Trojan Horse Crypt: come il malware si nasconde in file legittimi e come proteggersi
Cos'è un Trojan Horse Crypt?
Un Trojan horse crypt (o Trojan criptato) è malware avvolto in crittografia od offuscamento dentro un file apparentemente legittimo. Come il mito greco, inganna gli utenti ad "aprire le porte" eseguendo ciò che sembra un documento, installer o file multimediale innocuo.
Come funziona la catena d'attacco
- Arma: Gli attaccanti incorporano payload malevolo (RAT, keylogger, ransomware, stealer) in un file vettore benigno (PDF, .docx, .exe, .apk).
- Criptazione: Il payload è cifrato con crypter personalizzato o commerciale (es. .NET Reactor, VMProtect, routine XOR/AES custom) per evadere detection AV signature-based.
- Consegna: Email phishing (fattura, CV, avviso spedizione), annunci malevoli, download software compromessi, falsi aggiornamenti.
- Ingegneria sociale: Urgenza, impersonazione autorità, curiosità o paura spingono l'utente a bypassare avvisi ed eseguire.
- Esecuzione e decriptazione: All'avvio, lo stub decripta il payload in memoria (spesso usando process hollowing, reflective DLL injection, o syscall dirette) ed esegue — lasciando minimi artefatti su disco.
- Persistenza: Task pianificate, chiavi Run, sottoscrizioni eventi WMI, DLL side-loading, o driver kernel assicurano sopravvivenza tra riavvii.
Attività malevole comuni post-esecuzione
- Raccolta credenziali (password browser, chiavi Wi-Fi, wallet crypto)
- Keylogging e cattura schermo
- Accesso desktop remoto (RAT)
- Movimento laterale via SMB, RDP, Pass-the-Hash
- Deployment ransomware o esfiltrazione dati
- Cryptojacking (mining CPU/GPU)
Strategie detection e prevenzione
| Livello | Controlli |
|---|
| Utente | Formazione awareness sicurezza; verificare mittente via canale separato; non abilitare macro/contenuto senza approvazione IT |
| Email | DMARC/DKIM/SPF; sandbox allegati; riscrittura link; bloccare estensioni ad alto rischio (.exe, .scr, .js, .vbs) |
| Endpoint | Next-gen AV/EDR con AI comportamentale, scansione memoria, integrazione AMSI; application control (AppLocker/WDAC) |
| Rete | Filtraggio DNS; ispezione TLS; segmentazione zero-trust; monitoraggio egress per beaconing C2 |
| Sistema | Patch OS/app tempestive; disabilitare PowerShell v2, WScript, SMBv1; imporre minimo privilegio |
Punto chiave: Nessun singolo strumento ferma tutti i Trojan criptati. Defense-in-depth — combinando vigilanza utente, controlli tecnici e detection/response rapida — è essenziale.