Il gruppo russo EncryptHub sfrutta la falla "MSC EvilTwin" per distribuire il malware Fickle Stealer

Il gruppo hacker noto come EncryptHub (anche identificato come LARVA-208 o Water Gamayun) ha intensificato una campagna che sfrutta la vulnerabilità CVE-2025-26633—detta “MSC EvilTwin”—per colpire sistemi Microsoft Windows tramite file MSC contraffatti e ingegnosa ingegneria sociale.

La tecnica consiste nell’invio di richieste tramite Microsoft Teams da parte di soggetti che si spacciano per membri del reparto IT. Questo stratagemma induce la vittima a stabilire una connessione remota e a eseguire script PowerShell, tra cui uno denominato runner.ps1, che scarica e attiva due file MSC: uno legittimo e uno malevolo. L’esecuzione del secondo, grazie allo sfruttamento della falla, permette al malware di prendere il controllo del sistema.

Una volta attivo, il malware stabilisce persistenza sul dispositivo, raccoglie informazioni di sistema e comunica con un server di comando e controllo (C2). Tramite un canale AES-criptato, riceve e decripta istruzioni che gli consentono di eseguire ulteriori payload, tra cui il downloader “Fickle Stealer”. Viene inoltre impiegato un loader basato su Golang chiamato SilentCrystal, che utilizza la piattaforma Brave Support per ospitare e distribuire il pacchetto zip contenente i file compromessi — uno stratagemma particolarmente audace, perché l’upload sulla piattaforma è normalmente limitato per account nuovi, suggerendo che gli attaccanti avessero accesso illegittimo a un account con permessi avanzati.

Altri strumenti utilizzati includono:

• Un backdoor Golang in grado di operare sia in modalità client che server e trasmettere metadati del sistema, oltre a facilitare la configurazione dell’infrastruttura C2 tramite il protocollo SOCKS5;
• L’impiego di piattaforme video fasulle come “RivaTalk” per incentivare la vittima a scaricare un installer MSI:
• Questo installa il file legittimo “ELAM” (Early Launch Anti-Malware) di Symantec, che funge da vettore per il caricamento di una DLL malevola;
• La DLL, a sua volta, esegue script PowerShell che esfiltrano dati e attendono comandi crittografati, eseguendoli sul sistema vittima;
• Il malware mostra inoltre un falso popup "System Configuration" come diversivo, mentre effettua traffico di rete fittizio per mascherare le comunicazioni con il C2.

Questa campagna dimostra la crescente sofisticazione di EncryptHub: un mix letale di social engineering, abuso di piattaforme fidate e sofisticazione tecnica. Trustwave SpiderLabs sottolinea l’importanza di strategie di difesa stratificate, aggiornamenti tempestivi, intelligence sulle minacce e formazione continua degli utenti.