Game Over: i cybercriminali dirottano strumenti di gioco popolari per scatenare trojan di accesso remoto

Immagina questa scena: sei un gamer impaziente di migliorare le prestazioni con l’ultima utility. Scarichi quello che sembra uno strumento legittimo - magari “Xeno.exe” o “RobloxPlayerBeta.exe” - da un forum o una chat fidati. Ma dietro le quinte hai appena consegnato le chiavi del tuo regno digitale a un cybercriminale. È questa la gelida realtà che i ricercatori di Microsoft Defender hanno scoperto in una nuova ondata di attacchi che prende di mira la community del gaming.

Dentro l’attacco: come i gamer vengono “giocati”

I cybercriminali stanno sfruttando sempre più la fiducia e l’entusiasmo della community del gaming, impacchettando malware insieme a presunti “game booster”, “cheat” o persino launcher aggiornati. Una volta scaricate e aperte, queste utilità trojanizzate avviano una sofisticata catena d’attacco. Invece di ottimizzare il tuo gioco, distribuiscono un downloader malevolo che configura silenziosamente un ambiente runtime Java portatile e attiva un archivio Java nascosto (jd-gui.jar).

Ciò che rende questa campagna particolarmente insidiosa è l’uso delle “living-off-the-land binaries” (LOLBins) - strumenti Windows legittimi come PowerShell e cmstp.exe. Sfruttando processi di sistema affidabili, il malware si confonde con l’attività normale, aggirando molte rilevazioni di sicurezza tradizionali.

Per eludere ulteriormente i controlli, il downloader si elimina dopo l’esecuzione e modifica le impostazioni di Microsoft Defender aggiungendo esclusioni per i propri file. Questo significa che persino l’antivirus integrato potrebbe non scansionare proprio i file che causano il problema. La persistenza è garantita tramite attività pianificate e uno script di avvio (world.vbs), assicurando che il RAT si riattivi ogni volta che il sistema si avvia.

Una volta annidato, il payload finale del malware si connette a un server remoto di comando e controllo, dando agli aggressori la possibilità di rubare dati, scaricare altro malware o eseguire comandi arbitrari. Il risultato: i gamer diventano inconsapevoli host della cassetta degli attrezzi di un hacker, con i loro dati personali, gli account e persino gli asset in-game a rischio.

Microsoft Defender è in grado di rilevare queste minacce, ma la sofisticazione della campagna implica che utenti e amministratori debbano restare vigili. Gli esperti di sicurezza raccomandano di monitorare download sospetti, verificare le esclusioni di Defender e controllare le attività pianificate alla ricerca di voci anomale. Se si sospetta una compromissione, i dispositivi interessati dovrebbero essere isolati e le credenziali reimpostate immediatamente.

Conclusione: la posta in gioco della sicurezza nel gaming

Questa campagna è un duro promemoria del fatto che il mondo del gaming, spesso visto come un parco giochi digitale, è ormai un terreno di caccia redditizio per i cybercriminali. Man mano che gli aggressori diventano più scaltri, mescolando codice malevolo con strumenti fidati, l’onere ricade sia sugli utenti sia sui difensori: restare lucidi. Per i gamer, la migliore difesa è lo scetticismo - non fidarti mai di un download, anche se proviene da una fonte familiare, senza verificarne l’autenticità. In definitiva, un attimo di cautela può fare la differenza tra game on e game over.

WIKICROOK

• Remote Access Trojan (RAT): Un Remote Access Trojan (RAT) è un malware che consente agli aggressori di controllare segretamente il computer di una vittima da qualsiasi luogo, permettendo furto e spionaggio.
• Living: Living off the Land significa che gli aggressori usano strumenti di sistema fidati (LOLBins) per azioni malevole, rendendo le loro attività furtive e difficili da rilevare.
• Command: Un comando è un’istruzione inviata a un dispositivo o a un software, spesso da un server C2, che lo dirige a eseguire azioni specifiche, talvolta per scopi malevoli.
• Persistence: La persistenza comprende tecniche usate dal malware per sopravvivere ai riavvii e restare nascosto nei sistemi, spesso imitando processi o aggiornamenti legittimi.
• Scheduled Task: Un’Attività pianificata è un’azione automatizzata di Windows che esegue programmi o comandi in orari o eventi prestabiliti, spesso presa di mira dagli aggressori per ottenere persistenza.