Il marketplace malware che sfrutta la banalità per eludere i SOC

Il cluster CL-CRI-1171 opera da almeno due anni come marketplace pay-per-install (PPI), secondo l'analisi pubblicata oggi da Unit 42, il team di ricerca di Palo Alto Networks. La stessa infrastruttura che distribuisce malware a giovani gamer attraverso canali YouTube gaming ha colpito endpoint aziendali, infrastrutture critiche ed entità governative. Il meccanismo che rende questa operazione invisibile non è la sofisticazione tecnica, ma il design intenzionalmente generico del loader: un segnale di bassa priorità per i centri operativi di sicurezza, che scatena l'escalation solo quando è troppo tardi.

Come funziona l'architettura del marketplace PPI

Il modello di business è quello di un marketplace a due lati. Da un lato, l'operatore del cluster CL-CRI-1171 gestisce l'infrastruttura di infezione: domini rotazionali, gate di fingerprinting, canali di delivery. Dall'altro, buyer indipendenti acquistano l'accesso a endpoint già compromessi e vi distribuiscono payload propri con server di comando e controllo separati.

Il loader centrale, denominato OfferLoader, è progettato per essere "unnamed, untracked and generic enough to be dismissed as commodity adware". Questa non è una limitazione tecnica, ma una scelta architetturale. Secondo Unit 42, "because the loader is designed to be disposable and generic, it rarely attracts the scrutiny needed to uncover its subsequent payloads". Ogni sample del loader può combinare payload diversi, generando oltre 10.000 varianti uniche che sfuggono alla firma hash.

La rotazione dei payload è strutturata e documentata su timeline di otto mesi. Da luglio 2025 ad aprile 2026, Unit 42 ha osservato in rotazione tre payload: Insomnia RAT, ARKTunnel e Docro Hijacker. In un singolo incidente di aprile 2026, lo stesso loader ha consegnato tutti e tre. A giugno 2026, la rotazione ha cambiato completamente line-up: GCleaner e Socks5Systemz.

Il gate con fingerprinting che rende invisibili gli scanner

Il punto di ingresso dell'infezione è un gate che applica fingerprinting selettivo attraverso un parametro click_id codificato in Base64. Il parametro aggrega cinque variabili: sistema operativo, browser, referring domain, keyword di ricerca e indirizzo IP pubblico. I visitatori con click_id valido e recente vengono inoltrati al download del loader. Scanner automatici, sandbox e analisti che accedono senza il profilo corretto ricevono decoy: file WinRAR legittimi o link rotti.

Questo meccanismo spiega perché l'operazione abbia "almost no public footprint despite being highly active". Secondo Unit 42, "automated URL scanners rarely pass the gate". Il risultato è un blind spot strutturale nei database di threat intelligence: l'infrastruttura non appare nelle raccolte IoC perché nessuno scanner riesce a catturare il payload reale.

I domini supportano questa scalabilità a costo irrisorio. Sono stati osservati oltre 200 hostname unici con pattern di naming composto — esempi riportati: bubbleslip, churchpail, dinosaursjam — registrati su TLD economici (.xyz, .cfd, .space, .info). La rotazione rapida dei domini e il basso costo di registrazione rendono inefficiente il blocco basato su reputation.

Due funnel, stessa infrastruttura: dal gamer all'enterprise

I canali di delivery sfruttano asimmetrie comportamentali diverse. Il funnel YouTube targetta giovani gamer con contenuto autentico: video su FPS boost, fix di crash, tweak di impostazioni. I canali erano "actively interacting with viewers", con link a download nella descrizione. Unit 42 ha identificato 11 canali attivi con centinaia di migliaia di follower complessivi, tutti terminati dalla piattaforma su segnalazione del team di ricerca.

Il funnel SEO poisoning colpisce professionisti alla ricerca di software legittimo: WinDirStat, driver Bluetooth, utility di sistema. Il malware viene presentato come versione "crackata" o "ottimizzata" del software originale. Questo secondo canale ha generato infezioni su "corporate endpoints, including critical infrastructure and even government entities". Due organizzazioni separate hanno riportato infezioni identiche a una settimana di distanza, innescando l'investigazione di Unit 42.

