Passa ai contenuti principali

TAG-150, il gruppo MaaS che opera nell’ombra con il malware CastleRAT

Un gruppo cybercriminale emergente, designato come TAG-150, sta lanciando una sofisticata operazione di Malware-as-a-Service (MaaS) senza farsi notare. Solo di recente è emersa la sua attività, grazie alla scoperta di un nuovo malware chiamato CastleRAT. Il gruppo è attivo da almeno marzo 2025, iniziando con il loader CastleLoader, seguito da una naturale estensione dei servizi con CastleBot e ora CastleRAT, un trojan di accesso remoto (RAT) che consente agli attaccanti di controllare a distanza il dispositivo delle vittime.

Gli attacchi sfruttano tecniche subdole, come repository GitHub trappola, siti ingannevoli (ClickFix), phishing che imita librerie software o avvisi di aggiornamento. Chi clicca esegue involontariamente codice dannoso. CastleLoader è stato utilizzato in oltre 1 600 attacchi, con un tasso di successo del 28,7% (~470 infezioni confermate) — numeri sorprendenti per un’operazione così discreta. TAG-150 non si pubblicizza nel Dark Web, rendendo difficile capire chi siano o come si organizzino: probabilmente operano in cerchie molto ristrette.

TAG-150 ha sviluppato due versioni di CastleRAT, una in Python (nota anche come PyNightshade o NightshadeC2) e una in C, ciascuna con caratteristiche specifiche. La versione in Python raccoglie informazioni di sistema e posizione tramite il servizio ip-api.com, comunica con il server ogni pochi secondi, esegue comandi CMD e PowerShell, scarica ed esegue file e può auto-eliminarsi. È molto stealth, spesso non rilevata dagli antivirus. La versione in C ha tutte queste funzioni ma aggiunge capacità avanzate come keylogging, screenshot, upload/download file, furto di criptovalute tramite clipboard hijacking, persistenza, evasione dai controlli e un curioso uso della piattaforma Steam Community come canale nascosto di comunicazione.

I ricercatori hanno inoltre mappato una struttura a più livelli dietro il gruppo: i server di comando e controllo accessibili alle vittime, VPS intermediari, hub principali che utilizzano anche IP residenziali (in alcuni casi in Russia, con comunicazioni via Tox), e infine server di backup e infrastrutture nascoste. TAG-150 sfrutta anche servizi esterni per coprire le tracce, come Oxen/Lokinet, Kleenscan, temp.sh, mega.nz e forum clandestini, oltre a piattaforme impersonate di hosting e file-sharing per diffondere i propri payload.

Per proteggersi, gli esperti consigliano di utilizzare indicatori di compromesso (IoC), regole di rilevamento come YARA/Sigma/Snort, monitorare traffico insolito verso infrastrutture sospette, implementare filtri email e controlli sulle esfiltrazioni di dati, e mantenere sempre aggiornata la threat intelligence per seguire l’evoluzione delle tecniche e dei malware utilizzati.

TAG-150 rappresenta quindi un gruppo MaaS insidioso, capace di operare in silenzio ma con una portata concreta: tassi di infezione elevati e strumenti raffinati per spiare, rubare dati o controllare da remoto. La sua presenza ricorda a tutti quanto sia fondamentale restare vigili, aggiornare i sistemi di protezione e mantenere alta l’attenzione di fronte a minacce che si nascondono proprio dove meno ce lo aspettiamo.

Commenti

Popolari

CTF, talento e gioco di squadra. Il Team Italy pronto alla sfida europea

A Torino è stata presentata la squadra nazionale italiana di cybersicurezza, il Team Italy 2025-2026, composta da dieci studenti selezionati tra licei, istituti tecnici e università chiamati a rappresentare l’Italia nelle prossime competizioni nazionali e internazionali. La squadra parteciperà, a ottobre, allo European Cybersecurity Challenge che si terrà a Varsavia: una vetrina importante dove i giovani talenti mettono alla prova tecniche di difesa e attacco in scenari simulati e controllati. Alla base della preparazione c’è un approccio pratico e collettivo: training e addestramento gratuiti organizzati dal Cybersecurity National Lab del CINI, che trasformano il gioco in formazione concreta per professionisti di domani. Questo percorso mostra come il mondo delle CTF (capture the flag) non sia solo svago ma una palestra fondamentale per allenare competenze applicabili alla protezione di infrastrutture strategiche come ospedali, scuole e aeroporti. Le CTF vanno celebrate: offrono scena...

Il fantasma di Stuxnet. Quanto siamo pronti a fermare un attacco simile nel 2025

Quindici anni dopo la scoperta di Stuxnet, il malware che nel 2010 dimostrò la possibilità concreta di sabotare un impianto industriale attraverso il codice, la domanda sul ripetersi di un’operazione simile è più attuale che mai. All’epoca, la combinazione di zero-day Windows, driver firmati con certificati contraffatti e la manipolazione dei PLC Siemens che controllavano le centrifughe iraniane segnarono una svolta epocale: per la prima volta un’arma informatica aveva prodotto un effetto fisico su larga scala, nascosta dietro feedback falsificati che trassero in inganno gli operatori. Non era un malware generico, né un ransomware, ma una vera e propria operazione militare digitale disegnata per un obiettivo specifico. Dal 2010 al 2025 lo scenario è cambiato radicalmente. Le infrastrutture industriali sono sempre più connesse con reti IT e servizi cloud, ampliando una superficie d’attacco che un tempo era confinata in ambienti isolati. Le tecniche offensive si sono evolute: non solo ma...

iPhone 17 Pro, la nuova frontiera della sicurezza Apple

Apple ha presentato con la serie iPhone 17 (incluse le versioni Pro) una delle sue evoluzioni più importanti in ambito sicurezza, puntando esplicitamente a contrastare spyware sofisticati e vulnerabilità di memoria – tipico punto di ingresso per attacchi mirati. Ecco cosa cambia davvero, cosa resta da fare e perché queste novità sono rilevanti per chi si occupa di sicurezza informatica. Quando si parla di sicurezza sui nuovi iPhone 17 Pro, le innovazioni più significative sono: - Memory Integrity Enforcement (MIE): nuova protezione hardware/software “always-on” che combina vari meccanismi per impedire exploit basati su bug di memoria. - Enhanced Memory Tagging Extension (EMTE): è il “cuore” della protezione, su cui si basa la gestione più sicura della memoria, con tagging, confidenzialità dei tag, e allocatori di memoria più robusti. - Applicazione difensiva su aree sensibili del sistema, incluso il kernel e più di settanta processi “userland” considerati ad alto rischio. - MIE avrà ef...