FTP diventa dead drop per malware: E4del e PINHOLE nascondono il C2 nei banner

🛡️ Executive Summary

• SOCRadar osserva da luglio 2026 banner FTP utilizzati come dead-drop resolver per consegnare comandi a file LNK senza incorporare direttamente il C2 nello stager.
• L’infrastruttura ha portato alla scoperta di due RAT finora non documentati: E4del, basato su Electron e mascherato da Discord, e PINHOLE, più avanzato e dotato di 14 comandi.
• PINHOLE combina Halo’s Gate, Early Bird APC Injection, ADS NTFS, Pinterest, SurveyMonkey e Cloudflare Workers per rendere più difficile rilevamento e takedown.

I banner FTP stanno diventando un nuovo contenitore per nascondere comandi e infrastruttura di malware, trasformando un protocollo vecchio e perfettamente legittimo in un dead-drop resolver. La SOCRadar Threat Research Unit ha individuato campagne attive almeno dall’inizio di luglio 2026 nelle quali file LNK interrogano direttamente la risposta iniziale di server FTP per recuperare istruzioni successive, evitando di incorporare nello stager stringhe C2 facilmente rilevabili. L’analisi dell’infrastruttura ha fatto emergere due RAT precedentemente non documentati, E4del e PINHOLE, appartenenti secondo i ricercatori a cluster distinti. Il secondo costruisce una catena particolarmente sofisticata, utilizzando anche Pinterest, SurveyMonkey e Cloudflare Workers per risolvere e mascherare il proprio comando e controllo.

Il comando malevolo arriva direttamente dal banner FTP

Nel report tecnico della SOCRadar Threat Research Unit, i ricercatori descrivono file LNK probabilmente distribuiti tramite phishing che aprono connessioni verso server FTP e leggono il banner mostrato immediatamente dal servizio. Normalmente quella stringa serve a identificare server e versione del software; in questa campagna viene invece utilizzata per conservare comandi PowerShell e indicazioni sulla fase successiva dell’infezione. Il vantaggio è semplice: lo shortcut iniziale non deve contenere direttamente indirizzi C2 o lunghe command line sospette. Una delle catene osservate utilizzava esche in spagnolo legate a un presunto voucher e, dopo il recupero del comando dal banner FTP, raggiungeva un server WebDAV per scaricare una DLL eseguita tramite rundll32.exe. L’abuso di WebDAV come anello della distribuzione era già emerso in laboratori malware che combinavano file LNK, LOLBin e risorse remote.

La tecnica è attiva almeno da luglio e resta adattabile a ClickFix

SOCRadar ha ampliato la ricerca dopo che l’infrastruttura inizialmente segnalata non era più raggiungibile. Attraverso scansioni FOFA sui servizi esposti sulla porta TCP 21, STRU afferma di aver trovato banner contenenti comandi analoghi attivi dall’inizio di luglio, con nuovi server osservati anche ad agosto. Il metodo è meno invisibile rispetto all’abuso di GitHub, YouTube o servizi cloud molto diffusi, perché una connessione FTP verso un host sconosciuto può attirare più facilmente l’attenzione dei difensori.

Proprio la semplicità del meccanismo lo rende però estremamente adattabile. I ricercatori osservano che la stessa logica potrebbe essere incorporata facilmente nelle campagne ClickFix, nelle quali la vittima viene convinta a eseguire manualmente comandi apparentemente necessari per superare CAPTCHA o risolvere problemi tecnici. Un’evoluzione coerente con campagne come DOUBLECUP, dove ClickFix viene già usato per consegnare CountLoader e DeviceManager.

E4del usa Discord firmato per nascondere un RAT Node.js

Il primo impianto individuato, denominato E4del, parte da un banner FTP che conduce a un secondo server FTP e infine a uno script PowerShell incaricato di scaricare un archivio ZIP. La catena avvia una copia legittima e digitalmente firmata di Discord.exe con l’argomento --init e il nome dell’utente della vittima. Il trucco sfrutta la struttura delle applicazioni Electron: insieme al binario firmato vengono distribuite le librerie necessarie e viene sostituita la logica contenuta nel file resources/app.asar.

