Il framework criminale DOUBLECUP vende ai propri operatori una tecnica di occultamento descritta come "steganografica" nel pannello di controllo del servizio. Secondo l'analisi tecnica del SANS Internet Storm Center, il meccanismo non utilizza alcuna steganografia reale: il payload PowerShell è visibile in chiaro, appeso dopo la fine del file PNG, estraibile con il comando FINDSTR standard di Windows. Il disallineamento tra marketing criminale e implementazione tecnica rende il primo stadio rilevabile con controlli di integrità elementari, abbassando la soglia di detection rispetto a tecniche LSB legittime.
- Il payload DOUBLECUP non codifica il codice PowerShell nei pixel o nei metadati dell'immagine PNG, ma lo appende in chiaro dopo la fine del file, separato da CR+LF [FONTE 1]
- L'estrazione richiede solo FINDSTR, il grep nativo di Windows, con un identificatore univoco: nessuno strumento specializzato è necessario [FONTE 1]
- Il pannello del servizio LaaS elenca "findsrt" come metodo steganografico, confermando il disallineamento tra descrizione operativa e realtà tecnica [FONTE 2]
- Il secondo stadio implementa environmental keying con IP pubblico della vittima per PBKDF2 e cifrario stream SHA-256 in CTR mode [FONTE 2]
Come funziona la "falsa steganografia" di DOUBLECUP
Il meccanismo di primo stadio sfrutta la tolleranza del formato PNG al contenuto trailing. Il file immagine termina con la sua signature strutturale; immediatamente dopo, con separatore 0x0D 0x0A (CR+LF, terminatore di riga Windows), inizia lo script PowerShell in chiaro. Non c'è codifica, non c'è occultamento nei pixel, non c'è iniezione in chunk IHDR, IDAT o metadati EXIF.
L'analista del SANS ISC ha verificato direttamente: "You can see the PowerShell payload as cleartext". Chiunque apra il file con un editor esadecimale o un visualizzatore testo vedrà il codice PowerShell dopo il contenuto binario dell'immagine. Il parser PNG ignora quanto segue la fine del file, ma il contenuto rimane accessibile a qualsiasi strumento di analisi statica.
L'estrazione richiede una singola riga di comando: FINDSTR con un identificatore univoco presente nello script, seguito da pipe diretta in PowerShell. Non servono decoder, non servono algoritmi LSB, non servono librerie di processing di immagini. La barriera tecnica per l'analisi forense è praticamente nulla, mentre una vera steganografia LSB richiederebbe la scansione bit-plane dei pixel con ricostruzione del payload.
L'architettura LaaS: sofisticazione reale e marketing esagerato
DOUBLECUP è un Loader-as-a-Service di origine russa, progettato per campagne ClickFix con architettura client-server. Il servizio offre un pannello di gestione con opzioni configurabili per i payload, tra cui una voce per metodi "steganografici" che include "findsrt" — quasi certamente un errore di battitura per "findstr", confermato dall'analisi del SANS ISC.
Il framework non è privo di sofisticazione. Il secondo stadio implementa environmental keying: la chiave crittografica deriva dall'indirizzo IP pubblico della vittima, applicata in PBKDF2 con cifrario stream basato su SHA-256 in modalità CTR. Il polling al server C2 avviene a intervalli di 1.2-3 secondi su endpoint /session/check?sid=[SessionID] con identificatori di 16 caratteri generati al caricamento della pagina.
I payload finali documentati sono CountLoader, per Windows e macOS, e DeviceManager RAT con comunicazione C2 via EtherHiding. Le campagne attive impersonano sistemi CRM — NetSuite, Odoo, HubSpot, Salesforce — utilizzando iframe embedded per il meccanismo di clipboard hijacking con falsi captcha.
