Pay-per-install nascosto: il mercato CL-CRI-1171 che ha aggirato i SOC per due

Nota editoriale: L'analisi che segue si basa esclusivamente sul report pubblicato da Unit 42 il 9 settembre 2026. Nessun altro vendor di sicurezza ha confermato indipendentemente i dati presentati.

Unit 42 ha documentato un marketplace pay-per-install operativo almeno dal 2024. Il cluster, tracciato come CL-CRI-1171, ha distribuito oltre 10.000 varianti di un loader generico tramite canali YouTube autentici e SEO poisoning, consegnando payload indipendenti su endpoint aziendali e infrastrutture critiche. Il meccanismo di invisibilità strutturale è il caso di studio: il loader veniva scambiato per commodity adware, deprioritato dai team di sicurezza, lasciando passare la consegna di RAT e tunnel.

"The most effective camouflage in cybercrime is not necessarily in the use of sophisticated techniques, but in how unremarkable the threat appears" — Unit 42, report CL-CRI-1171

Come nasce un'operazione invisibile: due infezioni identiche, payload diversi

L'indagine è partita da due infezioni osservate in organizzazioni separate. In una, un driver Bluetooth trojanizzato ha attivato la catena; nell'altra, WinDirStat, software legittimo di analisi disco. Entrambe hanno innescato lo stesso loader generico, mai visto prima in contesti di escalation.

Secondo Unit 42, il loader è progettato per essere "disposable and generic". La fonte lo descrive esplicitamente come "unnamed, untracked and generic enough to be dismissed as commodity adware". Nei Security Operations Center, dove la triage è guidata dalla severità percepita, un eseguibile che non esibisce tecniche sofisticate finisce in fondo alla coda.

Il loader non è un payload singolo: è un abstraction layer. Lo stesso eseguibile iniziale consegna famiglie malware completamente indipendenti, ciascuna con il proprio C2, il proprio obiettivo, la propria logica di persistenza. Quando i team di sicurezza analizzano il loader e lo catalogano come adware, perdono la visibilità su ciò che arriva dopo.

L'ingegneria del gate: fingerprinting per esclusione

Il meccanismo di consegna è dove l'operazione rivela la sua sofisticazione. Il gate PPI usa un parametro click_id codificato in Base64 che racchiude il fingerprint del sistema operativo, del browser, del dominio referrer, della keyword di ricerca e dell'indirizzo IP pubblico della vittima.

Unit 42 ha documentato che solo i click_id validi e freschi — generati da sessioni reali con profilo coerente — ottenevano il reindirizzamento al download del malware. Scanner automatici, sandbox e analisti che replicavano l'URL senza il contesto completo ricevevano decoy o link rotti. Questo spiega l'assenza quasi totale di footprint pubblico in una campagna che ha distribuito oltre 10.000 campioni in una finestra di otto mesi.

La decodifica di centinaia di fingerprint, con assistenza AI, ha esposto titoli completi di video YouTube e nomi dei canali. Unit 42 non specifica il volume totale di vittime; il campione analizzato è descritto come "small sample" di un'operazione più ampia. Il numero effettivo di endpoint compromessi resta indeterminato.

YouTube autentico e SEO poisoning: due funnel, un obiettivo

I canali di acquisizione erano strutturati per segmentare il pubblico. Il primo funnel usava almeno 11 canali YouTube con centinaia di migliaia di follower ciascuno, successivamente terminati su notifica di Unit 42. Questi canali pubblicavano contenuti gaming reali — consigli FPS, fix di crash, ottimizzazioni di impostazioni — con link a "tool" maligni nelle descrizioni.

Il secondo funnel usava SEO poisoning per intercettare un pubblico professionale. Landing page che replicavano siti di utility software — con animazioni fake di virus-scan — distribuivano versioni trojanizzate di software legittimo. Questo vettore ha portato malware su endpoint aziendali, infrastrutture critiche e entità governative, come documentato da Unit 42. La fonte non nomina specifiche organizzazioni per privacy.

La coesistenza di due funnel con targeting diverso è coerente con il modello PPI: il marketplace vende installazioni, non sceglie i payload. Se le osservazioni di Unit 42 sono corrette, chi acquista il servizio definisce il pubblico. La stessa infrastruttura di consegna può ospitare campagne con obiettivi diversi.

L'infrastruttura C2: pattern predicibile, volume massivo

L'evidenza tecnica mostra un'infrastruttura di comando e controllo con oltre 200 hostname unici, distribuiti su TLD .xyz, .cfd, .space, .info. I nomi seguono un pattern osservato: due parole composte come bubbleslip, churchpail, dinosaursjam.

La predicibilità del pattern non ha facilitato il tracciamento in tempo reale. I domini venivano registrati e abbandonati in rapida successione. L'assenza di footprint pubblico — dovuta al gate di fingerprinting — ha impedito ai motori di threat intelligence di correlare automaticamente gli indicatori.

Cosa fare adesso

Il report di Unit 42 non elenca patch, indicatori di compromesso condivisibili o raccomandazioni di configurazione. Di seguito, le osservazioni tecniche documentate dalla fonte e le implicazioni che ne derivano, distinte esplicitamente.

Fatti documentati da Unit 42: Il loader appare come commodity adware. Il gate usa fingerprinting client-side. I payload ruotano nel tempo. I domini C2 seguono pattern a due parole composte su TLD specifici.

Implicazioni operative (inferenze dell'autore basate sul meccanismo): Se le osservazioni di Unit 42 sono corrette, i difensori potrebbero considerare che la triage basata sulla severità percepita del primo stadio è insufficiente per questa campagna. La verifica del comportamento del loader in sandbox con profili utente realistici — inclusi referrer da motori di ricerca e keyword di navigazione — potrebbe rivelare il reindirizzamento al payload effettivo che altrimenti resta nascosto.

Unit 42 non fornisce nel report raccomandazioni su regex per pattern C2, emulazione di profili utente in sandbox, o verifica hash su utility specifiche. Il dossier si limita alla documentazione del meccanismo.

Perché è importante

Il caso CL-CRI-1171 mostra un'inversione di paradigma. La sofisticazione non sta nel malware, ma nell'infrastruttura che lo rende invisibile. Un loader generico, un gate selettivo, canali autentici: questi elementi insieme hanno permesso a un marketplace di operare per almeno due anni sotto il livello di soglia dei SOC.

Il rischio non è solo tecnico. Se il modello PPI documentato da Unit 42 si diffonde, la stessa infrastruttura potrebbe essere noleggiata per campagne con obiettivi più aggressivi, senza che gli acquirenti necessitino di competenze tecniche avanzate. Il report di Unit 42 non quantifica questa probabilità, ma la struttura del marketplace la rende tecnicamente possibile.

La fonte non ha identificato il gruppo dietro CL-CRI-1171 né ne ha attribuito la provenienza geografica. L'operazione resta, per ora, un'entità senza volto — e questo è, forse, il suo tratto più efficace.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://unit42.paloaltonetworks.com/ppi-network-malware-campaign-analysis/
• https://unit42.paloaltonetworks.com/unit-42-attribution-framework/