Un gruppo cybercriminale emergente, designato come TAG-150, sta lanciando una sofisticata operazione di Malware-as-a-Service (MaaS) senza farsi notare. Solo di recente è emersa la sua attività, grazie alla scoperta di un nuovo malware chiamato CastleRAT. Il gruppo è attivo da almeno marzo 2025, iniziando con il loader CastleLoader, seguito da una naturale estensione dei servizi con CastleBot e ora CastleRAT, un trojan di accesso remoto (RAT) che consente agli attaccanti di controllare a distanza il dispositivo delle vittime.
Gli attacchi sfruttano tecniche subdole, come repository GitHub trappola, siti ingannevoli (ClickFix), phishing che imita librerie software o avvisi di aggiornamento. Chi clicca esegue involontariamente codice dannoso. CastleLoader è stato utilizzato in oltre 1 600 attacchi, con un tasso di successo del 28,7% (~470 infezioni confermate) — numeri sorprendenti per un’operazione così discreta. TAG-150 non si pubblicizza nel Dark Web, rendendo difficile capire chi siano o come si organizzino: probabilmente operano in cerchie molto ristrette.
TAG-150 ha sviluppato due versioni di CastleRAT, una in Python (nota anche come PyNightshade o NightshadeC2) e una in C, ciascuna con caratteristiche specifiche. La versione in Python raccoglie informazioni di sistema e posizione tramite il servizio ip-api.com, comunica con il server ogni pochi secondi, esegue comandi CMD e PowerShell, scarica ed esegue file e può auto-eliminarsi. È molto stealth, spesso non rilevata dagli antivirus. La versione in C ha tutte queste funzioni ma aggiunge capacità avanzate come keylogging, screenshot, upload/download file, furto di criptovalute tramite clipboard hijacking, persistenza, evasione dai controlli e un curioso uso della piattaforma Steam Community come canale nascosto di comunicazione.
I ricercatori hanno inoltre mappato una struttura a più livelli dietro il gruppo: i server di comando e controllo accessibili alle vittime, VPS intermediari, hub principali che utilizzano anche IP residenziali (in alcuni casi in Russia, con comunicazioni via Tox), e infine server di backup e infrastrutture nascoste. TAG-150 sfrutta anche servizi esterni per coprire le tracce, come Oxen/Lokinet, Kleenscan, temp.sh, mega.nz e forum clandestini, oltre a piattaforme impersonate di hosting e file-sharing per diffondere i propri payload.
Per proteggersi, gli esperti consigliano di utilizzare indicatori di compromesso (IoC), regole di rilevamento come YARA/Sigma/Snort, monitorare traffico insolito verso infrastrutture sospette, implementare filtri email e controlli sulle esfiltrazioni di dati, e mantenere sempre aggiornata la threat intelligence per seguire l’evoluzione delle tecniche e dei malware utilizzati.
TAG-150 rappresenta quindi un gruppo MaaS insidioso, capace di operare in silenzio ma con una portata concreta: tassi di infezione elevati e strumenti raffinati per spiare, rubare dati o controllare da remoto. La sua presenza ricorda a tutti quanto sia fondamentale restare vigili, aggiornare i sistemi di protezione e mantenere alta l’attenzione di fronte a minacce che si nascondono proprio dove meno ce lo aspettiamo.
Commenti
Posta un commento