Cybercriminali stanno distribuendo il malware Noodlophile Stealer attraverso piattaforme false di generazione video AI, sfruttando l'entusiasmo pubblico per l'intelligenza artificiale come vettore di ingegneria sociale. Il meccanismo non è un tradizionale attacco push: le vittime vengono indotte a caricare contenuti personali e a scaricare attivamente file malevoli, convinte di ricevere un prodotto legittimo. La campagna, documentata da Morphisec, rappresenta un caso studio emblematico di come il modello di business "upload your face, get a video" sia diventato un veicolo perfetto per l'infezione.
- Noodlophile Stealer è un malware precedentemente non documentato nei tracker pubblici, con capacità di furto credenziali browser, wallet di criptovalute e dati sensibili
- Le piattaforme false di AI video generation vengono pubblicizzate tramite gruppi Facebook legittimi-appearing con oltre 62.000 visualizzazioni su singoli post
- La catena di infezione si articola in stadi multipli: C++ wrapper, .NET loader, batch, Python e infine shellcode con PE hollowing in RegAsm.exe
- In molti casi il deploy di Noodlophile è accompagnato da XWorm, un remote access trojan che garantisce controllo persistente del sistema compromesso
Come funziona il funnel di infezione: dall'AI promise al payload
Il vettore iniziale si distingue per l'inversione del modello di minaccia tradizionale. Invece di spingere malware verso la vittima, il sistema induce l'utente a tirare il payload attraverso un'interazione apparentemente legittima: upload di foto, elaborazione AI, download del risultato. La psicologia dell'attesa attiva rende la vittima predisposta a bypassare avvisi di sicurezza, avendo personalmente iniziato il processo.
Il file scaricato è un archivio ZIP denominato VideoDreamAI.zip, contenente un eseguibile con nome mascherato: "Video Dream MachineAI.mp4. .exe". Gli spazi nascondono l'estensione .exe reale, una tecnica di mascheramento che sfrutta il rendering dei nomi file in alcune interfacce utente.
L'eseguibile è una versione repurposed di CapCut, tool di editing video legittimo, versione 445.0, firmata con certificato creato via Winauth. CapCut.exe pesa circa 140 MB, dimensione anormalmente grande che aiuta a evadere scanner statici assomigliando a software legittimo. Al suo interno contiene circa 275 PE file embedded, principalmente assembly .NET, caricati in-memory tramite API di .NET runtime hosting.
La catena multi-stadio: evasione a livelli multipli
Dopo l'esecuzione iniziale, il payload C++ delega a componenti .NET che orchestrano il caricamento in-memory di assembly aggiuntivi. La tecnica sfrutta la trust associata a un brand legittimo e l'esecuzione in memoria per evitare la scrittura su disco di artefatti facilmente rilevabili.
Uno stadio intermedio utilizza certutil.exe, un LOLBin legittimo di Windows, per decodificare un file denominato Document.pdf in un archivio RAR. L'uso di strumenti di sistema preinstallati riduce la superficie di rilevamento da parte di soluzioni EDR che si basano su indicatori di tool malevoli noti.
Il payload finale in Python include Worm 5.2, con meccanismi di propagazione tramite shellcode loader e PE hollowing in RegAsm.exe. La persistenza è garantita da una registrazione nella Run key del sistema. L'esfiltrazione avviene tramite comunicazione con un bot Telegram, un pattern documentato anche in malware correlati del threat landscape.
"Instead of relying on traditional phishing or cracked software sites, they build convincing AI-themed platforms—often advertised via legitimate-looking Facebook groups and viral social media campaigns" — Morphisec threat analysis
Cosa fare adesso
Le organizzazioni devono trattare le piattaforme di generazione video AI non verificate come rischio di shadow IT specifico: bloccare il dominio e l'esecuzione di file ZIP con doppia estensione mascherata da spazi, pattern esemplificato da "Video Dream MachineAI.mp4. .exe".
I team di sicurezza devono aggiornare le regole EDR per rilevare l'abuso di certutil.exe nella decodifica di file PDF in archivi RAR, tecnica documentata nella catena Noodlophile. Monitorare il caricamento in-memory di assembly .NET da binari C++ anormalmente grandi: i ~140 MB di CapCut.exe repurposed e i ~275 PE file embedded sono indicatori di anomalia misurabili.
Verificare la presenza di connessioni a bot Telegram da processi non autorizzati, canale di esfiltrazione confermato per Noodlophile Stealer. Controllare la Run key per voci associate a cartelle con nome statico "5.0.0.1886", attributo di sistema nascosto usato per persistenza.
Gli utenti devono riconoscere che l'upload di foto personali su piattaforme AI gratuite con promesse di "video generato" è il vettore documentato di questa campagna, con 62.000+ visualizzazioni su singoli post Facebook che amplificano il reach.
Perché è importante
Il dossier non specifica la natura esatta dei dati esfiltrati oltre a credenziali browser, wallet di criptovalute e dati sensibili. Non documenta misure correttive specifiche adottate dai responsabili delle piattaforme o interventi di law enforcement.
La fonte non specifica se il certificato Winauth sia stato revocato, né se le piattaforme false identificate siano ancora attive. La data esatta di inizio della campagna Noodlophile non è disponibile, così come il numero preciso di vittime o entità geografiche colpite.
La lettura: quando l'entusiasmo per l'AI supera la verifica
Il target designato di queste campagne rivela una logica di selezione precisa. Creatori di contenuti, piccole imprese e utenti generici che esplorano strumenti AI gratuiti costituiscono un profilo di rischio elevato: meno consapevoli dei rischi di sicurezza rispetto a utenti tecnici, propensi a installare software sconosciuto per "provare" l'AI. Il meccanismo di upload-download sfrutta una asimmetria cognitiva: l'utente attivo è meno critico dell'utente passivo.
Per le organizzazioni, l'emergere di questa categoria di ingegneria sociale solleva questioni di policy. Lo shadow IT applicato agli strumenti AI—l'uso di piattaforme non approvate per task di lavoro—espande la superficie di attacco in modo che i controlli perimetrali tradizionali non intercettano. Il perimetro si sposta dal firewall al browser dell'utente, dalla email alla sessione web autenticata.
La catena tecnica documentata—C++ wrapper, .NET runtime hosting, LOLBins, PE hollowing—non è banale. Richiede competenze di sviluppo e test non accessibili a operatori opportunistici di basso livello. Questo suggerisce che il segmento di mercato degli strumenti AI gratuiti sia percepito come sufficientemente redditizio da giustificare investimenti tecnici significativi.
Domande frequenti
Il malware Noodlophile si diffonde anche tramite email?
Il dossier documenta esclusivamente la distribuzione tramite piattaforme web false di generazione video AI e loro promozione su gruppi Facebook. Non emerge un vettore email per Noodlophile.
Il certificato Winauth indica che CapCut stesso sia compromesso?
No. L'eseguibile è una versione repurposed del software legittimo, firmata con certificato creato via Winauth. La fonte non documenta un compromissione dell'infrastruttura del vendor originale.
È possibile stabilire se Noodlophile e NodeStealer abbiano lo stesso autore?
La relazione esatta tra i due malware non è stabilita nel dossier. Condividono pattern tecnici (Python, Telegram C2) ma differiscono per vettore di iniezione, struttura e target operativo. L'attribuzione rimane un punto da verificare.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://www.morphisec.com/blog/new-noodlophile-stealer-fake-ai-video-generation-platforms/
- https://www.trendmicro.com/en_us/research/24/l/python-based-nodestealer.html