FTP nasconde E4del e PINHOLE mentre Rust bonifica la supply chain

🛡️ Executive Summary

• File LNK recuperano dai banner FTP uno script PowerShell che avvia due catene distinte per distribuire i RAT E4del e PINHOLE.
• PINHOLE usa Pinterest e SurveyMonkey come dead-drop resolver, mentre E4del si nasconde in una falsa applicazione Electron firmata che imita Discord.
• Rust elimina arrayref 0.3.10 e altri crate compromessi; sviluppatori e aziende devono verificare cache, lockfile, runner, credenziali e traffico anomalo.

Due operazioni mostrano come gli attaccanti stiano trasformando infrastrutture e funzioni considerate ordinarie in canali per distribuire malware. Una campagna contro Windows inserisce comandi nei banner di benvenuto dei server FTP, utilizzandoli per consegnare i nuovi remote access trojan E4del e PINHOLE. Parallelamente, il progetto Rust ha rimosso dal registry crates.io versioni compromesse di arrayref, internment e append-only-vec, capaci di eseguire un payload durante la compilazione. Le due catene sono tecnicamente differenti, ma sfruttano lo stesso presupposto: nascondere l’attività malevola dentro passaggi che sviluppatori, sistemi operativi e strumenti di rete eseguono normalmente.

I banner FTP diventano depositi per i comandi PowerShell

La campagna osservata almeno dall’inizio di luglio 2026 parte probabilmente da un’attività di phishing che consegna alla vittima un archivio ZIP contenente un collegamento LNK. Quando viene aperto, il file non scarica direttamente un eseguibile riconoscibile, ma stabilisce una connessione verso un server FTP e legge il messaggio inviato prima dell’autenticazione. Il banner FTP, normalmente utilizzato per presentare il servizio o indicarne versione e configurazione, contiene in questo caso istruzioni malevole che vengono estratte e trasformate in uno script PowerShell. Secondo l’analisi tecnica pubblicata da SOCRadar, la tecnica è rimasta operativa anche ad agosto e utilizza il banner come dead-drop resolver, cioè come punto apparentemente passivo dal quale il primo stadio recupera indirizzi o comandi necessari a proseguire l’infezione. Il metodo riduce la quantità di informazioni statiche conservate nel file LNK e permette agli operatori di cambiare le istruzioni senza distribuire nuovamente l’esca. La logica ricorda le campagne che nascondono il tasking dietro servizi cloud o repository, come HollowFrame e la backdoor Matryoshka controllata attraverso GitHub, ma sposta il deposito iniziale su un protocollo molto più vecchio e raramente associato a questa funzione.

E4del si maschera da Discord dentro un’applicazione Electron firmata

Il primo percorso installa E4del, un RAT basato su Node.js e confezionato all’interno di un’applicazione Electron firmata digitalmente che imita Discord. La firma non dimostra che il contenuto sia affidabile: certifica l’identità utilizzata per firmare il file e può diventare parte dell’inganno quando un certificato viene rubato, ottenuto attraverso società di comodo o applicato a un pacchetto successivamente manipolato. Una volta eseguito, E4del permette agli operatori di aprire shell persistenti o temporanee, impartire comandi, acquisire screenshot, scaricare ulteriori payload e trasmettere il desktop attraverso WebSocket. La catena comprende inoltre un modulo Node.js denominato crypto32.node, apparentemente destinato all’escalation dei privilegi, che i ricercatori non sono riusciti a recuperare e analizzare. La scelta di Electron offre agli aggressori un ambiente multipiattaforma familiare agli sviluppatori e consente di incorporare JavaScript, moduli nativi e interfacce credibili in un’applicazione autonoma. Lo stesso trasferimento di fiducia dal software conosciuto al componente ostile era emerso con Joyfill compromessa su npm e il RAT DEV#POPPER, dove una dipendenza JavaScript affidabile diventava il punto di accesso alle workstation degli sviluppatori.

PINHOLE usa Pinterest e SurveyMonkey per proteggere il comando e controllo

La seconda catena consegna PINHOLE, impianto Windows progettato per lasciare poche tracce e rendere più difficile la rimozione dell’infrastruttura. Il malware ricava la configurazione del proprio comando e controllo dai contenuti pubblicati su Pinterest e dalle domande presenti su SurveyMonkey, utilizzando piattaforme legittime come resolver esterni. Gli operatori possono quindi sostituire un indirizzo o aggiornare il percorso verso il server senza modificare il payload già distribuito. PINHOLE applica inoltre una tecnica definita shellcode fluctuation, mantenendo in memoria una sola sezione da circa 4 KB del payload per volta, e inietta l’assembly finale in un processo ApplicationFrameHost.exe sospeso attraverso Early Bird APC injection. Il RAT supporta 14 comandi, tra cui enumerazione e trasferimento dei file, esecuzione di istruzioni, gestione dei processi, acquisizione di screenshot e installazione di un modulo destinato al furto delle credenziali conservate nei browser. Al momento dell’analisi lo script associato a PINHOLE mostrava soltanto 11 esecuzioni, dato compatibile con una campagna ancora nella fase iniziale e non con una distribuzione massiva già consolidata. L’abuso di servizi pubblici segue il modello osservato quando ClickFix ed EtherHiding hanno spostato configurazioni e infrastruttura sulla blockchain: l’obiettivo è separare il loader dalla destinazione finale e rendere inefficace il blocco di un singolo dominio.

Rust rimuove arrayref e blocca l’account del maintainer

Sul fronte della supply chain open source, il Rust Security Response Team ha ricevuto il 20 agosto 2026 alle 7:15 UTC una segnalazione relativa al crate malevolo proc-macro1. Il pacchetto conteneva un build.rs capace di scaricare un payload durante la compilazione e imitava nel nome il legittimo proc-macro2. L’indagine ha mostrato che arrayref 0.3.10, internment 0.8.7 e append-only-vec 0.1.9 erano stati ripubblicati introducendo la dipendenza ostile. Arrayref rappresentava il bersaglio più importante per diffusione e reputazione, con centinaia di milioni di download complessivi e utilizzi in progetti legati a crittografia, blockchain e interfacce grafiche. Il caso, già emerso insieme alle estensioni Firefox coinvolte nel furto di criptovalute, non viene attribuito dal progetto all’autore legittimo: computer o credenziali del maintainer risultano probabilmente compromessi. Nel comunicato ufficiale sulla risposta all’attacco, Rust conferma di avere eliminato anche proc-macro-en, aovine, arone, aronenao e tinymember, ripristinato le versioni precedentemente rimosse dagli aggressori e bloccato precauzionalmente l’account coinvolto.

Una finestra breve può compromettere workstation e pipeline

Le versioni ostili sono rimaste disponibili per periodi compresi tra 86 e 107 minuti, ma una finestra inferiore alle due ore può bastare quando bot di aggiornamento, pipeline CI/CD e build automatizzate adottano immediatamente l’ultima release disponibile. Il build.rs di proc-macro1 selezionava il payload in base al sistema operativo e supportava Windows x86-64, Linux x86-64, macOS x86-64 e macOS ARM64. Su Windows creava %TEMP%\rust-setup.ps1 e utilizzava wscript.exe con un launcher VBS nascosto; sui sistemi Unix depositava un eseguibile in /tmp/rust-setup. Il secondo stadio poteva raccogliere informazioni sull’host, sottrarre credenziali da Chrome, Brave ed Edge e ottenere persistenza attraverso chiavi Run del Registro, LaunchAgent o servizi systemd dell’utente. La dinamica dimostra perché le difese temporali introdotte da GitHub e PyPI siano rilevanti: ritardare l’adozione delle release appena pubblicate concede ai registry e ai ricercatori il tempo necessario per intercettare gli attacchi lampo, anche se non sostituisce la revisione delle modifiche e l’isolamento delle build.

La difesa deve correlare rete, compilazione e comportamento degli endpoint

Per la campagna FTP, i difensori devono considerare anomale le connessioni sulla porta 21 avviate da file LNK, PowerShell, interpreti di script o processi che normalmente non utilizzano il protocollo. Il banner non deve essere analizzato soltanto come informazione di ricognizione: può contenere stringhe codificate, URL e comandi destinati all’esecuzione. Occorre inoltre monitorare applicazioni Electron non autorizzate, processi ApplicationFrameHost.exe sospesi o generati in sequenze insolite, traffico verso Pinterest e SurveyMonkey proveniente da componenti privi di una ragione operativa e attività di screenshot, shell o WebSocket successive all’apertura di archivi compressi. La possibilità indicata da SOCRadar di adattare il metodo a ClickFix rende importante anche il controllo dei comandi copiati negli appunti e avviati manualmente dagli utenti. Per Rust, la verifica deve includere Cargo.lock, cache locali, mirror aziendali, immagini di build e runner che potrebbero avere acquisito le versioni compromesse. La semplice rimozione del crate non bonifica un sistema sul quale il payload è già stato eseguito: credenziali, token CI, chiavi di firma e segreti accessibili durante la compilazione devono essere ruotati da una macchina pulita. Il precedente dei repository GitHub falsi utilizzati per distribuire BoryptGrab completa il quadro: protocolli storici, servizi Web e registry moderni possono diventare parti intercambiabili della stessa infrastruttura criminale, mentre la rilevazione efficace dipende dalla capacità di ricostruire l’intera sequenza e non dal blocco isolato dell’ultimo payload.