Nel panorama delle minacce informatiche per Windows sta emergendo Cruciferra, un crypter avanzato osservato in diverse campagne di phishing e utilizzato da più gruppi cybercriminali. Il suo obiettivo è offuscare i payload malevoli, ridurre le capacità di rilevamento di antivirus ed EDR (Endpoint Detection and Response) e aumentare le probabilità di successo degli attacchi.
Ciò che rende Cruciferra particolarmente insidioso è l’adozione di numerose tecniche di evasione e anti-analisi. Sviluppato in Mono, utilizza routine di cifratura personalizzate che cambiano frequentemente da un campione all’altro, generando un comportamento polimorfico che limita l’efficacia delle firme di rilevamento e delle analisi statiche. Per questo motivo, il rilevamento richiede sempre più un approccio basato sulla telemetria comportamentale.
Le campagne sfruttano principalmente il phishing come vettore iniziale e prendono di mira organizzazioni dei settori finanziario, sanitario, della pubblica amministrazione, dell’istruzione e della manifattura. Una volta eseguito, Cruciferra può rilasciare un payload cifrato sul sistema oppure scaricarlo da un server remoto. Tra i malware distribuiti figurano Agent Tesla, AsyncRAT, Remcos RAT, Formbook, oltre a keylogger e infostealer.
Dal punto di vista tecnico, il crypter impiega DLL side loading, API e IAT unhooking, system call indirette, persistenza tramite chiavi di registro Run e bypass UAC con COM Elevation Moniker, riducendo la visibilità delle proprie attività.
Particolarmente rilevante è l’impiego della tecnica BYOVD (Bring Your Own Vulnerable Driver), che sfrutta driver vulnerabili per terminare i processi degli EDR. A questa si aggiunge una variante di Process Ghosting, che consente di eseguire il payload da un file temporaneo eliminato prima dell’avvio del processo, riducendo gli artefatti forensi e rendendo più difficile il rilevamento basato sui file.
L’evoluzione di Cruciferra conferma come i moderni crypter stiano diventando strumenti sempre più sofisticati, combinando polimorfismo, tecniche di evasione avanzate e abuso di funzionalità legittime di Windows per eludere le difese tradizionali.
