Malware WhatsApp su Windows: iniezione SYSTEM con PoolParty e driver BYOVD

Un malware diffuso tramite allegati WhatsApp con lure di documenti finanziari esegue una catena di escalation che culmina in privilegi LocalSystem senza exploit di vulnerabilità locali, secondo un'analisi di Morphisec pubblicata il 12 ottobre 2026. La campagna dimostra come i canali di messaggistica personale aggirino i controlli di sicurezza email tradizionali, mentre la combinazione di iniezione PoolParty, BYOVD e DLL side-loading rende il rilevamento estremamente complesso per i team di sicurezza.

Come il loader supera le difese endpoint

Il file Statement-846143734.exe, payload iniziale della catena, è un wrapper compresso con algoritmo NRV2E che decomprime il loader senza scrivere su disco, secondo il report tecnico di Morphisec. Prima di procedere, il loader esegue uno screening dell'host su otto parametri: display, storage, CPU, event log, registry marker, indicatori di virtualizzazione, reparse point DLL di sistema e presenza di processi Baidu.

Il meccanismo anti-emulazione si basa su timing gates D3D11 da 50 millisecondi. Due gate consecutivi misurano la risposta del sistema: un ritardo sul primo distrugge il container della shellcode, un ritardo sul secondo cancella il PID target e il payload. Il loader implementa inoltre otto varianti di integrity interpreter che proteggono 176 punti di ingresso funzione contro hook di sicurezza.

Da utente a SYSTEM con PoolParty Variant 7

L'escalation privilegi inizia con tecniche documentate di COM auto-elevation attraverso CLSID specifici, con meccanismo di fallback tramite ShellExecuteW con parametro runas. Una volta ottenuto un token elevato, il malware abilita SeDebugPrivilege e sostituisce la copia di ntdll.dll in memoria con una versione pulita, eliminando hook installati da soluzioni EDR.

Il passaggio decisivo avviene con PoolParty Variant 7, tecnica di iniezione nel thread pool I/O completion del servizio Windows Task Scheduler. Il malware scrive TP_DIRECT callback attraverso la coda di completamento I/O, evitando completamente la chiamata CreateRemoteThread che la maggior parte degli strumenti di sicurezza monitora. Task Scheduler esegue come LocalSystem: il processo iniettato eredita questo token senza necessità di ulteriore escalation, secondo quanto documentato da Morphisec.

"After unpacking, the loader screened the host, attempted elevation, and injected a downloader into the LocalSystem Task Scheduler process" — Morphisec, citato da The Hacker News

Il bundle di deployment: BYOVD, Vulkan e WebSocket C2

Il downloader iniettato stabilisce una connessione HTTP POST verso 61.18.208.27 sulla porta 8888 e valida la risposta tramite header magico 0x0207. Il corpo della risposta contiene un reflective loader che decodifica Huffman e mappa manualmente una Deployment DLL. Questa componente opera su tre percorsi simultanei: deploy del driver GoFly64.sys, esecuzione del RAT da memoria, e scrittura del pacchetto persistente Vulkan.

GoFly64.sys è un driver firmato cinese di network filter che il malware abusa in modalità Bring Your Own Vulnerable Driver. Espone l'IOCTL 0x12227A per ricevere PID di processi Baidu e terminarli da ring 0, neutralizzando le difese endpoint del vendor cinese. Contestualmente, il pacchetto persistente viene scritto in C:\Program Files\Common Files\: vulkaninfo-64.exe, binario legittimo firmato Intel, carica vulkan-1.dll malevola dalla directory dell'applicazione prima di cercare in System32. Un task schedulato di sistema denominato USOPrivate Kit avvia l'eseguibile a boot con privilegi SYSTEM, completando la catena di persistenza.

Il RAT finale, identificato come VulcanRAT207.A, stabilisce connessione WebSocket v13 verso lo stesso indirizzo C2 61.18.208.27:8888. Le capacità documentate includono system reconnaissance, operazioni su file, shell execution, modifica clipboard, creazione account e cambio password, accesso Event Log, remote desktop e screen capture.

