Telepuz, il malware modulare che trasforma VIDAR in piattaforma…

Telepuz, malware modulare in active development, è distribuito come Malware-as-a-Service attraverso una catena di infezione che sfrutta la tecnica ClickFix e

{"main_topic":"malware","topics":["malware","infostealer","maas","clickfix","cybersecurity"]}

Telepuz, malware modulare in active development, è distribuito come Malware-as-a-Service attraverso una catena di infezione che sfrutta la tecnica ClickFix e l'infostealer VIDAR come veicolo secondario. L'analisi pubblicata il 16 luglio 2026 da Elastic Security Labs documenta un'architettura a tre stadi con capacità di evasione avanzate, tra cui syscall indirette patchate in librerie di sistema legittime e controlli anti-VM. Il numero elevato di build giornaliere caricate su VirusTotal — 429 corrispondenze per il termine di ricerca "telemetriawork" — indica un modello MaaS con sviluppo attivo e barriera all'ingresso ridotta per operatori meno sofisticati.

Punti chiave

Telepuz opera dal fine aprile 2026 secondo le informazioni di infrastruttura raccolte da Elastic Security Labs
La catena di infezione inizia con ClickFix: l'utente copia e incolla un comando PowerShell che scarica una variante VIDAR Go dal dominio memshowblob[.]forum
VIDAR funge da downloader secondario per lo stager install.exe e il payload telepuz.dll, ospitati su hurgadatour[.]shop
Il malware impiega syscall indirette generando trampoline patchati nella sezione .text di librerie Windows legittime come dfscli.dll, davhlpr.dll, msdtclog.dll, dsrole.dll e secur32.dll

Da ClickFix a payload: la catena a tre stadi

L'infezione inizia con la tecnica ClickFix, un vettore di social engineering che induce l'utente a copiare e incollare manualmente un comando PowerShell in una finestra di terminale. Questo gesto, apparentemente innocuo, bypassa molti filtri di sicurezza automatizzati perché richiede un'azione consapevole della vittima.

Il comando PowerShell scarica il secondo stadio da hxxps://memshowblob[.]forum/api/index.php?a=grab. Si tratta di una variante VIDAR Go identificata dall'hash SHA256 580b441e2961739fd26e54e0a0ea08351cb10a51839519fc722cfa39ecd0c954, verificabile su VirusTotal.

VIDAR, tradizionalmente classificato come infostealer, assume qui un ruolo diverso: downloader secondario per la piattaforma Telepuz. Scarica ed esegue due componenti aggiuntivi dallo stesso dominio hurgadatour[.]shop: lo stager install.exe e il payload principale telepuz.dll.

Lo stager, un PE di 13-15 KB con hash SHA256 03fa348b70819296c958c842e7646b3b7efe5fa217ed5098143003c47995a746, si occupa di caricare ed eseguire la DLL principale attraverso rundll32. Il payload Telepuz, una libreria condivisa Windows a 64 bit con 1-2 export con nomi camuffati da software legittimo, è identificato dall'hash 58aec6e3835aaf20f7b4a7e308b36a19e7454673a6f71783871e9bcf6cae8eed.

Syscall indirette e librerie fantoccio: l'evasione nei dettagli

Il meccanismo di evasione più raffinato documentato da Elastic Security Labs riguarda le syscall indirette. Telepuz mappa una copia fresca di ntdll.dll, estrae i numeri di syscall nativi, genera trampoline e li patcha nella sezione .text di una libreria Windows casuale già caricata nel processo.

Le librerie bersaglio identificate includono dfscli.dll, davhlpr.dll, msdtclog.dll, dsrole.dll e secur32.dll. Questa tecnica consente di eseguire chiamate di sistema attraverso percorsi che non risultano direttamente sospetti agli strumenti di monitoraggio basati su hook di ntdll.dll standard.

Il malware implementa inoltre controlli anti-VM multipli: verifica che la CPU abbia almeno 2 core, la RAM sia superiore a 2 GB, lo spazio disco sia sufficiente e che i nomi dei dispositivi display non corrispondano a identificatori di hypervisor noti. Un ulteriore controllo anti-debugger confronta username e computer name con una lista di identificatori tipici delle sandbox. Infine, il malware verifica che l'LCID dell'utente non rientri in una lista hardcoded di paesi CSI.

La comunicazione con il server di comando e controllo avviene tramite WebSocket, un protocollo che permette connessioni persistenti e bidirezionali potenzialmente più difficili da intercettare rispetto alle tradizionali richieste HTTP polling.

RC4 custom e build giornaliere: i segni del MaaS

Telepuz utilizza un algoritmo RC4 custom per la decrittazione delle stringhe, con costanti che variano tra i campioni. Questa variabilità, combinata con il ritmo di aggiornamento, complica l'estrazione di firme statice.

"Given the significant number of builds uploaded to VirusTotal daily, it is likely that we are dealing with a MaaS" — Elastic Security Labs

Secondo la fonte, il progetto è guidato da un solo sviluppatore o una squadra molto ridotta, con la programmazione come attività principale. La ricerca di "telemetriawork" su VirusTotal restituisce 429 corrispondenze di file associati a questa famiglia, un indicatore di distribuzione ampia e frequente. La persistenza viene installata in una cartella %AppData% con il nome "DCFG Runtime Themes Processor", utilizzando il mutex cfgmgr_mtx.

La fonte non specifica la natura esatta dei moduli opzionali, segnalando che alcune componenti risultano "still under development". Il dossier non documenta misure correttive specifiche rilasciate dai vendor di sicurezza.

Perché è importante

Il dossier non specifica il numero effettivo di vittime o entità compromesse, né la destinazione geografica precisa oltre all'esclusione dei paesi CSI. L'identità esatta degli operatori del MaaS — nazione di provenienza, gruppo criminale affiliato — rimane non determinata. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a famiglie malware note allo stato attuale.

Il brief non documenta il modello di monetizzazione del servizio (prezzi, canali di vendita, rete di affiliati) né dettagli sulle funzionalità complete dell'ecosistema modulare. Non risulta confermata la presenza di capacità di ransomware, furto dati specifici o accesso remoto commerciale all'interno della piattaforma.

La fonte non specifica inoltre se le build multiple riflettano personalizzazioni per clienti distinti o semplicemente iterazioni di sviluppo interno, un dato che avrebbe implicazioni diverse per la scalabilità della minaccia.

Da infostealer a infrastruttura: una tendenza consolidata

L'evoluzione documentata da Elastic Security Labs segnala uno spostamento strutturale nel mercato criminale. VIDAR, fino a poco tempo fa operatore autonomo di furto credenziali, viene qui ridotto a componente fungibile di una catena più ampia. Telepuz ne rappresenta il livello superiore: piattaforma modulare, aggiornabile, distribuibile a terzi.

Il modello MaaS abbassa la soglia di competenza richiesta per distribuire malware avanzato, mentre le tecniche di evasione — syscall indirette, anti-VM, anti-debugger — erodono il vantaggio tradizionale degli EDR basati su behavioral detection. Il vettore ClickFix, sfruttando la manipolazione psicologica diretta piuttosto che vulnerabilità software, rimane particolarmente insidioso proprio perché irriducibile a patch tecniche.

Il ritmo di una build al giorno suggerisce che il progetto è ancora in fase di espansione. Se la tendenza si confermerà, la convergenza tra infrastrutture criminale specializzate potrebbe rendere sempre più difficile tracciare origine, autore e scopo di singole infezioni.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti