Il panorama delle minacce informatiche continua a evolversi verso un modello sempre più orientato al Cybercrime-as-a-Service. Una delle ultime scoperte, denominata Cruciferra dai ricercatori di Proofpoint, è un avanzato servizio di crypter venduto sui forum underground per circa 2.000 dollari al mese. L'obiettivo primario di questo strumento è eludere i controlli delle moderne soluzioni di Endpoint Detection and Response (EDR) e far letteralmente scomparire i payload malevoli dal disco.

Tecniche avanzate di evasione

Cruciferra si distingue per l'implementazione congiunta di tecniche estremamente complesse e stratificate. Il crypter si basa fortemente sullo sfruttamento della tecnica Bring Your Own Vulnerable Driver (BYOVD) e sull'utilizzo di chiamate di sistema (syscall) indirette per aggirare l'hooking degli EDR. A questo si aggiunge una variante proprietaria di Process Ghosting, che consente all'attaccante di eseguire codice maligno in memoria senza lasciare tracce evidenti nei file system tradizionali o nei registri dei processi attivi.

Un ecosistema di RAT e Infostealer

I ricercatori hanno osservato che Cruciferra è ampiamente utilizzato da numerosi gruppi di attaccanti (tra cui il noto TA4922) per distribuire in sicurezza famiglie di malware consolidate. Tra i payload maggiormente diffusi e protetti da questo crypter figurano AsyncRAT, Agent Tesla e Remcos RAT. L'impiego di una soluzione "premium" per proteggere strumenti comunemente disponibili sottolinea quanto gli attaccanti siano disposti a investire per massimizzare il tasso di successo delle loro campagne.

La comparsa di strumenti con le capacità tecniche di Cruciferra obbliga i team di sicurezza a un costante aggiornamento delle difese, spostando sempre più l'attenzione sull'analisi comportamentale avanzata e sulla correlazione degli eventi in memoria piuttosto che sul semplice rilevamento basato su firme.