Il dato cruciale è la condivisione dell'infrastruttura: stesso loader, stesso gate, stesso pattern di domini. La differenza non è tecnica ma di targeting del contenuto promozionale.

"The most effective camouflage in cybercrime is not necessarily in the use of sophisticated techniques, but in how unremarkable the threat appears" — Unit 42, report CL-CRI-1171

Cosa fare adesso

Le organizzazioni che hanno rilevato loader generici classificati come "commodity adware" devono verificare se i domini associati rientrano nei pattern documentati da Unit 42: nomi composti di due parole su TLD .xyz, .cfd, .space, .info. Il report identifica oltre 200 domini unici con questa struttura.

I team di threat intelligence devono tracciare il comportamento del gate, non solo la firma hash del loader. Il parametro click_id Base64 che incrocia OS, browser, referring domain, keyword di ricerca e IP pubblico è l'indicatore distintivo dell'infrastruttura CL-CRI-1171. La presenza di questo meccanismo di fingerprinting selettivo su un dominio con pattern di naming composto deve innescare analisi di pivoting sui payload successivi.

I SOC devono rivalutare le policy di escalation basate esclusivamente sulla "sofisticazione apparente" del malware. Il caso documenta che 3 payload indipendenti — Insomnia RAT, ARKTunnel, Docro Hijacker — sono stati consegnati dallo stesso loader in un singolo incidente di aprile 2026. La classificazione del loader come banale ha ritardato il rilevamento della catena completa.

Le ricerche di software legittimo da parte di dipendenti devono essere monitorate per landing page sospette. Il funnel SEO poisoning che ha colpito endpoint aziendali, infrastrutture critiche ed entità governative partiva da ricerche di WinDirStat e driver Bluetooth. Il download di utility di sistema da fonti non ufficiali è il vettore documentato nel brief.

La lezione per i CISO: la banalità come strategia offensiva

Il caso CL-CRI-1171 non è una campagna mirata ma un'infrastruttura commodity che genera complessità emergente. Molteplici campagne, attori e obiettivi convergono su un singolo punto di infezione. La minaccia non è nel singolo payload — che cambia ogni trimestre — ma nel modello di business che lo rende sostituibile senza costi di transizione.

Per i responsabili della sicurezza, la domanda non è se il proprio endpoint abbia incontrato questo loader, ma se il proprio SOC avrebbe ragionato oltre la classificazione "commodity adware" per tracciare i domini associati, il comportamento del gate e la catena di C2 successive. La fonte non fornisce indicatori di compromissione esaustivi, ma il principio metodologico è chiaro: ogni loader generico merita pivoting su domini e infrastruttura, non solo su firma hash.

Il framework di attribuzione di Unit 42, che integra il Diamond Model e il sistema dell'Ammiragliato per affidabilità e credibilità, ha generato il codice CL-CRI-1171. La nomenclatura non identifica un gruppo ma un cluster di attività osservabile: un modo per tracciare l'infrastruttura senza attribuzione prematura di identità.

Domande frequenti

Che differenza c'è tra questo marketplace PPI e una tradizionale botnet?

In una botnet classica, un singolo operatore controlla endpoint e payload. Nel modello PPI documentato da Unit 42, l'operatore gestisce solo l'infezione e vende l'accesso a buyer indipendenti, ognuno con payload e server di comando e controllo propri. Il loader è il punto comune, ma ciò che viene eseguito dopo è eterogeneo e non controllato dall'operatore del marketplace.

Perché i canali YouTube erano difficili da identificare come malevoli?

Perché fornivano contenuto autentico e interattivo su temi di interesse reale per la community gaming, con centinaia di migliaia di follower. Non erano account vuoti o puri honeypot, ma canali con engagement genuino che includevano link a download nella descrizione.

Cosa rende il gate di fingerprinting particolarmente efficace contro la ricerca?

Il gate non si limita a verificare lo user-agent, ma incrocia cinque variabili (OS, browser, referring domain, keyword di ricerca, IP pubblico) in un parametro Base64. Scanner automatici e sandbox mancano tipicamente del profilo comportamentale completo che un utente umano accumula durante la navigazione da un motore di ricerca a un sito di download.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://unit42.paloaltonetworks.com/ppi-network-malware-campaign-analysis/
• https://unit42.paloaltonetworks.com/unit-42-attribution-framework/