabile di Python 3.13 e utilizza uno script per recuperare la versione più recente del loader; l’altra richiama direttamente PowerShell attraverso una copia modificata di conhost. Il processo rimane attivo soltanto per pochi secondi, riceve un comando, esegue l’operazione e termina, riducendo la finestra disponibile per il rilevamento comportamentale. DOUBLECUP distribuisce anche una variante Mach-O per macOS, confermando che le campagne ClickFix non sono più limitate all’ecosistema Windows e possono adattare la catena alla piattaforma rilevata dal browser.

CountLoader cerca wallet crypto e Signal Desktop

Prima di contattare il server di comando, CountLoader raccoglie informazioni sul sistema, sul sistema operativo, sui privilegi dell’utente, sull’appartenenza a un dominio aziendale e sui prodotti antivirus installati. Il malware verifica la presenza di Ledger Live, Trezor, Exodus, Atomic, Guarda, KeepKey, BitBox e altri wallet, quindi analizza le directory di 45 browser per individuare 48 estensioni associate soprattutto a criptovalute. Controlla inoltre la presenza di Signal Desktop, informazione utile per identificare vittime potenzialmente interessanti o preparare moduli successivi. I dati vengono offuscati con una chiave XOR casuale, convertiti in formato esadecimale e trasmessi attraverso richieste HTTP. Dopo la registrazione, il server restituisce un token JWT utilizzato per ricevere nuovi incarichi.

CountLoader può scaricare ed eseguire file, estrarre archivi, avviare DLL con rundll32, installare pacchetti MSI, caricare moduli PowerShell in memoria e propagarsi attraverso unità USB o condivisioni di rete mediante collegamenti .lnk malevoli. Una funzione ancora non utilizzata permette anche di modificare i collegamenti dei browser, in modo da avviare contemporaneamente l’applicazione legittima e il loader. La ricerca di wallet ed estensioni colloca la campagna nello stesso scenario delle operazioni che usano falsi software e RAT per sottrarre criptovalute e credenziali, dove la compromissione iniziale serve a selezionare i sistemi più redditizi prima di distribuire il payload finale.

DeviceManager usa EtherHiding e tunnel DNS

Il secondo payload individuato è DeviceManager, un RAT per Windows non documentato in precedenza. Il malware stabilisce la persistenza attraverso attività pianificate o WMI Event Subscription, tecnica che consente di eseguire codice in risposta a eventi di sistema senza dipendere esclusivamente dalle chiavi di avvio automatico tradizionali. Per individuare l’infrastruttura di comando utilizza EtherHiding, recuperando indirizzi e configurazioni da dati pubblicati su una blockchain. Gli attaccanti possono così aggiornare il server C2 modificando un contenuto decentralizzato senza dover distribuire una nuova versione del malware. DeviceManager comunica tramite HTTP oppure attraverso DNS tunneling, inserendo dati e comandi nelle richieste DNS. Il protocollo DNS è quasi sempre autorizzato nelle reti aziendali e può attraversare firewall e proxy che bloccherebbero connessioni dirette verso indirizzi sospetti. La combinazione tra blockchain e tunnel DNS rende l’infrastruttura più resiliente e consente agli operatori di cambiare destinazione mantenendo invariato il campione installato. DeviceManager offre le funzionalità tipiche di un RAT, permettendo agli attaccanti di raccogliere informazioni, eseguire comandi, scaricare moduli e mantenere il controllo remoto della macchina. La tecnica richiama le campagne RAT che costruiscono canali di comando nascosti nel traffico apparentemente legittimo, ma aggiunge un livello decentralizzato per la risoluzione dell’infrastruttura.