Laboratorio WebDAV espone malware, test offensivi e uso dell’AI generativa

🛡️ Executive Summary

• Un server WebDAV esposto ha rivelato oltre mille artefatti usati per testare launcher, tecniche di spoofing e catene di consegna malware.
• Le campagne CURP e DlrtyGames rubano credenziali, sessioni, dati Telegram, informazioni bancarie e asset conservati nei wallet crypto.
• Gli attaccanti combinano AI generativa, file LNK, LOLBin firmati, DLL sideloading e vulnerabilità Windows per industrializzare le operazioni.

Un server WebDAV lasciato esposto ha permesso di osservare dall’interno un laboratorio operativo dedicato allo sviluppo e alla consegna di malware. L’infrastruttura conteneva più di mille artefatti, organizzati per launcher, trasporti, fallback, container e tecniche di spoofing, oltre a documentazione e matrici di test prodotte anche con modelli di AI generativa. Le campagne individuate puntavano al furto di credenziali, cookie, sessioni, dati Telegram, informazioni bancarie e asset crypto. Il laboratorio mostra un cybercrime sempre più vicino a un team software strutturato, capace di sperimentare rapidamente varianti, misurare i risultati e perfezionare le catene di infezione prima della distribuzione su larga scala.

Il server WebDAV funzionava come ambiente di sviluppo malware

La scoperta è partita da un alert MDR che ha condotto a un server WebDAV completamente accessibile, utilizzato come repository, banco di prova e pannello di controllo delle campagne. Le cartelle separavano chiaramente percorsi di consegna, launcher, container, fallback e prove di evasione, mentre directory denominate testik e testik2 indicavano sessioni di sperimentazione ancora in corso. Script come generate_test_lnk.ps1 permettevano di creare in massa file LNK con combinazioni differenti di icone, estensioni, comandi e modalità di apertura.

I documenti README includevano istruzioni ordinate, traduzioni in russo ed emoji, elementi compatibili con l’impiego di modelli generativi per accelerare la produzione della documentazione e delle esche. Il pannello Simba Service tracciava aperture, indirizzi IP, geolocalizzazione, versioni dei payload e traffico in tempo reale, trasformando l’infrastruttura in una piattaforma di telemetria offensiva. L’impostazione richiama la rapidità con cui le campagne ClickFix basate su WebDAV e falsi CAPTCHA hanno industrializzato il coinvolgimento della vittima, ma in questo caso l’esposizione ha mostrato anche la fase interna di sviluppo, selezione e validazione delle tecniche.

WebDAV e LOLBin spostano l’esecuzione su risorse remote

La catena di consegna sfruttava condivisioni WebDAV raggiungibili da Windows Explorer attraverso percorsi UNC o DavWWWRoot. File .url e .lnk attivavano il servizio WebClient e davclnt.dll, inducendo il sistema a recuperare contenuti remoti come se appartenessero a una normale risorsa di rete. Gli attaccanti impostavano quindi la working directory di binari Microsoft firmati verso la condivisione WebDAV: quando il programma creava processi figli o cercava librerie, Windows risolveva alcuni componenti direttamente dal server controllato dall’aggressore.

Questa tecnica riduce la presenza di file locali e sfrutta la reputazione dei LOLBin, rendendo più difficile distinguere un’operazione amministrativa da un’esecuzione malevola. Container search-ms, file .library-ms, caricamento riflessivo e process hollowing completavano il flusso fileless. Una delle tecniche principali sfruttava CVE-2025-33053, inducendo iediagcmd.exe a utilizzare una directory remota; il laboratorio conteneva anche prove relative a CVE-2026-21513, già impiegata da APT28 attraverso file LNK per aggirare le protezioni MSHTML, e a CVE-2025-24054, vulnerabilità capace di esporre credenziali NTLM tramite interazioni apparentemente innocue con file e risorse remote.