Cosa fare adesso
Il primo stadio di DOUBLECUP è rilevabile con controlli di integrità elementari. I team di sicurezza possono implementare tre azioni concrete:
1. Flag file PNG con contenuto trailing sospetto. Un file PNG legittimo non contiene dati eseguibili dopo la signature di fine file. Le soluzioni di detection possono segnalare automaticamente immagini con payload PowerShell appendice, identificabili tramite pattern di stringhe in chiaro o anomalie di entropia nel segmento trailing.
2. Estrarre e analizzare il codice con strumenti standard. FINDSTR basta per isolare lo script: nessun decoder dedicato è necessario. Gli analisti possono replicare l'estrazione documentata dal SANS ISC usando l'identificatore univoco presente nel payload, riducendo i tempi di analisi da ore a minuti.
3. Correlare l'IP di provenienza per sandbox targettizzate. L'environmental keying del secondo stadio richiede l'IP pubblico specifico della vittima per la decifrazione. Catturando questo dato durante la network analysis, le sandbox possono replicare le condizioni di decifrazione e estrarre il payload finale CountLoader o DeviceManager.
Perché il falso marketing criminale aiuta i difensori
Il disallineamento tra descrizione operativa del pannello DOUBLECUP e implementazione tecnica reale costituisce un pattern ricorrente nel malware-as-a-service. Gli operatori vendono sofisticazione ad altri criminali, esagerando la qualità tecnica per giustificare prezzi di licenza più elevati.
Per i difensori, questa dinamica crea un vantaggio. Un payload che si crede steganografico quando è un semplice concatenamento di file con separatore CRLF si espone a controlli che una vera tecnica LSB aggirerebbe. Le sandbox estraggono automaticamente gli script appendici; gli analisti identificano il codice con strumenti standard.
La presenza di environmental keying nel secondo stadio bilancia parzialmente questo vantaggio: l'analisi statica del payload cifrato non rivela il contenuto finale senza l'IP corretto. Tuttavia, il primo stadio rimane intercettabile con network analysis che cattura l'IP di provenienza.
"New malware that uses steganography always gets my attention, but I was disappointed when I looked at the latest DOUBLECUP write-up. It doesn't use real steganography" — Analista SANS ISC
Che cosa la fonte non specifica
Il dossier non documenta se esistano varianti di DOUBLECUP che implementino effettivamente steganografia LSB in campagne parallele. Il metodo "findsrt" nel pannello potrebbe essere un typo interno o un nome proprio del servizio; la fonte non chiarisce se altri operatori utilizzino opzioni diverse. Non emergono dati sul volume di licenze vendute, sul numero di operatori attivi, né sulla geografia specifica delle vittime.
Il brief non elenca CVE o advisory ufficiali vendor per i payload finali CountLoader e DeviceManager. La data esatta di pubblicazione dell'analisi SANS ISC non è riportata nel materiale disponibile.
Il pattern del servizio criminale che si sopravvaluta
Il caso DOUBLECUP conferma che l'ecosistema del malware-as-a-service non differisce da altri mercati illegali: la percezione della qualità conta spesso quanto la qualità reale. La "steganografia" dichiarata diventa un label di vendita, non una proprietà ingegneristica, con effetti secondari che favoriscono i difensori.
La lezione operativa è duplice: i team di sicurezza possono abbassare la soglia di allerta per payload che dichiarano tecniche avanzate senza implementarle, focalizzando risorse sui meccanismi effettivamente sofisticati come l'environmental keying. L'analisi della terminologia nei pannelli di amministrazione criminale fornisce indicatori utili per profilare il reale livello tecnico di un servizio.
Per il settore della threat intelligence, il disallineamento tra descrizione e implementazione rappresenta un segnale di maturità del mercato criminale: la standardizzazione dei servizi LaaS produce attrito tra promesse di innovazione e codebase sviluppati con vincoli di tempo, generando gap rilevabili che le difese possono sfruttare.
Le informazioni sono basate sulle fonti citate e aggiornate al momento della pubblicazione.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://isc.sans.edu/diary/rss/33274
- https://socradar.io/blog/doublecup-clickfix-loader-devicemanager-rats/