ClearFake usa WebDAV per distribuire Amatera, ZigCryptoStealer e NetSupport

🛡️ Executive Summary

• Cisco Talos ricostruisce due catene ClearFake basate su WebDAV e rundll32, una delle quali osservata presso un ente governativo ucraino.
• Amatera funge da payload principale e può distribuire ZigCryptoStealer, un reverse proxy Go o NetSupport Manager per accesso remoto persistente.
• La catena combina Cloudflare Workers, BNB Smart Chain, falso CAPTCHA ClickFix, DLL hollowing, BYOVD e C2 nascosti dietro servizi legittimi.

ClearFake evolve ancora e trasforma WebDAV in uno snodo centrale per distribuire infostealer, proxy e strumenti di controllo remoto. Cisco Talos ha ricostruito due catene parallele nelle quali DLL camuffate vengono eseguite tramite rundll32.exe direttamente da percorsi WebDAV. Una delle infezioni è stata osservata nell’aprile 2026 presso un’organizzazione governativa ucraina, ma Talos ritiene con moderata confidenza che la campagna non fosse diretta specificamente contro quell’ente e che l’obiettivo principale restasse furto di credenziali e criptovalute. Il payload principale è Amatera, capace poi di distribuire ZigCryptoStealer, un reverse proxy scritto in Go o una copia non autorizzata di NetSupport Manager.

La prima traccia arriva da una DLL chiamata verification.google

L’indagine nasce da un evento anomalo rilevato nella telemetria endpoint di un’organizzazione governativa ucraina. Una DLL remota chiamata verification.google veniva eseguita attraverso il percorso UNC di una condivisione WebDAV utilizzando la versione a 32 bit di rundll32.exe, mentre sul sistema si avviava il servizio Windows WebClient. Talos non disponeva inizialmente dell’intera catena di infezione, ma il fingerprint di esecuzione era abbastanza peculiare da consentire una ricerca retrospettiva su VirusTotal e altre fonti. Da quel pivot è emersa una seconda DLL, denominata pf.ch, che utilizzava lo stesso schema WebDAV più esecuzione tramite ordinal #1. Talos valuta con confidenza bassa o media che le due catene condividano lo stesso percorso iniziale. L’episodio rafforza quanto Matrice Digitale aveva già documentato nella nuova catena ClearFake con WordlistLoader, WebDAV e Amatera, ma aggiunge ora payload secondari e un caso concreto osservato in ambiente governativo.

Cloudflare Worker e BNB Smart Chain alimentano il falso CAPTCHA

La catena pf.ch permette di ricostruire lo stadio precedente. Un sito legittimo compromesso riceve JavaScript malevolo attraverso un Cloudflare Worker, che interroga uno smart contract sulla BNB Smart Chain Testnet. Il contratto 0x886d310Ac23e05EA705e24E513D19f53793832A9 funziona come storage remoto modificabile e contiene il codice da eseguire nel browser, secondo la tecnica EtherHiding. Lo script controlla sistema operativo e presenza di ambienti headless, quindi seleziona un secondo smart contract differente per Windows o macOS. Su Windows genera un identificativo della vittima, lo conserva nel cookie cjs_id e sovrappone alla pagina un falso CAPTCHA in stile Google. L’utente viene invitato ad aprire la finestra Esegui, incollare il contenuto degli appunti e premere Invio. Il comando ricostruisce dinamicamente pushd, rundll32 e popd, apre un percorso WebDAV su un sottodominio casuale di leaguejazire[.]com ed esegue pf.ch. La tecnica riprende esattamente il modello ClickFix/WebDAV già osservato a marzo, quando un falso CAPTCHA induceva la vittima a usare Win+R e montare una risorsa WebDAV.

Leggi anche: EtherHiding usa WebRTC e oltre 5.400 siti per trasformare la blockchain in C2

pf.ch e verification.google usano loader diversi ma convergono su Amatera

Le due DLL non condividono lo stesso codice interno. pf.ch è una DLL 32 bit packed che utilizza vectored exception handling, cicli XOR, API hashing e Windows fibers per complicare l’analisi statica. Il payload viene decompresso con LZNT1 e porta a una build Amatera 4.1.5-alpha, priva di import table e capace di effettuare transizioni 32-to-64 bit per eseguire system call in modo potenzialmente utile a eludere gli hook degli EDR. La variante verification.google adotta invece DLL hollowing: carica in memoria una copia pulita di dbghelp.dll, ne sovrascrive l’inizio della sezione codice con lo stage malevolo e trasferisce poi l’esecuzione nella regione manipolata.

Usa inoltre callback asincrone con TpAllocWork, direct WoW64 syscall stubs e control-flow flattening. Entrambi i percorsi convergono però su Amatera/ACR Stealer, che funge da piattaforma per il furto e per il caricamento di moduli successivi. L’evoluzione conferma come ClearFake stia cambiando rapidamente loader e tecniche di evasione senza modificare necessariamente la logica operativa della catena.

Amatera ruba credenziali, wallet e dati da oltre 400 target applicativi

La configurazione della variante verification.google contiene oltre 400 regole di raccolta dedicate a browser, estensioni, messaggistica, wallet e applicazioni desktop. I target comprendono Telegram, Signal, WhatsApp, oltre cento percorsi associati a wallet di criptovalute, password manager come KeePass, Bitwarden, 1Password, RoboForm e NordPass, autenticazione con WinAuth e Authy, client FTP come FileZilla, software di accesso remoto e VPN.

Quattro regole di file grabbing scandagliano Desktop, Downloads, Documents e Recent Items alla ricerca di oltre cento pattern legati a private key, wallet backup, API key, token OAuth, dati 2FA, password database e certificati .p12, .pfx, .pem e .kdbx. Talos osserva che la raccolta è fortemente orientata a credenziali e asset crypto, coerentemente con la valutazione secondo cui la campagna è prevalentemente finanziaria e non un’operazione di spionaggio mirato contro l’ente ucraino.