CURP ruba credenziali, sessioni e wallet crypto

La campagna CURP utilizzava un file .scr mascherato tramite tecnica RTLO, visualizzato come ReportFinal.rcs.pdf per confondere l’ordine dei caratteri e nascondere l’estensione reale. Il primo stadio estraeva Fo-Binary.exe, che decifrava un payload protetto con AES e compresso tramite GZip. Il codice veniva caricato in memoria attraverso Assembly.Load e iniettato in un processo appartenente a Qihoo 360, sfruttando un software legittimo come copertura. Lo stealer finale, sviluppato in .NET, raccoglieva credenziali dei browser, cookie, sessioni, screenshot, dati Telegram e Foxmail, oltre alle informazioni archiviate in oltre venti wallet desktop ed estensioni crypto.

L’esfiltrazione avveniva tramite richieste HTTP POST multipart verso il server di comando e controllo. Il modello operativo ricorda le recenti campagne italiane dominate da phishing e infostealer e il flusso fileless osservato con VeilDrop e PureLog Stealer, ma l’accesso al laboratorio dimostra che ogni elemento dell’esca veniva sottoposto a test di rendering, apertura ed evasione prima dell’impiego contro le vittime.

DlrtyGames usa sideloading e un RAT modulare

La seconda campagna, DlrtyGames, partiva da un archivio 7-Zip SFX che estraeva un eseguibile Ubisoft firmato e una DLL trojanizzata. Attraverso DLL sideloading, il binario legittimo caricava profiler16.dll, che recuperava il codice shell da loader-pool.db e iniettava un RAT .NET modulare in processi firmati come MegArray.exe e Crisp.exe. Il malware registrava tasti premuti in presenza di parole chiave legate a pagamenti, criptovalute e banking, catturava screenshot, monitorava le finestre attive e cercava dati dei wallet presenti nel browser.

La modularità permetteva di aggiungere funzioni e modificare rapidamente i moduli di raccolta senza ricostruire l’intera catena. Gli attaccanti combinavano RTLO, doppie estensioni, padding con spazi e spoofing Unicode con risoluzione dinamica delle API, ritardi temporali, IsDebuggerPresent e FailFast. L’abuso di software firmato segue la stessa logica delle campagne che distribuiscono AsyncRAT attraverso falsi installer e DLL sideloading: il componente affidabile non contiene necessariamente codice malevolo, ma diventa il caricatore involontario di una libreria collocata nella posizione prevista dall’attaccante.

La difesa deve unire esposizione, telemetria e controllo dell’esecuzione

Tra il 20 e il 26 giugno 2026, il server ha registrato 77.098 richieste provenienti da 3.892 indirizzi IP distribuiti in 101 Paesi, trasferendo 45,9 GB di dati. Il volume non distingue automaticamente operatori, scanner, vittime e ricercatori, ma dimostra che l’infrastruttura aveva già raggiunto un livello operativo significativo. Le organizzazioni devono monitorare l’avvio del servizio WebClient, le connessioni verso percorsi WebDAV esterni, l’esecuzione di file LNK e URL da cartelle remote e i processi figli generati da LOLBin con working directory di rete. La disattivazione di WebDAV dove non necessario, il blocco dei collegamenti remoti, l’applicazione delle patch per le CVE testate e regole dedicate per DLL sideloading e process hollowing riducono la superficie disponibile. La sola sandbox resta insufficiente quando payload e processi utilizzano binari firmati o rimangono in memoria. Serve correlare exposure management, EDR, telemetria di rete e analisi comportamentale, seguendo la stessa logica necessaria contro malware che usano AI e framework legittimi per evadere Windows Defender ed EDR. Il laboratorio esposto dimostra che l’AI generativa non sostituisce le tecniche tradizionali: ne accelera la produzione, la documentazione e il collaudo, permettendo agli aggressori di iterare con la disciplina e la velocità di un vero team di prodotto.