Windows continua quindi a mostrare un eseguibile Discord legittimo, mentre il codice effettivamente eseguito dentro Electron è controllato dagli attaccanti. Il payload risultante è un RAT scritto in Node.js, capace di persistenza, fingerprinting, evasione e comunicazione C2 cifrata.

Il controllo dell’username funziona come filtro anti-sandbox

E4del controlla immediatamente gli argomenti della riga di comando e verifica che il nome utente corrente corrisponda a quello passato tramite --init. Se il confronto fallisce, il processo termina. È un controllo relativamente semplice ma efficace contro ambienti automatizzati nei quali il malware viene eseguito con parametri diversi da quelli predisposti durante l’infezione reale. Il RAT aggiunge inoltre a Chromium opzioni come headless, disable-gpu e mute-audio, impedendo la comparsa dell’interfaccia grafica. Per la persistenza sfrutta direttamente setLoginItemSettings di Electron e registra Discord.exe per l’avvio automatico con gli stessi parametri. Una volta attivo genera un HWID tramite SHA-256 delle interfacce MAC e del modello CPU e identifica le soluzioni di sicurezza presenti, cercando tra gli altri Windows Defender, ESET, CrowdStrike, Sophos, Kaspersky e McAfee.

E4del varia automaticamente il ritmo dei beacon C2

Il comando e controllo di E4del utilizza richieste HTTP POST cifrate con AES-256-CBC verso un server hardcoded. Per sembrare traffico browser normale viene utilizzato un User-Agent Chrome, ma la caratteristica più interessante è il sistema di jitter su tre livelli. Entro 20 secondi dall’ultimo comando il RAT opera in modalità Active e interroga il server con pause casuali comprese tra 200 millisecondi e 2 secondi; tra 20 e 40 secondi passa a Semi-Active con intervalli tra 2 e 5 secondi; oltre i 40 secondi entra in modalità Inactive e riduce il polling a intervalli tra 5 e 9 secondi. E4del offre otto capacità operative principali, tra cui reverse shell, screenshot, streaming live del desktop, download di file e tentativi di privilege escalation. Il modello conferma quanto i RAT moderni cerchino di costruire canali C2 meno statici e più difficili da distinguere dal rumore di fondo, come già visto con HOLLOWGRAPH, che utilizza Microsoft 365 e i calendari come dead drop per comandi ed esfiltrazione.

PINHOLE alza il livello con sei strati di unpacking

Il secondo cluster scoperto da SOCRadar è decisamente più sofisticato. PINHOLE nasce anch’esso da un banner FTP, ma la catena successiva utilizza PowerShell, MSXML2.XMLHTTP, un file CMD temporaneo, certutil, archivi CAB e sei differenti passaggi di unpacking prima di raggiungere il payload finale. Il contenuto intermedio viene persino camuffato da certificato Base64 e successivamente da immagine JPEG attraverso l’aggiunta di magic byte falsi.

Il wrapper risolve dinamicamente le API tramite traversal del PEB e hash delle funzioni, evitando di memorizzare le stringhe Win32 in chiaro. Prima dell’esecuzione controlla inoltre la struttura delle Export Address Table di DLL fondamentali alla ricerca di librerie sintetiche tipiche degli emulatori, terminando se rileva un ambiente di analisi.

Halo’s Gate permette di aggirare gli hook user-mode degli EDR

PINHOLE implementa Halo’s Gate per recuperare i System Service Number necessari ai direct syscall. Se una funzione di ntdll.dll è stata modificata da un EDR, il malware cerca funzioni vicine non agganciate e ricostruisce matematicamente il numero della syscall desiderata sfruttando la disposizione sequenziale degli SSN. In questo modo evita di dipendere direttamente dal codice modificato dagli hook user-mode. Il RAT utilizza poi Early Bird APC Injection per iniettare il proprio payload dentro ApplicationFrameHost.exe prima che il processo inizi la normale esecuzione e prima che alcune protezioni possano installare i relativi hook. La combinazione di direct syscall, unpacking multilivello e process injection rende PINHOLE molto più vicino a un impianto professionale che a un semplice commodity RAT.

