Cruciferra nasconde RAT e infostealer con oltre 90 tecniche crittografiche

🛡️ Executive Summary

• Cruciferra è un servizio di crypter usato da gruppi cybercriminali distinti per occultare RAT, infostealer e keylogger.
• Il loader combina Process Ghosting, syscall indirette, unhooking delle API, escalation dei privilegi e driver vulnerabili per ostacolare gli EDR.
• La difesa richiede controlli comportamentali, blocco dei driver vulnerabili, analisi della memoria e protezione delle campagne email iniziali.

Cruciferra è un servizio criminale progettato per trasformare malware conosciuti in payload più difficili da individuare attraverso antivirus, sandbox e piattaforme EDR. Proofpoint lo ha osservato nelle operazioni di gruppi non collegati tra loro, impegnati a distribuire Remote Access Trojan, infostealer e keylogger attraverso campagne email. Il crypter, scritto per l’ambiente Mono, non si limita a cifrare l’eseguibile originale: integra tecniche di evasione a più livelli, tra cui syscall indirette, rimozione degli hook, abuso di driver vulnerabili e una variante personalizzata di Process Ghosting. L’analisi ha inoltre individuato oltre 90 combinazioni crittografiche, insieme a versioni sperimentali che mostrano uno sviluppo ancora attivo.

Un servizio criminale protegge malware di gruppi differenti

Un crypter riceve un eseguibile malevolo e lo trasforma in una nuova versione capace di conservare le funzioni originarie riducendo contemporaneamente la probabilità di rilevamento. Cruciferra applica questo modello come servizio disponibile a più clienti, separando chi sviluppa le tecniche di evasione da chi gestisce phishing, infrastrutture di comando e monetizzazione delle infezioni. Proofpoint ha associato il crypter a numerose campagne email e a famiglie come AsyncRAT, XWorm, Remcos, Agent Tesla, FormBook, XLoader, zgRAT, ValleyRAT, Snake Keylogger, Phantom Stealer e DarkCloud Stealer. La varietà dimostra che Cruciferra non rappresenta una singola famiglia di malware né identifica automaticamente uno specifico attore: costituisce uno strato commerciale applicato a payload differenti prima della distribuzione.

Lo stesso campione protetto può quindi apparire in operazioni prive di relazioni operative tra loro, rendendo rischioso utilizzare la sola presenza del crypter come indicatore di attribuzione. Il modello si inserisce nell’industrializzazione del malware-as-a-service, già visibile con TAG-195 e la piattaforma modulare TinyEgg e ChonkyChicken, dove sviluppo, accesso iniziale e gestione del payload vengono affidati a soggetti specializzati.

Cruciferra modifica continuamente la protezione dei payload

L’elemento più caratteristico consiste nella quantità di combinazioni utilizzate per cifrare e offuscare configurazioni, stringhe e malware incorporati. Proofpoint ha contato più di 90 varianti di funzioni crittografiche, ottenute attraverso algoritmi personalizzati, trasformazioni matematiche e combinazioni di primitive differenti. Questa varietà permette al servizio di produrre campioni con strutture e indicatori statici diversi, anche quando il payload finale appartiene alla stessa famiglia.

L’obiettivo non consiste necessariamente nell’inventare una nuova crittografia resistente all’analisi, ma nell’aumentare il costo operativo richiesto per costruire firme affidabili e automatizzare l’estrazione del contenuto. I ricercatori hanno osservato sia versioni apparentemente destinate alle campagne reali sia build contenenti funzioni di debug, messaggi diagnostici e caratteristiche sperimentali. La presenza simultanea di campioni di produzione e test indica che gli sviluppatori continuano a modificare il servizio e a verificare nuove modalità di evasione. Un meccanismo analogo caratterizza Telepuz, servizio MaaS modulare che usa ClickFix e VIDAR, nel quale la capacità di cambiare loader e catena di consegna diventa parte del prodotto offerto agli affiliati.

Process Ghosting riduce gli artefatti sul disco

Cruciferra utilizza una versione personalizzata di Process Ghosting, tecnica con cui un file eseguibile viene creato, aperto e successivamente marcato per la cancellazione prima che Windows completi la costruzione del processo. Il sistema operativo può continuare a utilizzare l’oggetto già aperto, mentre il file non rimane disponibile sul filesystem nella forma normalmente attesa dagli strumenti forensi. Il malware ottiene così un processo valido senza lasciare necessariamente una corrispondenza persistente e facilmente acquisibile sul disco. La tecnica non rende l’esecuzione invisibile, perché restano processi, allocazioni di memoria, handle, chiamate native e attività successive, ma indebolisce i controlli che dipendono dal recupero dell’eseguibile originario. Cruciferra accompagna questo meccanismo con DLL sideloading, esportazioni esca e caricamento dei componenti in memoria, moltiplicando i percorsi attraverso i quali il payload può apparire collegato a software legittimo. Gli analisti devono quindi ricostruire la relazione tra file temporanei, immagini di processo e memoria, anziché affidarsi esclusivamente agli artefatti presenti dopo l’esecuzione.

