Come gli hacker usano falsi siti di tool open source per dirottare clic e distribuire malware
Una vasta campagna malware, scoperta da Check Point il 3 giugno 2026, utilizza siti falsi dall'aspetto professionale per tool come Ghidra, dnSpy e SpiderFoot per incanalare gli utenti in un Traffic Distribution System... L'ecosistema è attivo dalla fine del 2025 e ha generato oltre 5.000 invii a VirusTotal, con un b...
Pubblicato daModificato con DeepSeek-V4-ProImmagini generate con GPT Image 1.5
Una vasta campagna malware, scoperta da Check Point il 3 giugno 2026, utilizza siti falsi dall'aspetto professionale per tool come Ghidra, dnSpy e SpiderFoot per incanalare gli utenti in un Traffic Distribution System...
L'ecosistema è attivo dalla fine del 2025 e ha generato oltre 5.000 invii a VirusTotal, con un bacino di vittime concentrato principalmente in Turchia, Polonia, Brasile, Germania, Francia, Russia e Regno Unito.
La catena d'attacco inizia con risultati di ricerca per noti software open source, dirotta il primo clic sul pulsante 'download' tramite codice JavaScript ospitato su Amazon CloudFront e filtra gli utenti attraverso u...
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Scaricare un fidato tool di sicurezza open source come Ghidra o SpiderFoot direttamente da un motore di ricerca è ormai un'attività ad alto rischio. I ricercatori di Check Point hanno documentato una sofisticata e ramificata campagna di distribuzione malware che sfrutta proprio questa fiducia. L'operazione, descritta in un report del 3 giugno 2026, si regge su una rete di siti web contraffatti dall'aspetto professionale che intercettano il traffico degli utenti e lo instradano attraverso un sistema a cancelli per distribuire payload dannosi in modo selettivo .
Non si tratta di un semplice schema di phishing. La campagna combina la manipolazione dei motori di ricerca, il dirottamento dei clic tramite JavaScript ospitato su Amazon CloudFront e un Traffic Distribution System (TDS) con molteplici livelli di anti-analisi, in grado di eludere i sistemi di rilevamento e colpire solo le vittime di maggior valore. L'obiettivo finale è principalmente economico: Check Point ritiene che l'operazione sia fondamentalmente un sistema per acquisire e monetizzare il traffico, che funge anche da condotto di distribuzione per altri attori criminali .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Come gli hacker usano falsi siti di tool open source per dirottare clic e distribuire malware"?
Una vasta campagna malware, scoperta da Check Point il 3 giugno 2026, utilizza siti falsi dall'aspetto professionale per tool come Ghidra, dnSpy e SpiderFoot per incanalare gli utenti in un Traffic Distribution System...
What are the key points to validate first?
Una vasta campagna malware, scoperta da Check Point il 3 giugno 2026, utilizza siti falsi dall'aspetto professionale per tool come Ghidra, dnSpy e SpiderFoot per incanalare gli utenti in un Traffic Distribution System... L'ecosistema è attivo dalla fine del 2025 e ha generato oltre 5.000 invii a VirusTotal, con un bacino di vittime concentrato principalmente in Turchia, Polonia, Brasile, Germania, Francia, Russia e Regno Unito.
What should I do next in practice?
La catena d'attacco inizia con risultati di ricerca per noti software open source, dirotta il primo clic sul pulsante 'download' tramite codice JavaScript ospitato su Amazon CloudFront e filtra gli utenti attraverso u...
Come gli hacker usano falsi siti di tool open source per dirottare clic e distribuire malware
Una vasta campagna malware, scoperta da Check Point il 3 giugno 2026, utilizza siti falsi dall'aspetto professionale per tool come Ghidra, dnSpy e SpiderFoot per incanalare gli utenti in un Traffic Distribution System... L'ecosistema è attivo dalla fine del 2025 e ha generato oltre 5.000 invii a VirusTotal, con un b...
Pubblicato daModificato con DeepSeek-V4-ProImmagini generate con GPT Image 1.5
Una vasta campagna malware, scoperta da Check Point il 3 giugno 2026, utilizza siti falsi dall'aspetto professionale per tool come Ghidra, dnSpy e SpiderFoot per incanalare gli utenti in un Traffic Distribution System...
L'ecosistema è attivo dalla fine del 2025 e ha generato oltre 5.000 invii a VirusTotal, con un bacino di vittime concentrato principalmente in Turchia, Polonia, Brasile, Germania, Francia, Russia e Regno Unito.
La catena d'attacco inizia con risultati di ricerca per noti software open source, dirotta il primo clic sul pulsante 'download' tramite codice JavaScript ospitato su Amazon CloudFront e filtra gli utenti attraverso u...
What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating plaAI-generated editorial hero image for What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the sprawling malware campaign documented by Check Point on June 3, 2026, that uses fake open-source tool websites impersonating pla. Article summary: This is the campaign documented by **Check Point Research on June 3, 2026**, titled **"Impersonation, Click Hijacking, and TDS: Inside a Malware Distribution Ecosystem"** [6]. Here is a summary of the key findings direct. Topic tags: general, education, general web. Reference image context from search candidates: Reference image 1: visual subject "Cybersecurity researchers have flagged a large-scale operation that impersonates open-source and freeware projects to funnel unsuspecting users through a Traffic Distribution Syste" source context "Fake Sites Mimicking Open-Source Tools Rank High on Google to ..." Reference image 2: visual subject "# Fake Open-Source
openai.com
Scaricare un fidato tool di sicurezza open source come Ghidra o SpiderFoot direttamente da un motore di ricerca è ormai un'attività ad alto rischio. I ricercatori di Check Point hanno documentato una sofisticata e ramificata campagna di distribuzione malware che sfrutta proprio questa fiducia. L'operazione, descritta in un report del 3 giugno 2026, si regge su una rete di siti web contraffatti dall'aspetto professionale che intercettano il traffico degli utenti e lo instradano attraverso un sistema a cancelli per distribuire payload dannosi in modo selettivo .
Non si tratta di un semplice schema di phishing. La campagna combina la manipolazione dei motori di ricerca, il dirottamento dei clic tramite JavaScript ospitato su Amazon CloudFront e un Traffic Distribution System (TDS) con molteplici livelli di anti-analisi, in grado di eludere i sistemi di rilevamento e colpire solo le vittime di maggior valore. L'obiettivo finale è principalmente economico: Check Point ritiene che l'operazione sia fondamentalmente un sistema per acquisire e monetizzare il traffico, che funge anche da condotto di distribuzione per altri attori criminali .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Come gli hacker usano falsi siti di tool open source per dirottare clic e distribuire malware"?
Una vasta campagna malware, scoperta da Check Point il 3 giugno 2026, utilizza siti falsi dall'aspetto professionale per tool come Ghidra, dnSpy e SpiderFoot per incanalare gli utenti in un Traffic Distribution System...
What are the key points to validate first?
Una vasta campagna malware, scoperta da Check Point il 3 giugno 2026, utilizza siti falsi dall'aspetto professionale per tool come Ghidra, dnSpy e SpiderFoot per incanalare gli utenti in un Traffic Distribution System... L'ecosistema è attivo dalla fine del 2025 e ha generato oltre 5.000 invii a VirusTotal, con un bacino di vittime concentrato principalmente in Turchia, Polonia, Brasile, Germania, Francia, Russia e Regno Unito.
What should I do next in practice?
La catena d'attacco inizia con risultati di ricerca per noti software open source, dirotta il primo clic sul pulsante 'download' tramite codice JavaScript ospitato su Amazon CloudFront e filtra gli utenti attraverso u...
La catena dell'attacco: dal clic su Google al payload malevolo
L'infezione inizia quando un utente cerca un noto software open source. Gli aggressori hanno creato una flotta di siti falsi che imitano le pagine ufficiali di progetti legittimi come Ghidra, dnSpy e SpiderFoot. Si tratta di siti web ben progettati, che spesso citano risorse autentiche e si posizionano in alto nei risultati di ricerca, tanto da sembrare, a prima vista, portali di progetto del tutto affidabili .
L'inganno tecnico scatta quando l'utente interagisce con la pagina. Nel momento in cui una potenziale vittima clicca sul pulsante "Scarica" su uno di questi siti, un livello JavaScript ospitato su CloudFront trasforma quel primo clic in un reindirizzamento. Questo dirotta l'utente nell'infrastruttura TDS della campagna .
Il Traffic Distribution System: filtraggio delle vittime di alto valore
Il TDS agisce come un sofisticato guardiano, non come un semplice reindirizzamento. L'analisi di Check Point rivela che applica molteplici strati di controlli anti-analisi per separare gli utenti reali dai ricercatori di sicurezza, dagli ambienti sandbox e dai crawler automatici. Solo chi supera questi controlli viene instradato verso i payload malevoli finali .
Questa distribuzione selettiva rende la campagna molto più difficile da mappare e aumenta il valore di ogni singola infezione riuscita per i criminali. Per eludere ulteriormente il rilevamento, il sistema utilizza tecniche come chiavi per-sessione e rilasci di chiavi monouso .
Il trio di malware: RemusStealer, AnimateClipper e SessionGate
La campagna è stata osservata mentre distribuiva tre famiglie di malware distinte, ciascuna con un diverso scopo di monetizzazione.
RemusStealer: Si tratta di un infostealer in vendita come servizio (Malware-as-a-Service, MaaS), commercializzato a un prezzo compreso tra i 250 e i 500 dollari. Prende di mira una vastissima gamma di dati sensibili, tra cui credenziali da oltre 20 browser, dati da più di 220 estensioni per portafogli di criptovalute, password manager e strumenti di autenticazione a due fattori (2FA) .
AnimateClipper: Un clipper di criptovalute progettato per dirottare le transazioni in tempo reale, sostituendo l'indirizzo del portafoglio che un utente copia con uno controllato dall'aggressore. È in grado di monitorare e intercettare transazioni su oltre 20 diversi ecosistemi blockchain .
