Un threat actor sconosciuto ha orchestrato una campagna di distribuzione di crypto clipper basato su Rust per Windows e macOS, nascondendo il payload in bot Solana, sniper Pump.fun e crash-game predictors. La rivelazione, pubblicata il 17 giugno 2026 da Check Point Research attraverso The Hacker News, documenta un'innovazione strategica più che tecnica: il malware stesso è relativamente semplice, ma l'ecosistema di fiducia sintetica che lo precede è architetturalmente sofisticato. L'attore ha costruito una catena di legittimazione multi-piattaforma che sfrutta il comportamento di verifica incrociata delle vittime, trasformando le piattaforme di reputazione crowd-sourced da arbitri di sicurezza in veicoli di inganno.
- Il malware è un crypto clipper Rust che intercetta la clipboard di Windows e macOS per sostituire indirizzi wallet con altri controllati dall'attaccante.
- Il threat actor ha operato almeno 6 account GitHub per cross-promozione, con un repository che ha accumulato 146 stars e 62 forks.
- Su SourceForge il contatore download ha raggiunto 44.485 unità, di cui 37.460 apparentemente da Android nonostante il software offra solo versioni Windows e macOS.
- VirusTotal è stato manipolato tramite "Ghost Networks" con upvote e commenti positivi coordinati per misclassificare i file malevoli come sicuri.
Il meccanismo: non un exploit, una sostituzione
Il clipper opera a livello di sistema operativo, non di vulnerabilità applicativa. Secondo il report di Check Point Research, il malware monitora continuamente la clipboard alla ricerca di pattern corrispondenti a indirizzi di wallet crittografici. Quando rileva una corrispondenza, sostituisce l'indirizzo legittimo — copiato dall'utente per un trasferimento — con uno controllato dall'attaccante. La transazione viene eseguita dalla vittima stessa, che autorizza il trasferimento senza accorgersi della deviazione.
Il payload è distribuito camuffato da strumenti appetibili per due nicchie specifiche: operatori crypto alla ricerca di bot automatizzati per Solana e Pump.fun, e giocatori d'azzardo online attratti da presunti predictor per crash-game. Questa segmentazione del target non è casuale: entrambe le categorie sono propenze a cercare "shortcut" tecnologici, tollerano rischi elevati e sono abituate a verificare la legittimità di strumenti di terze parti attraverso segnali di reputazione esterna.
Il motore di fiducia: sei piattaforme, un'unica narrazione
Il threat actor ha costruito un'architettura di legittimazione distribuita su almeno sei piattaforme. GitHub funge da deposito primario: almeno 6 account coordinati per cross-promozione, con metriche di engagement sintetico che includono 146 stars e 62 forks su un singolo repository. Questi numeri, pur non indicando necessariamente utenti reali, modificano il ranking di ricerca e l'impressione di maturità del progetto.
Su SourceForge la strategia si è spinta oltre. Il contatore download ha raggiunto 44.485 unità, di cui 37.460 apparentemente originati da dispositivi Android — una discrepanza evidente, dato che il software è distribuito solo per Windows e macOS. Check Point Research indica come spiegazione plausibile l'uso di "Android farm" per inflazione artificiale del contatore.
Il pivot su VirusTotal rappresenta l'elemento più insidioso. Il threat actor ha utilizzato "Ghost Networks" — reti di account coordinati — per depositare upvote e commenti altamente positivi sui file malevoli. L'obiettivo è la riduzione della soglia di sospetto: le vittime che verificano il payload su VirusTotal incontrano un consenso apparente di sicurezza, non un allarme. Le piattaforme di verifica crowd-sourced, progettate come punto di forza della sicurezza informatica, diventano in questa configurazione il punto debole strutturale.
Press release AI e narratori sintetici: la marca mainstream
La catena di legittimazione si completa con due elementi di maturità commerciale. Il threat actor ha utilizzato EIN Presswire per distribuire press release che descrivono le capacità del tool, poi syndicate attraverso il network partner USA TODAY Network. Questa presenza su pubblicazioni istituzionali non è una compromissione dei media — si tratta di syndication automatica di contenuto a pagamento — ma produce un effetto di autorità per le vittime che cercano conferma attraverso ricerche generiche.
Parallelamente, narratori AI su YouTube hanno generato tutorial video di promozione. L'uso di sintesi vocale artificiale abbassa i costi di produzione e rende scalabile la componente "influencer" della campagna, traducendo in automatizzabile una tattica tradizionalmente umanamente intensiva.
