23 giugno 2026 — I ricercatori di Zscaler ThreatLabz hanno documentato una campagna di malware che trasforma Microsoft Edge in un ponte verso il sistema operativo: l'estensione malevola Edgecution abusa del protocollo Chrome Native Messaging per bypassare la sandbox del browser e installare un backdoor Python con privilegi utente. L'attacco, attribuito a un initial access broker legato al ransomware Payouts King, non sfrutta vulnerabilità zero-day ma ricompone funzionalità legittime in una catena di compromissione che le difese tradizionali faticano a intercettare.
Il caso è significativo perché ribalta il paradigma della sicurezza perimetrale: il browser, tradizionalmente considerato contenitore isolato, diventa esso stesso il veicolo di accesso host-level. E lo fa usando un'API ufficiale, documentata, che gli sviluppatori utilizzano quotidianamente per far dialogare estensioni e applicazioni desktop.
- Edgecution è un'estensione Microsoft Edge che abusa del protocollo Native Messaging per uscire dalla sandbox del browser e comunicare con un backdoor Python installato a livello di sistema host.
- L'infezione inizia con social engineering via Microsoft Teams: attori che impersonano il personale IT indirizzano le vittime verso un portale fittizio "Outlook Updates Management Console" con tre opzioni di deployment.
- L'estensione opera in modalità headless con parametri
--headless=new --no-first-run --disable-sync, rendendosi invisibile all'utente mentre mantiene una connessione C2 su server WebSocket ospitati su sottodomini AWS CloudFront. - Una chiave di registro
AppKeyinHKCU\SOFTWARE\Microsoft\Edgefunge da meccanismo anti-analisi: senza di essa il backdoor Python non decifra correttamente le proprie stringhe.
Come funziona la catena di attacco: da Teams alla persistenza
L'ingresso avviene attraverso un messaggio su Microsoft Teams in cui l'attore impersona il personale IT dell'azienda bersaglio. La vittima viene spinta a visitare un sito denominato "Outlook Updates Management Console", progettato per imitare un'interfaccia di amministrazione legittima. Secondo la fonte, il portale presenta tre pulsanti che offrono altrettanti vettori di deployment: uno script AutoHotKey, uno script batch Windows, o uno script PowerShell.
Il file ZIP scaricato presenta un dettaglio tecnico rilevante per l'evasione: l'header è malformato, con i magic bytes PK rimossi. Questa modifica, secondo Zscaler, è probabilmente progettata per eludere le firme di rete che analizzano il traffico alla ricerca di archivi eseguibili. Al suo interno, il pacchetto contiene Python 3.13.3 in versione embedded, una directory extension e una directory native.
Una volta eseguito, lo script di setup crea la struttura necessaria per il funzionamento del malware. L'estensione si maschera da "Edge Monitoring Agent" e viene caricata in un'istanza di Edge headless — invisibile all'utente — con parametri che disabilitano la sincronizzazione e il primo avvio. L'estensione stabilisce quindi una comunicazione tramite Native Messaging con il componente Python, che riceve comandi dal server C2 e può eseguire operazioni shell, accedere al filesystem e raccogliere informazioni di sistema.
Native Messaging: un'API legittima che diventa tunnel
Il protocollo Chrome Native Messaging è un'API standard di Chromium — quindi implementata anche in Edge — che consente alle estensioni del browser di scambiare messaggi con applicazioni native installate sul sistema operativo. Il meccanismo richiede un manifest JSON che registri l'applicazione nativa, e opera attraverso stdin/stdout con messaggi di lunghezza prefissata.
Edgecution sfrutta esattamente questo canale. L'estensione, tecnicamente confinata nella sandbox del browser, utilizza l'API autorizzata per inoltrare comandi privilegiati dal server C2 verso il backdoor Python. Secondo Zscaler, "il browser extension usa questo ponte autorizzato per inoltrare comandi privilegiati dal command-and-control server direttamente al secondo componente: il backdoor basato su Python". Il risultato è un bypass della sandbox che non richiede exploit di vulnerabilità, privilege escalation o tecniche di memory corruption.
L'estensione mantiene un heartbeat regolare: un ping/pong con intervallo di circa 20 secondi verso i server C2. Tutti i server osservati da ThreatLabz utilizzano sottodomini di cloudfront.net ospitati su Amazon Web Services, con comunicazione WebSocket. I domini documentati includono d3nh8sl98s2554.cloudfront[.]net, d2g6dl71gua1qa.cloudfront[.]net e d1jp293q9tvi92.cloudfront[.]net.
Protezione anti-analisi e attribuzione all'IAB di Payouts King
Un elemento distintivo del malware è il meccanismo di decifrazione delle stringhe del backdoor Python. Durante l'installazione, gli script creano un valore denominato AppKey nel registro Windows sotto HKCU\SOFTWARE\Microsoft\Edge, contenente una stringa esadecimale. Questa chiave è necessaria per decifrare le stringhe del backdoor: senza di essa, il codice Python non si esegue correttamente, rendendo inefficace l'analisi statica su sistemi sandboxati che non replicano l'intero processo di infezione.