SessionGate: Questo framework, precedentemente sconosciuto, è un loader multi-stadio che utilizza una pesante offuscazione del codice e controlli anti-analisi approfonditi per distribuire applicazioni potenzialmente indesiderate (PUA) o altri payload. Nelle catene d'attacco osservate, funge da punto d'appoggio iniziale e caricatore .
Un'operazione globale e di lunga durata
La portata di questa campagna è significativa. Secondo il report di Check Point, l'ecosistema è attivo dalla fine del 2025 e ha generato oltre 5.000 invii a VirusTotal, indicando un ampio bacino di vittime. Le aree geografiche più colpite sono Turchia, Polonia, Brasile, Germania, Francia, Russia e Regno Unito, ma l'attività è globale .
Per sviluppatori e professionisti della sicurezza, il messaggio è chiaro e urgente: l'epoca in cui si poteva scaricare distrattamente un software da un risultato di ricerca è finita. È indispensabile verificare di trovarsi sul repository ufficiale del progetto, visitare direttamente la pagina GitHub o GitLab conosciuta e insospettirsi di qualsiasi download che non fornisca immediatamente il file previsto. La professionalità con cui sono realizzati questi siti falsi rende la sola ispezione visiva una difesa del tutto insufficiente contro un ecosistema costruito sulla fiducia rubata e sull'inganno automatizzato.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
La catena dell'attacco: dal clic su Google al payload malevolo
L'infezione inizia quando un utente cerca un noto software open source. Gli aggressori hanno creato una flotta di siti falsi che imitano le pagine ufficiali di progetti legittimi come Ghidra, dnSpy e SpiderFoot. Si tratta di siti web ben progettati, che spesso citano risorse autentiche e si posizionano in alto nei risultati di ricerca, tanto da sembrare, a prima vista, portali di progetto del tutto affidabili .
L'inganno tecnico scatta quando l'utente interagisce con la pagina. Nel momento in cui una potenziale vittima clicca sul pulsante "Scarica" su uno di questi siti, un livello JavaScript ospitato su CloudFront trasforma quel primo clic in un reindirizzamento. Questo dirotta l'utente nell'infrastruttura TDS della campagna .
Il Traffic Distribution System: filtraggio delle vittime di alto valore
Il TDS agisce come un sofisticato guardiano, non come un semplice reindirizzamento. L'analisi di Check Point rivela che applica molteplici strati di controlli anti-analisi per separare gli utenti reali dai ricercatori di sicurezza, dagli ambienti sandbox e dai crawler automatici. Solo chi supera questi controlli viene instradato verso i payload malevoli finali .
Questa distribuzione selettiva rende la campagna molto più difficile da mappare e aumenta il valore di ogni singola infezione riuscita per i criminali. Per eludere ulteriormente il rilevamento, il sistema utilizza tecniche come chiavi per-sessione e rilasci di chiavi monouso .
Il trio di malware: RemusStealer, AnimateClipper e SessionGate
La campagna è stata osservata mentre distribuiva tre famiglie di malware distinte, ciascuna con un diverso scopo di monetizzazione.
RemusStealer: Si tratta di un infostealer in vendita come servizio (Malware-as-a-Service, MaaS), commercializzato a un prezzo compreso tra i 250 e i 500 dollari. Prende di mira una vastissima gamma di dati sensibili, tra cui credenziali da oltre 20 browser, dati da più di 220 estensioni per portafogli di criptovalute, password manager e strumenti di autenticazione a due fattori (2FA) .
AnimateClipper: Un clipper di criptovalute progettato per dirottare le transazioni in tempo reale, sostituendo l'indirizzo del portafoglio che un utente copia con uno controllato dall'aggressore. È in grado di monitorare e intercettare transazioni su oltre 20 diversi ecosistemi blockchain .
SessionGate: Questo framework, precedentemente sconosciuto, è un loader multi-stadio che utilizza una pesante offuscazione del codice e controlli anti-analisi approfonditi per distribuire applicazioni potenzialmente indesiderate (PUA) o altri payload. Nelle catene d'attacco osservate, funge da punto d'appoggio iniziale e caricatore .
Un'operazione globale e di lunga durata
La portata di questa campagna è significativa. Secondo il report di Check Point, l'ecosistema è attivo dalla fine del 2025 e ha generato oltre 5.000 invii a VirusTotal, indicando un ampio bacino di vittime. Le aree geografiche più colpite sono Turchia, Polonia, Brasile, Germania, Francia, Russia e Regno Unito, ma l'attività è globale .
Per sviluppatori e professionisti della sicurezza, il messaggio è chiaro e urgente: l'epoca in cui si poteva scaricare distrattamente un software da un risultato di ricerca è finita. È indispensabile verificare di trovarsi sul repository ufficiale del progetto, visitare direttamente la pagina GitHub o GitLab conosciuta e insospettirsi di qualsiasi download che non fornisca immediatamente il file previsto. La professionalità con cui sono realizzati questi siti falsi rende la sola ispezione visiva una difesa del tutto insufficiente contro un ecosistema costruito sulla fiducia rubata e sull'inganno automatizzato.
rescana.com
Active Exploitation Alert: Fake Open-Source Software Sites ...