ZigCryptoStealer usa un driver vulnerabile per spegnere gli EDR

Nella catena pf.ch, Amatera riceve due task secondari. Il primo scarica un archivio contenente il componente Chrome legittimo platform_experience_helper.exe e una DLL malevola Secur32.dll. Il binario firmato di Google effettua DLL side-loading della libreria malevola, scritta con .NET NativeAOT, che a sua volta carica ZigCryptoStealer e un driver firmato vulnerabile. ZigCryptoStealer monitora gli appunti, riconosce diversi formati di indirizzi crypto e può sostituirli con wallet controllati dall’attaccante.

Il loader enumera inoltre i processi degli strumenti di sicurezza, confronta gli hash dei loro nomi con una lista interna e invia i relativi PID al driver DCRCVDrv.sys. Attraverso l’IOCTL 0x2205c0, il driver ottiene un handle sul processo e richiama ZwTerminateProcess, senza verificare l’autorizzazione del chiamante. Il risultato è una tecnica BYOVD, Bring Your Own Vulnerable Driver, capace di terminare software EDR da kernel mode.

ZigCryptoStealer riutilizza EtherHiding anche dopo l’infezione

La blockchain compare una seconda volta, non più nella pagina Web ma nel payload finale. ZigCryptoStealer invia una chiamata JSON-RPC eth_call verso un secondo smart contract BNB Smart Chain, camuffandola come una normale richiesta relativa a un saldo ERC-20. Il contratto ignora l’indirizzo casuale fornito dal malware e restituisce invece una stringa modificabile dall’operatore contenente il dominio C2 corrente.

Talos ha ricostruito 39 aggiornamenti del contratto tra marzo e luglio 2026 e almeno sei domini differenti usati come endpoint. Cisco Umbrella ha osservato query verso alcuni di questi domini da 98 Paesi, con Stati Uniti, Indonesia, Brasile, India ed Egitto tra le origini più frequenti. Questa seconda applicazione di EtherHiding mostra quanto il modello sia ormai maturo: la blockchain non serve soltanto a consegnare il primo script, ma anche a mantenere dinamico il C2 di uno stealer già installato. La stessa architettura decentralizzata era già emersa nella prima analisi di ClearFake su smart contract BSC Testnet e C2 nascosto.

Un reverse proxy Go trasforma il PC infetto in un nodo operativo

Il secondo payload secondario della catena pf.ch è un reverse TCP proxy scritto in Go e caricato da shellcode. Il binario comunica con update[.]dubbedmuch[.]cc tramite WebSocket Secure e utilizza la libreria HashiCorp Yamux per multiplexare più flussi sulla stessa connessione. Dopo avere inviato MachineGuid e hostname al C2, il proxy riceve richieste che specificano indirizzo sorgente e destinazione e inoltra il traffico in entrambe le direzioni. Il sistema compromesso può quindi diventare un pivot di rete o proxy operativo controllato dall’attaccante, aggiungendo una capacità che va ben oltre il semplice furto di credenziali. L’uso di proxy e tunnel residenti sugli endpoint è ormai ricorrente nelle intrusioni moderne perché permette di sfruttare la reputazione IP della vittima e raggiungere risorse non esposte direttamente su Internet.

Continua con:

• NetSupport RAT e ClickFix tornano insieme nelle campagne di accesso remoto
• ClickFix sfrutta npm come hosting affidabile per false pagine Cloudflare

La seconda catena installa NetSupport Manager e apre il controllo interattivo

La variante verification.google segue un finale differente. Amatera riceve un task PowerShell fileless che scarica ed esegue uno script tramite DownloadString e Invoke-Expression. Prima dell’installazione, lo script esegue numerosi controlli anti-analysis: verifica uptime, quantità di memoria, RAM video, numero di CPU, precisione di NtDelayExecution e nomi associati a display virtuali o ambienti cloud. In parallelo genera traffico esca verso GitHub API, npm, Docker Hub, PyPI, NuGet e PowerShell Gallery per confondere l’analisi della rete. Il payload finale è un archivio con una copia firmata di NetSupport Manager 12.44, eseguita con il nome hypersnap.exe e configurata per funzionare senza icona, chat o notifiche visibili. Il gateway C2 paternal-angrily[.]com:443 risolveva durante l’analisi verso 212.118.56[.]166, IP localizzato in Russia. Talos attribuisce con moderata confidenza questa specifica branca a un attore russo e la traccia come UAT-10820, ma non estende automaticamente tale attribuzione all’intero ecosistema ClearFake.

ClearFake non è più solo uno stealer delivery framework

Il report Talos mostra quindi una trasformazione sostanziale. ClearFake continua a dipendere da un elemento molto semplice — convincere l’utente a copiare un comando da un falso CAPTCHA — ma dietro quel gesto costruisce ormai una catena modulare capace di scegliere tra furto automatizzato, hijacking di indirizzi crypto, spegnimento degli EDR, tunneling e controllo remoto interattivo. WebDAV riduce la necessità di consegnare allegati, BNB Smart Chain rende modificabili gli stadi senza cambiare i siti compromessi, Amatera agisce da orchestratore e i payload secondari determinano cosa farà concretamente il sistema infetto. Per i difensori il segnale più utile resta quindi comportamentale: avvio del servizio WebClient, percorsi UNC WebDAV, rundll32.exe 32 bit che esegue file con estensioni anomale, falsi CAPTCHA che chiedono Win+R e successive attività PowerShell o side-loading. Inseguire soltanto hash e domini significa arrivare sempre una variante dopo.