Se usi WhatsApp Web o ricevi archivi ZIP da contatti poco affidabili, fai subito attenzione: una nuova ondata legata ad Astaroth sta sfruttando messaggi apparentemente normali per diffondere malware in Brasile. La misura più efficace è semplice: non aprire allegati ricevuti via chat, verifica sempre il mittente e limita l’uso di WhatsApp Web nei contesti più esposti.
Panoramica
La campagna associata ad Astaroth mostra un’evoluzione importante nelle tecniche usate dai gruppi criminali che colpiscono il Brasile. Invece di affidarsi solo a email malevole o a campagne di phishing con archivi compressi, gli operatori hanno introdotto un modulo dedicato per WhatsApp Web, capace di trasformare un dispositivo compromesso in uno strumento automatico per inoltrare messaggi infetti ad altri contatti.
Questa strategia aumenta la portata dell’infezione perché sfrutta il livello di fiducia che molte persone attribuiscono ai messaggi provenienti dalla propria rubrica. Quando un allegato o un link arriva da un contatto conosciuto, la probabilità che venga aperto cresce in modo significativo. È proprio questo il vantaggio che i criminali cercano di sfruttare.
Astaroth, noto anche come Guildma, è una famiglia malware attiva da anni e orientata soprattutto al furto di credenziali bancarie in Brasile. La novità non riguarda solo il canale di distribuzione, ma anche il modo in cui il malware automatizza l’uso del browser e delle funzioni di messaggistica per amplificare la propagazione.
Come cambia la campagna
Le prime campagne di Astaroth si basavano soprattutto su email di phishing e archivi compressi contenenti downloader malevoli. In seguito, alcune operazioni hanno spostato la distribuzione verso WhatsApp, usando messaggi con ZIP apparentemente innocui per indurre l’utente ad avviare il processo di infezione.
Nella fase più recente, l’infrastruttura di comando e controllo ha distribuito un modulo specifico per il reinvio automatico di spam su WhatsApp Web. In pratica, il computer infetto non si limita a ricevere il malware: lo diffonde anche ad altri utenti, agendo come un relay controllato dagli aggressori.
Questa evoluzione è rilevante perché rende la campagna più resiliente e più veloce. Ogni nuovo host compromesso può contribuire alla distribuzione, riducendo il bisogno di una forte esposizione iniziale da parte dell’infrastruttura criminale.
Perché WhatsApp Web è un obiettivo efficace
WhatsApp Web è un bersaglio utile per diversi motivi. Prima di tutto, è molto diffuso tra utenti privati e professionali. In secondo luogo, si basa su un’interazione naturale e quotidiana, quindi i messaggi arrivano in un ambiente percepito come familiare.
Gli attaccanti sfruttano anche la fiducia implicita nei rapporti personali. Se un messaggio proviene da un contatto reale, la soglia di attenzione si abbassa. Da qui nasce il rischio di aprire archivi ZIP, eseguire downloader o seguire istruzioni che sembrano legittime.
Nel caso di Astaroth, l’obiettivo è duplice: rubare credenziali bancarie e diffondere il malware ad altri utenti brasiliani attraverso una catena di messaggi automatizzati.
Come funziona il nuovo modulo
Il nuovo componente è descritto come un file PE Delphi a 32 bit, decrittato dall’installer tramite AES-CTS. La protezione del payload sfrutta routine già associate al nucleo di Astaroth, segno di una continuità tecnica con le versioni precedenti.
Anche il file di configurazione segue un formato personalizzato, con un identificatore iniziale specifico, contenuti codificati in Base64 e protetti con AES-CBC in modalità CTS, oltre a un controllo di integrità basato su HMAC-SHA256. Questo tipo di struttura limita l’uso di configurazioni non autorizzate e rende più difficile l’analisi statica immediata.
Una volta attivo, il modulo scarica un WebDriver legittimo compatibile con Chrome o Edge, spesso tramite PowerShell. Poi crea una copia del profilo del browser in una directory temporanea pubblica, avvia una sessione headless su una porta locale casuale e rimuove alcuni indicatori classici dell’automazione per ridurre la possibilità di rilevamento.