Syscall indirette e unhooking ostacolano gli EDR

Molti prodotti EDR monitorano le API utilizzate dai processi inserendo hook nelle librerie di sistema o controllando il passaggio attraverso funzioni considerate sensibili. Cruciferra tenta di neutralizzare questa visibilità ricostruendo versioni pulite delle API e dell’Import Address Table, oppure raggiungendo le funzioni native attraverso syscall indirette. Invece di invocare il percorso normalmente controllato, il loader individua istruzioni adatte all’interno di moduli legittimi e le utilizza per entrare nel kernel, riducendo la probabilità che un hook in user mode intercetti l’operazione. Il crypter può inoltre manipolare le funzioni utilizzate dagli strumenti per interrogare la memoria, nascondendo regioni o restituendo risultati alterati. Queste capacità non garantiscono il superamento di qualsiasi sistema di sicurezza, soprattutto quando il prodotto combina telemetria kernel, comportamento e correlazione degli eventi, ma costringono la difesa ad analizzare l’intera sequenza anziché una singola chiamata sospetta. La stessa evoluzione appare nei tool criminali progettati per disattivare antivirus e controlli aziendali, dove il valore commerciale dipende dalla possibilità di rendere nuovamente utilizzabili payload già conosciuti.

I driver vulnerabili vengono usati contro la sicurezza

Le varianti più aggressive applicano la tecnica Bring Your Own Vulnerable Driver, caricando nel sistema un driver legittimamente firmato ma affetto da vulnerabilità sfruttabili. Attraverso il driver, Cruciferra può ottenere operazioni privilegiate nel kernel e tentare di terminare processi, servizi o componenti appartenenti agli strumenti di sicurezza. L’abuso risulta efficace perché la firma digitale consente al file di superare controlli che bloccherebbero immediatamente un driver sconosciuto, mentre la vulnerabilità offre all’attaccante capacità non previste dal produttore. Alcune build includono anche escalation dei privilegi e bypass dell’User Account Control, necessari quando il processo iniziale non dispone dei diritti richiesti per installare driver, modificare impostazioni protette o stabilire una persistenza più profonda. Il fenomeno BYOVD ha già assunto un ruolo centrale nelle operazioni ransomware e nei malware che cercano di “spegnere” gli antivirus, come mostrato dal ransomware GodDamn e dall’evoluzione di Beast basata su un driver malevolo. Per ridurre il rischio non basta aggiornare gli EDR: occorre applicare la blocklist dei driver vulnerabili, limitare l’installazione di componenti kernel e controllare i nuovi servizi driver creati sugli endpoint.

Phishing fiscale e false prenotazioni consegnano il crypter

Proofpoint ha osservato Cruciferra soprattutto in campagne email, spesso costruite intorno a documenti fiscali, notifiche amministrative o comunicazioni legate al settore dell’ospitalità. In alcune operazioni riconducibili al cluster TA4922, i messaggi utilizzavano esche fiscali per distribuire malware protetti dal crypter; altre campagne sfruttavano temi alberghieri per consegnare zgRAT. I settori più frequentemente presenti nella telemetria comprendevano servizi finanziari, sanità e organizzazioni governative, ma la disponibilità commerciale del servizio permette ai clienti di cambiare rapidamente geografie, destinatari e contenuti.

Cruciferra interviene dopo il primo inganno: non rende più credibile l’email, ma aumenta la probabilità che il file allegato o scaricato sopravviva ai controlli dell’endpoint. La difesa deve quindi impedire la consegna iniziale e, contemporaneamente, riconoscere ciò che accade quando l’utente esegue il payload. Sandbox isolate, restrizioni sugli allegati, blocco dei formati non necessari e autenticazione delle email riducono il primo rischio; telemetria sui processi, sulla memoria e sui driver affronta invece l’esecuzione successiva.

La rilevazione deve concentrarsi sul comportamento

Gli hash hanno valore limitato davanti a un servizio capace di generare numerose varianti dello stesso malware. Gli indicatori più duraturi riguardano le azioni necessarie al funzionamento: caricamento di driver vulnerabili, creazione di servizi, manipolazione della memoria, esecuzione attraverso file cancellati, DLL caricate da percorsi insoliti, modifiche alle chiavi di persistenza e processi che tentano di rimuovere gli hook dalle librerie di sistema. Gli analisti devono acquisire la memoria degli endpoint sospetti perché un processo generato attraverso Process Ghosting potrebbe non avere più un file corrispondente sul disco. La ricerca tecnica di Proofpoint su Cruciferra documenta un’architettura nella quale cifratura, evasione degli EDR, privilegi e caricamento del payload sono combinati in modo modulare. Il crypter non inventa ciascuna tecnica impiegata, ma le trasforma in un servizio aggiornabile e accessibile a gruppi criminali che non avrebbero necessariamente le competenze per implementarle autonomamente.

Cruciferra rende riutilizzabili malware già conosciuti

Il valore di Cruciferra non dipende da un nuovo RAT o da una capacità esclusiva di furto dei dati. Il servizio consente a malware già classificati e ampiamente monitorati di tornare efficaci attraverso un involucro differente per ogni campagna. Questa separazione favorisce una specializzazione del mercato clandestino: alcuni operatori gestiscono infrastrutture e phishing, altri sviluppano infostealer e backdoor, mentre il crypter modifica il payload per superare i controlli. La presenza di versioni sperimentali indica inoltre un ciclo di sviluppo nel quale ogni rilevamento può produrre una nuova variante, venduta come aggiornamento ai clienti. Per le organizzazioni, la conseguenza è netta: riconoscere il nome della famiglia finale non basta. La protezione deve intercettare il modo in cui il malware tenta di entrare, ottenere privilegi, alterare la visibilità dell’EDR e creare un processo apparentemente legittimo. Cruciferra trasforma l’evasione da tecnica accessoria a prodotto commerciale autonomo, aumentando il numero di attori capaci di distribuire malware sofisticatamente protetti.