Come gli hacker usano falsi siti di tool open source per dirottare clic e distribuire malware

Scaricare un fidato tool di sicurezza open source come Ghidra o SpiderFoot direttamente da un motore di ricerca è ormai un'attività ad alto rischio. I ricercatori di Check Point hanno documentato una sofisticata e ramificata campagna di distribuzione malware che sfrutta proprio questa fiducia. L'operazione, descritta in un report del 3 giugno 2026, si regge su una rete di siti web contraffatti dall'aspetto professionale che intercettano il traffico degli utenti e lo instradano attraverso un sistema a cancelli per distribuire payload dannosi in modo selettivo .

Non si tratta di un semplice schema di phishing. La campagna combina la manipolazione dei motori di ricerca, il dirottamento dei clic tramite JavaScript ospitato su Amazon CloudFront e un Traffic Distribution System (TDS) con molteplici livelli di anti-analisi, in grado di eludere i sistemi di rilevamento e colpire solo le vittime di maggior valore. L'obiettivo finale è principalmente economico: Check Point ritiene che l'operazione sia fondamentalmente un sistema per acquisire e monetizzare il traffico, che funge anche da condotto di distribuzione per altri attori criminali .

La catena dell'attacco: dal clic su Google al payload malevolo

L'infezione inizia quando un utente cerca un noto software open source. Gli aggressori hanno creato una flotta di siti falsi che imitano le pagine ufficiali di progetti legittimi come Ghidra, dnSpy e SpiderFoot. Si tratta di siti web ben progettati, che spesso citano risorse autentiche e si posizionano in alto nei risultati di ricerca, tanto da sembrare, a prima vista, portali di progetto del tutto affidabili .

L'inganno tecnico scatta quando l'utente interagisce con la pagina. Nel momento in cui una potenziale vittima clicca sul pulsante "Scarica" su uno di questi siti, un livello JavaScript ospitato su CloudFront trasforma quel primo clic in un reindirizzamento. Questo dirotta l'utente nell'infrastruttura TDS della campagna .

Il Traffic Distribution System: filtraggio delle vittime di alto valore

Il TDS agisce come un sofisticato guardiano, non come un semplice reindirizzamento. L'analisi di Check Point rivela che applica molteplici strati di controlli anti-analisi per separare gli utenti reali dai ricercatori di sicurezza, dagli ambienti sandbox e dai crawler automatici. Solo chi supera questi controlli viene instradato verso i payload malevoli finali .

Questa distribuzione selettiva rende la campagna molto più difficile da mappare e aumenta il valore di ogni singola infezione riuscita per i criminali. Per eludere ulteriormente il rilevamento, il sistema utilizza tecniche come chiavi per-sessione e rilasci di chiavi monouso .

Il trio di malware: RemusStealer, AnimateClipper e SessionGate

La campagna è stata osservata mentre distribuiva tre famiglie di malware distinte, ciascuna con un diverso scopo di monetizzazione.

• RemusStealer: Si tratta di un infostealer in vendita come servizio (Malware-as-a-Service, MaaS), commercializzato a un prezzo compreso tra i 250 e i 500 dollari. Prende di mira una vastissima gamma di dati sensibili, tra cui credenziali da oltre 20 browser, dati da più di 220 estensioni per portafogli di criptovalute, password manager e strumenti di autenticazione a due fattori (2FA) .
• AnimateClipper: Un clipper di criptovalute progettato per dirottare le transazioni in tempo reale, sostituendo l'indirizzo del portafoglio che un utente copia con uno controllato dall'aggressore. È in grado di monitorare e intercettare transazioni su oltre 20 diversi ecosistemi blockchain .
• SessionGate: Questo framework, precedentemente sconosciuto, è un loader multi-stadio che utilizza una pesante offuscazione del codice e controlli anti-analisi approfonditi per distribuire applicazioni potenzialmente indesiderate (PUA) o altri payload. Nelle catene d'attacco osservate, funge da punto d'appoggio iniziale e caricatore .

Un'operazione globale e di lunga durata

La portata di questa campagna è significativa. Secondo il report di Check Point, l'ecosistema è attivo dalla fine del 2025 e ha generato oltre 5.000 invii a VirusTotal, indicando un ampio bacino di vittime. Le aree geografiche più colpite sono Turchia, Polonia, Brasile, Germania, Francia, Russia e Regno Unito, ma l'attività è globale .

Per sviluppatori e professionisti della sicurezza, il messaggio è chiaro e urgente: l'epoca in cui si poteva scaricare distrattamente un software da un risultato di ricerca è finita. È indispensabile verificare di trovarsi sul repository ufficiale del progetto, visitare direttamente la pagina GitHub o GitLab conosciuta e insospettirsi di qualsiasi download che non fornisca immediatamente il file previsto. La professionalità con cui sono realizzati questi siti falsi rende la sola ispezione visiva una difesa del tutto insufficiente contro un ecosistema costruito sulla fiducia rubata e sull'inganno automatizzato.