AsyncRAT si nasconde in charmap.exe: come il RAT commodity ha…

Una campagna AsyncRAT a cinque stadi abusa AutoIt e PowerShell per iniettare il payload in charmap.exe, sfidando le detection tradizionali. La chiave è tracciare

{"main_topic":"malware","topics":["malware","cybersecurity","infostealer","threat-intelligence"]}

Il 14 settembre 2026, i ricercatori di Point Wild Threat Intelligence hanno documentato una campagna AsyncRAT che ricompone il modo in cui i RAT commodity eludono le difese. La catena di infezione non si appoggia a vulnerabilità software ma all'orchestrazione di strumenti legittimi: un file batch ingegnerizzato socialmente, PowerShell con finestra nascosta, un interprete AutoIt firmato e il processo Windows charmap.exe come contenitore finale. Il risultato è un impianto in-memory che PE-Sieve conferma senza corrispondenza su disco.

Punti chiave

La catena inizia con un batch camuffato da fattura, avvia PowerShell nascosto e ricostruisce il payload da dieci frammenti Base64 con XOR a chiave 0x36.
L'interprete AutoIt legittimo, rinominato e firmato, esegue uno script .ini che decripta in memoria un blob extensionless di circa 537 KB.
Il loader ricostruisce dinamicamente i nomi delle API Windows da array interi XOR-encoded, poi inietta il payload in charmap.exe tramite OpenProcess, VirtualAllocEx, WriteProcessMemory e CreateRemoteThread.
PE-Sieve rileva moduli CLR e AMSI modificati in charmap.exe, indicativo di AMSI patching in-process che oscura le attività .NET successive.

La firma non basta più: quando AutoIt diviene vettore

Il vettore iniziale è un file batch denominato 'Right-click to open Invoice Details.bat'. L'ingegneria sociale spinge l'utente a interagire con un contenitore che, all'apertura, esegue PowerShell con finestra nascosta e profilo disabilitato. Da qui inizia la ricostruzione del payload: dieci frammenti Base64, depurati da junk characters, ricomposti e decrittati con chiave XOR single-byte 0x36.

Su disco compaiono tre file in una sottocartella obfuscata sotto %LOCALAPPDATA%\Temp: ogftogcyiblzjccmcbnw.exe, un interprete AutoIt rinominato con dimensione compresa tra 900 KB e 1 MB e icona blu circolare; kojuyn.ini, lo script loader con estensione atipica; e nloemfbihmhm, un blob extensionless di circa 537 KB che contiene il payload cifrato. La persistenza si attiva tramite h73la8.bat nella cartella Startup, senza richiedere chiavi di registro o task programmati: tecnica MITRE ATT&CK T1547.001, eseguibile con privilegi utente standard.

L'uso di AutoIt come contenitore non è casuale. L'interprete è firmato, noto alle whitelist, spesso ignorato dalle policy applicative. La firma digitale diventa qui un punto cieco: il tool è legittimo, il contenuto è malevolo, e la distinzione richiede analisi comportamentale, non statica.

"The campaign demonstrates how commodity RAT operators are combining lightweight scripting and in-memory execution to defeat file-based detection" — Point Wild Threat Intelligence Researchers (via GBHackers)

Dal loader all'iniezione: cinque stadi di elusione

Lo script kojuyn.ini non contiene nomi di API in chiaro. Secondo il report originale di Point Wild, ricostruisce dinamicamente le stringhe di chiamata da array interi XOR-encoded, frustrando l'analisi statica semplificata. Una volta in esecuzione, decripta il blob nloemfbihmhm in memoria e avvia %WINDIR%\SysWOW64\charmap.exe con finestra nascosta.

Da qui la sequenza di process injection: OpenProcess per aprire il handle di charmap.exe, VirtualAllocEx per allocare memoria remota, WriteProcessMemory per scrivere il payload decrittato, CreateRemoteThread per trasferire l'esecuzione. PE-Sieve conferma l'impianto di un'immagine PE in charmap.exe senza file corrispondente su disco. Il payload finale, Veukuzmw.dll, è AsyncRAT con capacità di screen-capture e information stealing.

La scelta di charmap.exe come processo ospite è tatticamente significativa. È un eseguibile Microsoft-signed, presente in ogni installazione Windows, raramente monitorato con attenzione. I ricercatori di GBHackers riportano l'analisi Point Wild: "Using Character Map gives the malware a Microsoft-signed host process for its activity". La trust boundary tra 'firmato = benigno' e 'Windows = normale' viene qui sfruttata per invischiare l'impianto nel rumore di sistema.

AMSI patching: l'ultimo velo sulle attività .NET

La detection post-iniezione si appoggia spesso su AMSI, l'Anti-Malware Scan Interface di Windows, che intercetta e analizza script e payload .NET in esecuzione. PE-Sieve rileva in charmap.exe moduli CLR e AMSI modificati, indicativo di AMSI patching in-process: il malware sovrascrive in memoria le funzioni di scansione, eliminando la visibilità sulle attività successive del RAT.

Secondo Cyber Security News, riportando la stessa analisi Point Wild: "The result is a malicious .NET program implanted in charmap.exe with no matching file left on disk". La combinazione di iniezione in processo trusted, assenza di artefatti su disco e oscuramento dell'interfaccia di sicurezza crea un profilo di detection estremamente ridotto per le difese tradizionali.

La comunicazione con il server di comando e controllo avviene su 158[.]51[.]122[.]136:4944, endpoint in formato defanged osservato dai ricercatori. Il canale usa TCP raw, senza protocolli applicativi che potrebbero facilitare l'ispezione.

Cosa fare adesso

La campagna offre indicatori comportamentali specifici che i SOC possono tradurre in detection:

Correlare esecuzioni di PowerShell con parent process cmd.exe o batch in contesto utente non amministrativo, particolarmente quando associato a finestre nascoste.
Monitorare scritture in sottocartelle di %LOCALAPPDATA%\Temp con pattern di nomi apparentemente randomici, specialmente quando coinvolgono file .ini e blob extensionless.
Tracciare l'esecuzione di AutoIt.exe o interpreti rinominati da percorsi utente, con child process che includono charmap.exe o altri eseguibili di sistema con parent anomalo.
Implementare memory forensics periodica su endpoint critici: PE-Sieve e strumenti analoghi rilevano immagini PE impiantate senza corrispondenza su disco, condizione insolita per processi legittimi.

Perche la detection deve spostarsi dal file al comportamento

Il dossier non specifica il vettore di consegna esatto del batch iniziale — phishing email, link o piattaforma di messaggistica non sono confermati — né la geografia o i settori di targeting. Non emergono attribuzioni a threat actor specifici per questa campagna, e il numero di vittime non è quantificato. La data di inizio dell'operazione rimane ignota: l'unica data certa è quella di pubblicazione dell'analisi, il 14 settembre 2026.

Ciò che il report documenta, tuttavia, è sufficiente a tracciare una linea evolutiva. I RAT commodity non richiedono più zero-day o exploit sofisticati: richiedono comprensione delle trust boundary operative, delle lacune tra firma e comportamento, delle assunzioni che le difese tradizionali non mettono in discussione. La firma di AutoIt non rende benigno il suo uso in %TEMP%. La firma Microsoft di charmap.exe non rende normale una allocazione di memoria remota da parte di un parent process sospetto.

La sfida per le difese è culturale prima che tecnica: abbandonare l'equazione 'legittimo = sicuro' e costruire detection su concatenazioni di comportamenti che, isolati, restano nel rumore ma insieme compongono una catena di infezione riconoscibile.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter