BatShadow, l’esca ai disoccupati, il malware “Vampire Bot” scritto in Go

Un gruppo di minaccia con nome BatShadow, probabilmente attivo in Vietnam, è recentemente al centro dell’attenzione per una campagna che punta a reclutare vittime fra chi cerca lavoro o svolge attività nel digital marketing inviando offerte false mascherate da opportunità professionali. L’obiettivo: infiltrare sistemi con un malware fino ad oggi poco documentato chiamato Vampire Bot.

La catena di attacco comincia con un’email con allegato ZIP in cui si trova un documento PDF decoy e file pericolosi come shortcut (LNK) o eseguibili mascherati da PDF. Se l’utente apre il file “PDF” — che in realtà è un eseguibile — si attiva uno script PowerShell incluso nel LNK che contatta un server remoto per scaricare ulteriori payload. Fra questi payload c’è una versione “truccata” di XtraViewer (software di accesso remoto) usata probabilmente per mantenere la persistenza su macchine compromesse.

Un inganno ulteriore entra in gioco quando la vittima clicca in un PDF su un link per visualizzare il contenuto dell’offerta: viene reindirizzata a una pagina che dichiara un errore del browser e invita all’uso di Microsoft Edge per “scaricare il file”. In effetti il redirect automatizzato non funziona sui browser moderni, ma l’utente è spinto manualmente a copiare e incollare l’URL in Edge, processo che aggira alcuni blocchi automatici di scripting. A quel punto parte il download di uno ZIP contenente un file eseguibile dal nome truffaldino tipo “Marriott_Marketing_Job_Description.pdf.exe”.

Secondo i ricercatori di Aryaka Threat Research Labs, che hanno segnalato l’attività, il malware Vampire Bot è sviluppato in Go. Non è stata diffusa ancora una reportistica dettagliata su tutte le sue funzionalità, ma l’uso del linguaggio Go permette compatibilità multipiattaforma e potenzialmente una base per evoluzioni future in ambienti meno monitorati.

Al momento non emergono fonti indipendenti note che confermino o smentiscano i dettagli dell’analisi originale: nessun comunicato di vendor antivirus, né report da gruppi di ricerca riconosciuti che ho rintracciato fino a ora. È dunque prudente trattare le affermazioni con attenzione e attendere conferme da altri enti di threat intelligence.

Detto questo, l’episodio illustra molto bene come le minacce moderne non siano più soltanto exploit zero-day o vulnerabilità software, ma campagne di spear-phishing intelligenti, che combinano ingegneria sociale, meccanismi browser-based e trick comportamentali per aggirare le protezioni.