Cosa fare adesso

I team di sicurezza devono implementare immediatamente hunting attivo per gli indicatori di compromissione specifici documentati da Morphisec: il task schedulato denominato USOPrivate Kit, la presenza di file Vulkan in C:\Program Files\Common Files\, e connessioni in uscita verso 61.18.208.27 sulla porta 8888. I tre hash SHA-256 forniti nel report — 0c418989bbc836208a087dee8fd64210f58909dddf736bc94769c269f65c26eb, be740b05caead2fa4521f42da0653a10f53029df5455ebafe4701ab3d41afdf9, e 6833b1946ac219cf6ddf6cfbde1f81352b12d9125c8735961b5256216c4fdc49 — devono essere inseriti nei blocchi hash dei sistemi di rilevamento.

La catena tecnica evidenzia un gap di difesa critico: i controlli di sicurezza email tradizionali non intercettano minacce consegnate tramite piattaforme di messaggistica consumer come WhatsApp. Le organizzazioni devono estendere la visibilità SOC a questi canali o implementare policy di accesso che limitano l'uso di servizi di messaging personale su endpoint aziendali. La rilevabilità di PoolParty Variant 7 richiede inoltre monitoraggio delle operazioni su thread pool I/O completion, anomalo per processi legittimi di Task Scheduler.

Attribuzione e limiti del dossier

Proofpoint ha documentato campagne con file Vulkan-themed associate al cluster TA4922 di lingua cinese, ma l'attribuzione di questa specifica intrusione al medesimo attore non è confermata nelle fonti disponibili. Il dossier non specifica la data esatta di inizio campagna, il numero di vittime confermate, i settori targetizzati, né la modalità precisa di consegna WhatsApp — contatto diretto, gruppi o business API.

Non emergono sovrapposizioni infrastrutturali che colleghino questa campagna a intrusioni precedentemente attribuite allo stesso cluster. La natura dei dati eventualmente esfiltrati non è dichiarata nelle fonti, e il brief non documenta misure correttive specifiche rilasciate da vendor di sicurezza o da Microsoft.

Perché questa campagna cambia il perimetro di difesa

La catena VulcanRAT207.A dimostra che gli attori delle minacce hanno internalizzato le tecniche di evasione più sofisticate: non exploitano vulnerabilità zero-day, ma abusano meccanismi legittimi di Windows e binari firmati per rendere ogni stadio dell'attacco tecnicamente plausibile. L'iniezione PoolParty trasforma un processo utente in SYSTEM senza anomalie rilevabili dalla maggior parte degli EDR; il BYOVD con driver cinese sfrutta la fiducia automatica nei certificati di firma; il DLL side-loading di utility Vulkan sfrutta la legittimità percepita di binari Intel.

Il perimetro di difesa aziendale è costruito per intercettare email malevole e bloccare allegati sospetti. Quando il vettore diventa un messaggio WhatsApp su dispositivo personale collegato alla stessa sessione Windows, quel perimetro non esiste più. La domanda per i CISO non è più se aggiornare le regole antispam, ma se il SOC ha visibilità sui canali che gli utenti realmente utilizzano per ricevere documenti.

Fonti

• https://gbhackers.com/whatsapp-delivered-malware/amp/
• https://gbhackers.com/whatsapp-delivered-malware/
• https://thehackernews.com/2026/10/threatsday-ransomware-affiliate.html
• https://www.morphisec.com/blog/copy-of-how-to-stop-ransomware-before-execution/
• https://www.stepsecurity.io/blog/subql-ecosystem-compromised
• https://www.resecurity.com/blog/article/session-cookie-authentication-bypass-predictable-signing-secret-enableds-account-impersonations
• https://github.com/subquery/subql/issues/3047
• https://github.com/EmergingThreats/threatresearch/commit/f7721c28c9f30b905a3ec0c66a0eec0edffec8cb
• https://thehackernews.com/2026/02/open-vsx-supply-chain-attack-used.html

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti