Un nuovo trucco usato dai criminali informatici punta a sembrare innocuo, ma può compromettere rapidamente un PC Windows. Se ricevi allegati sospetti o file che sembrano plugin, non aprirli e aggiorna subito Notepad++, WinRAR e gli altri strumenti di compressione all’ultima versione disponibile.
La campagna descritta di seguito mostra come un normale file possa nascondere una catena d’infezione molto articolata. L’obiettivo è convincere la vittima a eseguire un archivio o uno script travestito da documento legittimo, per poi installare componenti malevoli in modo silenzioso e mantenere l’accesso al sistema.
Cosa sta succedendo
CERT-UA ha attribuito la nuova attività a UAC-0099, un cluster ritenuto allineato alla Russia e attivo almeno dalla metà del 2022. Il gruppo è già stato collegato in passato a campagne che sfruttavano vulnerabilità di WinRAR per distribuire malware come LONEPAGE, oltre a operazioni di phishing utilizzate per veicolare payload come MATCHBOIL, MATCHWOK e DRAGSTARE.
Nell’ultima ondata osservata, l’attacco inizia con una email di phishing contenente un’immagine. Quando l’utente clicca, viene aperto un indirizzo mascherato tramite un servizio di abbreviazione dei link, che inoltra la richiesta verso una piattaforma di condivisione file per scaricare un archivio ZIP.
Dentro lo ZIP è presente uno script VBScript che si presenta come un PDF. Se avviato, scarica un documento-esca per distrarre la vittima e, in parallelo, recupera un secondo archivio chiamato Evernote.zip. Questo archivio contiene un insieme di componenti progettati per lavorare insieme:
- una copia legittima di Notepad++ 8.8.3
- una DLL malevola chiamata NppExport.dll
- un archivio protetto da password, updater.rar
- l’eseguibile legittimo winrar.exe
Come funziona l’infezione
Lo script iniziale ha il compito di estrarre i file e avviare Notepad++. A quel punto il programma carica la DLL NppExport.dll, che svolge il ruolo di componente di primo stadio. Questa DLL, identificata con il nome in codice LUNCHPOKE, decomprime il file RAR e posiziona nella cartella prevista altri due elementi: RemoteLibUpdater.exe e InitTest.dll.
Subito dopo viene configurata una attività pianificata per eseguire RemoteLibUpdater.exe ogni tre minuti. La frequenza è pensata per garantire continuità operativa e persistenza sul sistema compromesso.
RemoteLibUpdater.exe corrisponde a BURNYBEAR, un loader usato per caricare InitTest.dll. Quest’ultima è una versione modificata di MATCHBOIL, un loader in C# progettato per distribuire payload secondari. La nuova variante è stata denominata MATCHBOIL.V2.
Perché è pericoloso
La catena è efficace perché mescola elementi legittimi e malevoli. L’uso di un software reale come Notepad++ e di strumenti noti come WinRAR rende più difficile riconoscere subito l’attacco. Inoltre, la presenza di un PDF-esca abbassa il livello di sospetto e aumenta la probabilità che l’utente prosegua nell’interazione.
CERT-UA segnala anche un comportamento distruttivo: se RemoteLibUpdater.exe viene avviato in modo errato, senza argomenti, BURNYBEAR attiva una logica pensata per consumare risorse del sistema, in particolare RAM e CPU. In pratica, il malware non solo mantiene l’accesso, ma può anche rallentare o destabilizzare la macchina colpita.
Come proteggersi subito
Le misure più utili sono semplici e immediate:
- aggiornare Notepad++, WinRAR e 7-Zip alle ultime versioni
- evitare di aprire allegati inattesi, soprattutto archivi ZIP o file che si presentano come documenti
- verificare con attenzione i link ricevuti via email, anche quando sembrano provenire da servizi noti
- bloccare l’esecuzione di script non richiesti, in particolare VBScript e file con nomi ambigui
- controllare le attività pianificate dei sistemi Windows per individuare esecuzioni periodiche sospette
- monitorare cartelle temporanee e directory di estrazione usate da programmi di compressione
Per le organizzazioni, è utile anche rafforzare i controlli su posta elettronica, allegati e download esterni. Una gestione più rigorosa dei privilegi e una maggiore visibilità sui processi che avviano DLL o archivi protetti da password possono ridurre l’impatto di campagne simili.