Il passaggio successivo riguarda l’uso di componenti JavaScript legati a WPPConnect e WA-JS, librerie normalmente utilizzate per l’automazione dei flussi di assistenza clienti. Nel contesto malevolo, queste librerie vengono sfruttate per collegarsi alla sessione WhatsApp Web già autenticata, verificare lo stato di login e iniziare a raccogliere i contatti da colpire.
Target focalizzato sul Brasile
La logica di raccolta contatti è chiaramente orientata al Brasile. Il modulo esclude gruppi, broadcast e dispositivi collegati, quindi filtra i numeri mantenendo solo quelli con prefisso +55. Questo indica un focus operativo molto preciso, coerente con l’obiettivo di colpire utenti brasiliani con messaggi nella lingua locale.
Per ogni contatto viene costruita una struttura ordinata con nome, numero e identificatore interno. Successivamente, il malware prepara la sequenza di invio scegliendo un URL da una lista predefinita, sostituendo alcuni pattern con numeri casuali e recuperando un archivio ZIP codificato in Base64 che contiene un downloader di Astaroth.
Anche i messaggi vengono generati in modo dinamico. Il modulo legge l’ora locale per selezionare un saluto adeguato in portoghese, sceglie elementi casuali da liste interne e li inserisce in uno script che invia più messaggi per contatto: un saluto iniziale, l’allegato malevolo e un testo finale pensato per aumentare il tasso di apertura.
Impatto operativo
Questa tecnica può aumentare notevolmente la capacità di propagazione del malware. Un account compromesso può inviare messaggi credibili a molte persone in breve tempo, creando un effetto a catena simile a quello di un worm. Il risultato è un aumento della pressione sugli utenti finali e una maggiore difficoltà nel bloccare la campagna in fase iniziale.
Il rischio non riguarda soltanto il singolo dispositivo infetto. Quando una piattaforma di messaggistica viene trasformata in canale di distribuzione, la campagna può espandersi in ambienti personali e lavorativi con grande rapidità, sfruttando la normale dinamica delle conversazioni.
Inoltre, l’uso di browser headless, profili copiati e strumenti legittimi come WebDriver complica la distinzione tra attività amministrativa e attività malevola. Molte organizzazioni potrebbero non notare subito la differenza, soprattutto se i controlli si concentrano solo sugli eseguibili più noti.
Collegamenti con altre famiglie malware
L’analisi tecnica mostra sovrapposizioni con altre operazioni LATAM basate su WhatsApp Web, tra cui Vareg, WATER SACI ed Eternidade Stealer. Le somiglianze riguardano sia i nomi di alcune variabili e funzioni, sia la struttura della logica di contatto e dei messaggi.
Questi elementi fanno pensare a una possibile condivisione di codice, oppure a un ecosistema criminale in cui gli stessi sviluppatori riutilizzano parti di progetti diversi. In entrambi i casi, il risultato è una maggiore rapidità nell’adattare le campagne a nuovi canali di distribuzione.
La cronologia suggerisce anche una possibile continuità operativa: mentre alcune campagne cessavano o rallentavano, Astaroth integrava il nuovo modulo di spam. Questo rafforza l’ipotesi di un ambiente di sviluppo molto dinamico, con capacità di riuso e adattamento elevate.
Come difendersi
Per ridurre il rischio, conviene partire da misure pratiche e immediate. Non aprire ZIP, eseguibili o downloader ricevuti via chat, anche quando sembrano provenire da un contatto noto. Se il messaggio è insolito, verifica il contenuto con un canale alternativo prima di agire.
Le organizzazioni dovrebbero monitorare alcuni segnali specifici:
- download inattesi di WebDriver tramite PowerShell
- creazione di cartelle insolite come
ChromeAuto_<BROWSER_ID><DATE>inC:\Users\Public\Temp - attività headless di Chromium su porte locali casuali
- richieste non autorizzate verso repository o hosting legati a WPPConnect e WA-JS
Anche la formazione degli utenti resta fondamentale. I messaggi che invitano ad aprire archivi o a seguire istruzioni urgenti dovrebbero essere trattati con sospetto, soprattutto se arrivano tramite WhatsApp. Nei contesti più sensibili, può essere utile valutare il blocco o la limitazione di WhatsApp Web.