Pinterest e SurveyMonkey diventano resolver per il vero C2

La parte più originale arriva però dalla gestione del comando e controllo. PINHOLE conserva configurazione e chiavi all’interno degli Alternate Data Streams di file desktop.ini, codificando e cifrando gli indirizzi dei dead-drop. Una volta decifrati, questi puntano a pin Pinterest e domande SurveyMonkey. Il malware scarica le relative pagine con curl e cerca delimitatori nascosti contenenti due valori: il vero dominio C2 e un dominio Cloudflare Workers utilizzato come proxy. Le richieste vengono quindi fatte inizialmente attraverso il Worker e passano direttamente al C2 soltanto se il proxy fallisce. Abusare di servizi ad alta reputazione permette agli operatori di cambiare la posizione del C2 senza modificare il payload e rende meno efficace il blocco statico basato esclusivamente sul dominio osservato dal malware. È la stessa filosofia di msaRAT, che nasconde il comando e controllo dentro tecnologie e servizi Web apparentemente normali, ma PINHOLE distribuisce la risoluzione su più piattaforme legittime.

Gli operatori monitorano perfino il rendimento dei banner FTP

SOCRadar ha individuato anche un FTP Stats Panel utilizzato dagli operatori di PINHOLE per misurare la campagna. Il pannello contabilizza esecuzioni degli script, connessioni complessive, indirizzi IP unici, sistemi attivi e sistemi apparentemente bloccati. Al momento dell’analisi lo script risultava eseguito soltanto undici volte, un numero che suggerisce una fase ancora iniziale o un targeting ristretto. Il dettaglio resta significativo perché mostra una mentalità operativa simile a quella delle piattaforme criminali commerciali: la delivery viene misurata come una funnel, verificando quanti utenti raggiungono effettivamente ogni passaggio della catena.

PINHOLE espone 14 comandi e può trasformarsi anche in browser stealer

Una volta completata l’iniezione, il RAT comunica attraverso endpoint HTTP dedicati a health check, registrazione, tasking, upload e download dei file. PINHOLE supporta 14 comandi, tra cui enumerazione di file e directory, esecuzione di programmi, ricerca sull’intero filesystem, terminazione dei processi, screenshot e sessioni PowerShell persistenti. È presente inoltre un comando stealer progettato per scaricare un modulo aggiuntivo dedicato al furto dei dati del browser, anche se SOCRadar non è riuscita a recuperare il componente durante l’analisi. La struttura modulare permette quindi di mantenere il payload principale relativamente compatto e scaricare capacità aggiuntive soltanto quando l’operatore ne ha bisogno.

I banner FTP dimostrano che anche i protocolli dimenticati possono diventare infrastruttura C2

L’elemento più importante della ricerca non è soltanto la scoperta di due nuovi RAT. È l’utilizzo di una caratteristica quasi banale del protocollo FTP come livello di indirezione per la delivery. Il malware non deve conoscere in anticipo tutto ciò che verrà eseguito: gli operatori possono cambiare il contenuto del banner e modificare la catena senza redistribuire lo stager. Se il server viene bloccato, la stessa tecnica può essere ricreata altrove. Per i difensori questo significa che non basta più classificare un protocollo come benigno o malevolo. Una connessione FTP, un pin Pinterest, una domanda SurveyMonkey o un Worker Cloudflare possono essere perfettamente legittimi singolarmente e diventare infrastruttura malware quando vengono osservati all’interno della stessa sequenza comportamentale. SOCRadar raccomanda quindi application control, monitoraggio delle connessioni FTP verso host sconosciuti e analisi dell’abuso anomalo dei servizi fidati. E4del e PINHOLE mostrano la stessa tendenza da due prospettive differenti: il malware moderno cerca sempre meno di costruire Internet parallele per il proprio C2 e sempre più di occupare piccoli spazi dentro l’Internet legittima che le aziende non possono semplicemente bloccare.