Collegamento con altre campagne
La nuova operazione si inserisce in un quadro più ampio di attività attribuite a gruppi legati alla Russia e focalizzate sulla compromissione di sistemi di posta e documenti condivisi. In parallelo, negli ultimi mesi sono emerse anche campagne contro server webmail che sfruttano vulnerabilità di tipo half-click, cioè exploit che richiedono solo la visualizzazione di un messaggio per attivare il codice malevolo.
Un filone distinto, ma concettualmente simile per obiettivo e metodologia, riguarda l’uso di exploit su piattaforme come Zimbra, Roundcube, Kerio Webmail, SOGo Webmail e mDaemon per installare componenti di spionaggio e backdoor persistenti. In questi casi, il fine principale è spesso l’accesso prolungato ai dati e alle comunicazioni, più che un guadagno economico immediato.
Cosa osservare nei sistemi Windows
Gli indicatori di compromissione più interessanti, dal punto di vista difensivo, includono la presenza di archivi con nomi fuorvianti, DLL inserite in cartelle di un software legittimo e attività pianificate con intervalli molto brevi. Anche un uso anomalo di risorse da parte di processi apparentemente innocui merita attenzione.
Un altro segnale è la sequenza di esecuzione: prima un file che sembra innocuo, poi il download di un esca, quindi l’estrazione di pacchetti multipli e infine il caricamento di componenti aggiuntivi. Questa progressione è tipica delle campagne che cercano di passare inosservate fino al completamento dell’installazione del payload finale.
Technical Deep Dive
La catena d’attacco descritta da CERT-UA segue un modello multi-stage classico, con separazione tra initial access, staging, loader execution e persistence. Il primo stadio sfrutta il social engineering via email e un URL offuscato con link shortener, riducendo la probabilità di blocco immediato da parte dell’utente.
Il passaggio chiave è il caricamento laterale della DLL: Notepad++ viene usato come benign host per eseguire NppExport.dll, che si comporta come bootstrapper malevolo. Da lì, l’estrazione del contenuto di updater.rar consente di depositare il loader e il payload DLL nella posizione prevista, mantenendo un aspetto coerente con file di supporto legittimi.
La persistenza tramite Scheduled Task ogni tre minuti è particolarmente utile per l’attaccante perché riduce la dipendenza da una singola esecuzione riuscita. Se il processo viene terminato, il task può riattivarlo rapidamente. Questo tipo di persistenza è anche relativamente rumoroso per chi monitora la telemetria, perché produce eventi ripetuti e facilmente correlabili.
Dal punto di vista funzionale, BURNYBEAR agisce come loader per MATCHBOIL.V2, che conserva l’architettura da loader C# ma introduce una variante del componente InitTest.dll. La menzione di una nuova versione indica un’evoluzione del codice per aggirare rilevamenti, modificare la logica di esecuzione o adattare la distribuzione dei payload a contesti diversi.
Il comportamento degradativo di RemoteLibUpdater.exe senza argomenti suggerisce la presenza di una logica di fallback o di anti-abuso che consuma risorse quando il binario viene eseguito fuori contesto. Questo può servire sia come funzione di disturbo sia come meccanismo per complicare l’analisi automatizzata in ambienti sandbox.
Per i difensori, la priorità è cercare correlazioni tra email iniziali, archivi temporanei, DLL in directory insolite e creazione di task pianificati con cadenza anomala. In ambienti Windows, la combinazione di process tree, file system telemetry e task scheduler events è spesso sufficiente per individuare la catena nelle sue fasi iniziali.
Fonte: https://thehackernews.com/2026/07/fake-notepad-plugin-delivers.html
