Il 20 luglio 2026, VMRay Labs ha pubblicato l'analisi esecutiva di Operation STANDOFF, una campagna criminale russo-parlante che gestisce almeno 44 server di comando e controllo ospitati su TimeWeb Ltd. (AS9123). Il meccanismo distintivo: i server restituiscono redirect HTTP 301 verso github.com alle richieste non sollecitate, sfruttando la reputazione del dominio trusted per mascherare il traffico malevolo e bypassare le difese perimetrali basate su reputation scoring. La scoperta esemplifica un cambio di paradigma nella deception infrastrutturale, dove i domini legittimi diventano destination di comodo per nascondere infrastrutture multi-malware di scala industriale.
- VMRay Labs ha identificato 44 server C2 attivi su TimeWeb AS9123, ridotti da 48 iniziali, tutti parte di Operation STANDOFF
- I server usano redirect HTTP 301 verso GitHub con certificati TLS spoofati per apparire benigni a scanner e analisti
- Il loader iniziale NSIS rilascia 40-50 file PE secondari, tra cui RedLine Stealer, Amadey, SmokeLoader e XMRig
- La console STANDOFF COORD è una SPA React con workflow enterprise-grade: severity, priority P0-P3, scoreboard a punti e claim mechanism per deconfliction multi-operatore
Il meccanismo del redirector: quando GitHub diventa un blind spot
Il nodo 212.193.30.45, documentato da VMRay, incarna la tecnica centrale. In risposta a richieste non sollecitate, restituisce un redirect HTTP 301 a github.com con body vuoto. Il certificato TLS presentato è emesso per github.com, creando un'illusione di legittimità superficialmente convincente. La VMRay nota l'anomalia decisiva: GitHub non opera server ufficiali in Russia, per cui un indirizzo IP russo con tale certificato costituisce un'incoerenza geografica e infrastrutturale rilevante.
Almeno un altro nodo reindirizzava verso domini Microsoft-owned e loopaai.ru, indicando un tentativo di diversificare il mascheramento. La tecnica non compromette i domini destination: GitHub e Microsoft non sono stati violati. I threat actor sfruttano semplicemente la loro presenza nelle whitelist dei SOC per rendere invisibile il traffico verso infrastrutture sottostanti.
Questo approccio rende inefficaci i controlli basati su reputation scoring categoriale. Se il traffico verso github.com è globalmente permesso, la detection deve spostarsi sull'ispezione comportamentale: pattern di redirect anomali, header HTTP specifici, discontinuità TLS, combinazioni di User-Agent e path non compatibili con il profilo del dominio legittimo.
L'ecosistema multi-payload: dal loader NSIS alla disabilitazione sistematica delle difese
Il punto di ingresso analizzato da VMRay è setupx86x64install.exe, un installer NSIS 32-bit con hash SHA-1 95c5ae3fec0d900e4634e11b3ad81971e78e2b31. In esecuzione, crea una directory randomizzata sotto %LOCALAPPDATA% e rilascia 40-50 file PE con nomi casuali. Il lancio avviene via cmd.exe nascosti, con tecniche di process hollowing e code injection per eludere l'analisi statica.
Il payload comprende una costellazione di strumenti documentati: RedLine Stealer, Raccoon Stealer, Amadey, SmokeLoader, Socelars, Glupteba, XMRig per il mining, e WebBrowserPassView per l'estrazione credenziali. La seconda fonte del dossier, CyberPress, documenta le contromisure offensive contro Microsoft Defender: disabilitazione del real-time monitoring, di MAPS e dell'automatic sample submission tramite comandi PowerShell, oltre all'aggiunta di directory alle esclusioni e all'interferenza con Windows Update.
Il malware rileva ed evade prodotti di Avast, AVG, Bitdefender, ESET, Kaspersky, Norton, Panda e Sophos. La combinazione di disabilitazione aggressiva e fingerprinting multi-vendor indica operatori con familiarità operativa approfondita dell'ecosistema Windows difensivo, non semplici re-packager di commodity malware.
STANDOFF COORD: una console C2 con logica da SOC aziendale
Il nodo 212.193.30.29 ospita la console di gestione della campagna, denominata STANDOFF COORD. VMRay l'ha estratta e analizzata come single-page application React con backend API JWT. L'interfaccia, in russo, traccia gli host compromessi per segmento di rete — internal, DMZ, external — con stati operativi che includono online, idle e stopped.
La console implementa un workflow con severity a quattro livelli (critical, high, medium, low, info), priority da P0 a P3, e un target lifecycle che include lo stato confirmed_exploit. Un sistema a punti con scoreboard e claim mechanism gestisce la deconfliction tra operatori concorrenti, assegnando punteggi per l'attività su target e impedendo sovrapposizioni. Il limite di upload per artefatti operativi è di 50 MB.
La knowledge base integrata include diagrammi in sintassi Mermaid. Tra gli esempi operativi citati nella console compaiono PrintNightmare (CVE-2021-34527, CVSS 8.8 HIGH) e tecniche di AD password spraying. La CVE non è utilizzata nel campione analizzato da VMRay; appare come riferimento formativo nella documentazione interna. La VMRay valuta con alta confidenza che Operation STANDOFF rappresenti una capability industrial-scale che fonde cybercrime scalato, intrusioni targettizzate e coordinated inauthentic engagement su infrastruttura condivisa.
"Because GitHub operates no official servers in Russia, a campaign-linked Russian IP address presenting a TLS certificate in the name of [github.com] and redirecting all requests toward it was itself a strong anomaly" — VMRay Labs
Il ciclo chiuso: botnet, proxy e automazione AI-driven
Un terzo componente, documentato da GBHackers sulla base del report VMRay, risiede su 217.198.13.211. Questo nodo ospita "Mobile Arena", una piattaforma di lure gaming, affiancata a una Telegram account farm con proxy ricavati dal botnet di host compromessi. I proxy delle vittime alimentano l'infrastruttura di automazione, creando un ciclo chiuso: endpoint infetti → estrazione risorse → conversione in proxy → sostegno alle operazioni di outreach.
La stessa piattaforma integra un sistema node-based con Claude LLM per outreach multi-canale su Gmail, WhatsApp e Telegram. Il dossier non specifica la natura esatta dei messaggi generati né documenta campagne di influence attive o impatti elettorali verificati. La presenza del componente AI indica tuttavia una convergenza infrastrutturale tra cybercrime tradizionale e operazioni di inautentic engagement, condividendo hosting, proxy e probabilmente operatori sulla medesima dorsale TimeWeb.
Perché è importante
Il dossier non specifica misure correttive o mitigazioni operative dettagliate. La fonte non indica azioni difensive raccomandate né fornisce timeline di remediazione. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a gruppi criminali noti preesistenti. Il numero totale di vittime confermate e la loro distribuzione geografica restano ignoti.
Il brief non documenta se i redirect verso domini Microsoft siano ancora attivi o se siano stati osservati su più di un nodo. Non specifica inoltre se la campagna sfrutti vulnerabilità zero-day proprie o si limiti a tecniche note e CVE documentate. La console cita CVE-2021-34527 solo come esempio formativo, non come vulnerabilità impiegata nel campione analizzato.
Il dossier non chiarisce l'entità finanziaria o geopolitica dietro le operazioni di influence AI-driven, né identifica il gruppo russo-parlante con un nominativo specifico. L'attribuzione linguistica e di hosting non si traduce in attribuzione geopolitica verificata.
Il confine che sfuma: crimine organizzato e operazioni di influenza
Operation STANDOFF non è semplicemente una campagna malware commodity. La professionalizzazione della console C2 — con workflow, scoreboard e deconfliction — indica una struttura organizzativa che gestisce operatori multipli come una forza lavoro distribuita. La gamificazione delle intrusioni non è un vezzo estetico: è un meccanismo di controllo operativo che misura la produttività e coordina l'accesso a target limitati.
La fusione di questo modello con una piattaforma AI-driven di outreach multi-canale, ospitata sullo stesso backbone di hosting russo, disegna un ecosistema ibrido dove le competenze di intrusione manuale su Active Directory coesistono con la produzione scalata di contenuti inautentici. Per i difensori, la lezione è che la linea tra cybercrime organizzato e operazioni di influenza condizionate si sta assottigliando — e condividerà spesso la stessa infrastruttura, gli stessi operatori, gli stessi redirect verso domini di cui ci fidiamo.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://www.vmray.com/execution-level-analysis-of-a-russian-speaking-multi-operator-intrusion-campaign-operation-standoff/
- https://gbhackers.com/operation-standoff-uses-github/
- https://cyberpress.org/operation-standoff-deploys-fake-csrss/