"To push a malicious 'tool,' a single threat actor borrowed the same playbook legitimate brands use to build buzz: inflated download counts, coordinated five-star reviews, influencer-style tutorial videos, and promotion on platforms people instinctively trust. The result is a fake reputation economy spanning every platform a curious victim might check before they click 'download.'" — Check Point Research (via The Hacker News)
Cosa fare adesso
Per gli utenti che operano con asset crypto, la verifica dell'indirizzo wallet prima della conferma della transazione è l'unico controllo efficace contro questo specifico vettore. Incollare l'indirizzo e verificarne manualmente i primi e ultimi caratteri rispetto alla fonte originale interrompe la catena di sostituzione operata dal clipper.
Per gli analisti di sicurezza e i ricercatori, il caso impone una rilettura dei segnali di reputazione su piattaforme crowd-sourced. Le metriche di engagement — stars, forks, download counts, commenti positivi su VirusTotal — devono essere trattate come indicatori manipolabili, non come prove di legittimità. La discrepanza 37.460 download Android su un prodotto Windows/macOS è un pattern di rilevazione specifico documentato da Check Point Research.
Per le piattaforme di distribuzione, il report evidenzia come la combinazione di upvote coordinati e commenti positivi su VirusTotal abbia prodotto misclassificazione di file malevoli. I team di trust and safety dovrebbero segnalare come anomala l'attività di "Ghost Networks" — account con storia di interazione esclusivamente positiva su payload eseguibili — e incrociare i repository GitHub con pattern di cross-promozione multi-account.
La conseguenza: quando la verifica diventa vulnerabilità
Il caso inverte la logica convenzionale della sicurezza informatica. Tradizionalmente, il sofisticato è il payload: zero-day, evasion tecniche, persistenza creativa. Qui l'investimento strategico è nel pre-payload, nell'architettura di fiducia che rende il download accettabile. Il clipper Rust è funzionalmente un malware di generazione: intercettazione clipboard, pattern matching, sostituzione stringa. La complessità risiede nel sistema di distribuzione, non nel sistema di infezione.
Questa distribuzione richiede una rilettura dei controlli di due diligence. Le organizzazioni che incoraggiano verifica incrociata su piattaforme crowd-sourced — "controlla su VirusTotal", "guarda le stars su GitHub", "verifica i download" — stanno istruendo gli utenti a utilizzare segnali che questa campagna ha dimostrato sistematicamente inquinabili. La risposta non è l'abbandono della verifica, ma la consapevolezza che la verifica stessa è diventata superficie di attacco.
Il settore enterprise, osserva Check Point Research, è il prossimo scalare logico. "The same playbook of fake reputation and aggressive cross-platform promotion can easily distribute information stealers or ransomware to higher-value targets over time." La falsa economia della reputazione non è una curiosità crypto: è un modello di distribuzione replicabile.
Domande frequenti
Il malware sfrutta una vulnerabilità nei wallet o nelle piattaforme crypto?
No. Il clipper opera a livello di sistema operativo, intercettando la clipboard prima che l'indirizzo venga incollato nell'applicazione di trasferimento. Non è necessaria alcuna compromissione del servizio crypto o del wallet.
Perché i download da Android su un software Windows/macOS sono significativi?
Perché indicano inflazione artificiale. Se il prodotto non esiste per Android, i 37.460 download da quella piattaforma non possono essere di utenti reali interessati. Sono segnale di manipolazione del contatore, non di domanda legittima.
Le piattaforme coinvolte sono state "hackerate"?
No. VirusTotal non è stato compromesso infrastrutturalmente: è stato manipolato attraverso account coordinati e commenti. USA TODAY Network non ha subito breach: ha syndicato press release a pagamento tramite servizio di distribuzione. La differenza è tra sfruttamento di funzionalità legittime e violazione di sistema.
Fonti
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://www.welivesecurity.com/en/cybercrime/eviltokens-phishing-doesnt-steal-password/
- https://www.helpnetsecurity.com/2026/06/17/rokarolla-android-banking-trojan-device-takeover/
- https://www.darkreading.com/cyberattacks-data-breaches/global-stock-exchange-hit-monthslong-email-campaign
- https://www.helpnetsecurity.com/2026/01/12/nation-state-crypto-crime-activity/