IOC rilevanti
Di seguito alcuni indicatori associati al modulo descritto:
- hash SHA256 del componente spambot cifrato:
c7c62303ee1a37fd7a6e2db9c590ba75c647bc4d22d7dca50cfa8879222ac9e1 - hash SHA256 del file di configurazione cifrato:
ec43a17685e3a555c2eb5f0a2802e9e45d5a2a5d49a0803155acbd74d9ecdbd7 - hash SHA256 del componente decifrato:
d89105c4d567a95f674ed6eac538e32e288b658a4222a3d52e284a77782af4d5 - server C2 dell’installer:
stretar7[.]contabilfacil[.]sbs,graconxonjal[.]empresaeficiente[.]sbs,plansonval[.]impostosrapido[.]top
Technical Deep Dive
Il nuovo modulo WhatsApp Web di Astaroth è interessante soprattutto per la sua catena di esecuzione. L’installer contiene il payload cifrato, che viene decrittato in memoria con AES-CTS e poi avviato come componente Delphi a 32 bit. Questa scelta consente agli operatori di mantenere una base tecnica coerente con il resto della famiglia malware e di ridurre le differenze strutturali tra i vari stadi dell’infezione.
La configurazione usa un formato personalizzato con magic word EF01, campi codificati in Base64 e cifratura AES-CBC con CTS. Il controllo HMAC-SHA256, associato a una chiave condivisa tra payload e configurazione, serve a evitare modifiche non autorizzate. Dal punto di vista difensivo, questo significa che la semplice estrazione del file non basta: occorre anche ricostruire la logica di decodifica per interpretare correttamente i parametri operativi.
Il ricorso a WebDriver legittimo per Chrome o Edge è una scelta tattica importante. Invece di portare un browser o un motore di automazione completamente personalizzato, il malware riutilizza componenti normali, scaricandoli tramite PowerShell e avviandoli con un profilo clonato. L’uso di una cartella temporanea pubblica con nomi variabili riduce l’uniformità delle tracce, mentre la modalità headless permette di operare senza una finestra visibile all’utente.
Dal lato dell’interazione con WhatsApp Web, l’impiego di WPPConnect e WA-JS consente al malware di lavorare a livello di interfaccia e di sessione, senza dover reinventare tutta la logica di comunicazione. In termini di analisi, questo crea una zona grigia tra automazione lecita e abuso malevolo. Molte soluzioni di sicurezza possono considerare attendibili i binari o le librerie coinvolte, ma il contesto di esecuzione rivela l’intento reale.
La logica di contatto è progettata per massimizzare la credibilità locale. Il filtro sul prefisso +55, l’esclusione di gruppi e broadcast, l’uso di saluti in portoghese e la composizione dinamica dei messaggi indicano una campagna molto mirata. Il malware non punta a una distribuzione generica, ma a una propagazione coerente con il comportamento quotidiano degli utenti brasiliani.
Dal punto di vista della detection, sono utili regole che correlino più eventi: PowerShell che avvia download di WebDriver, comparsa di directory ChromeAuto, sessioni Chromium headless, traffico verso localhost su porte casuali e accessi a domini sospetti usati come C2. Isolatamente, ciascun evento può sembrare benigno; insieme, costituiscono un profilo di rischio molto più chiaro.
Anche il legame con Vareg, WATER SACI ed Eternidade Stealer merita attenzione. Le somiglianze nei nomi di funzioni e variabili, nella struttura dei campi di configurazione e nella logica di filtraggio suggeriscono un ecosistema criminale capace di riuso rapido del codice. Per i difensori, questo significa che le analisi comportamentali e le regole di correlazione possono essere più efficaci del semplice matching sui singoli hash.