"These buttons offer the threat actor three different options (via an AutoHotKey script, Windows batch script, and PowerShell script) to deploy the Edgecution malware"
— Zscaler ThreatLabz, via BleepingComputer
Zscaler ThreatLabz attribuisce la campagna a un initial access broker — un attore specializzato nella compromissione iniziale che vende l'accesso a gruppi ransomware — connesso all'operazione Payouts King. Il dossier non specifica se lo stesso gruppo esegua anche la fase di deployment del ransomware, o se limiti il proprio ruolo all'accesso iniziale. Non emergono sovrapposizioni infrastrutturali che colleghino direttamente l'IAB al gruppo Payouts King allo stato attuale, al di là dell'affiliazione indicata dai ricercatori.
Perché le difese tradizionali non intercettano il flusso
Il problema centrale di Edgecution è che tutto il traffico appare legittimo. Native Messaging è un'API ufficiale, il backdoor Python è un interprete standard, la connessione C2 passa su HTTPS/WebSocket verso infrastruttura AWS CloudFront — indistinguibile da milioni di servizi legittimi. Un EDR che monitori solo processi sospetti o connessioni anomale non rileva nulla: Edge stesso è il processo, e il backdoor opera come applicazione nativa regolarmente registrata.
La modalità headless aggiunge un ulteriore strato di occultamento: l'utente non vede finestre, non nota estensioni installate, non ha feedback visivo della compromissione. Il browser che molte aziende considerano perimetro sicuro diventa, in questa configurazione, il veicolo di persistenza e comando.
Il dossier non documenta test specifici di evasione EDR in ambienti reali, né stabilisce se le tecniche di evasione osservate siano state validate contro prodotti commerciali o rappresentino solo analisi teorica.
Cosa fare adesso
- Verificare le estensioni browser enterprise: controllare che tutte le estensioni installate siano approvate e distribuite tramite criteri di gestione centralizzata, non lasciate alla discrezione dell'utente.
- Monitorare le registrazioni Native Messaging: identificare i manifest JSON che registrano applicazioni native associate a estensioni, con particolare attenzione a quelli in
HKCUche non rientrano nei criteri aziendali standard. - Ispezionare le connessioni WebSocket da processi browser: un Edge headless che mantiene connessioni persistenti verso endpoint CloudFront non richiesti dall'utente è indicativo di compromissione.
- Rivedere il training su social engineering: l'impersonificazione IT via Teams è il primo anello della catena; la consapevolezza dell'utente resta il controllo più efficace su questo vettore.
La lezione: quando il perimetro è dentro il browser
Edgecution non è un caso di fallimento tecnologico ma di ridefinizione del confine di sicurezza. Il browser moderno è un sistema operativo completo: sandbox, estensioni, API native, persistenza. Gli attori ransomware lo hanno capito e stanno spostando l'attenzione da exploit di vulnerabilità a composizione di funzionalità legittime. La sandbox di Edge non è stata violata: è stata semplicemente aggirata da un ponte che è stato costruito apposta per essere attraversato.
Per le aziende, la conseguenza pratica è che il monitoraggio del perimetro deve estendersi dentro il browser, non fermarsi al suo bordo. E che le API considerate sicure per design — come Native Messaging — richiedono governance tanto rigorosa quanto qualsiasi altro canale di comunicazione cross-process.
FAQ
Edgecution richiede privilegi di amministratore?
No. Il malware opera con privilegi utente standard, sfruttando il fatto che Native Messaging e le chiavi di registro in HKCU sono accessibili senza elevazione.
Possono altri browser basati su Chromium essere vulnerabili allo stesso schema?
Il meccanismo Native Messaging è comune a tutti i browser Chromium, ma il dossier descrive Edgecution come specificamente progettato per Microsoft Edge. La fonte non documenta varianti per Chrome, Brave o altri.
Esiste una firma di rilevamento specifica?
Secondo il dossier, gli indicatori di compromissione documentati includono i tre domini C2 CloudFront, la chiave di registro AppKey e i parametri di avvio headless di Edge. Non emerge tuttavia un elenco completo di hash o firme YARA verificato dalle fonti primarie.
Fonti
- https://www.bleepingcomputer.com/news/security/malicious-edge-extension-abuses-native-messaging-as-bridge-to-malware/
- https://securityboulevard.com/2026/06/payouts-king-ransomware-initial-access-broker-deploys-new-edgecution-malware/
- https://cyberpress.org/fake-outlook-backdoor-attack/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://nvd.nist.gov/vuln/detail/CVE-2025-53770
- https://nvd.nist.gov/vuln/detail/CVE-2025-54313
- https://nvd.nist.gov/vuln
- https://nvd.nist.gov/vuln/detail/CVE-2026-3910
- https://cybersecuritynews.com/claude-desktop-reportedly-adds-browser-access/
- https://nvd.nist.gov/vuln/data-feeds
- https://nvd.nist.gov/vuln/vendor-comments
- https://nvd.nist.gov/vuln/cvmap